Persoonsgegevens zijn alle gegevens die een natuurlijk persoon rechtstreeks of onrechtstreeks identificeren. De AVG geldt niet voor persoonsgegevens van overleden personen of rechtspersonen.
De betrokkene is de persoon op wie de persoonsgegevens betrekking hebben zoals een leerling, medewerker of ouder. Kinderen en jongeren worden beschouwd als een kwetsbare groep, waardoor extra beschermingsmaatregelen voor hun persoonsgegevens nodig zijn.
Betrokkenen jonger dan 13 jaar mogen zelf geen beslissingen nemen over hun persoonsgegevens. Dit valt onder de verantwoordelijkheid van hun ouders of de personen die het ouderlijk gezag uitoefenen over de jongere. Ouders of personen die het ouderlijk gezag uitoefenen blijven wel verantwoordelijk voor de jongeren zolang deze jonger is dan 18 jaar ook al mogen ze zelf beslissingen nemen over hun persoonsgegevens. Onderstaande tekst maakt geen onderscheid tussen betrokkene en personen die het ouderlijk gezag uitoefenen.
Onder het verwerken van persoonsgegevens worden alle handelingen verstaan die worden uitgevoerd op de persoonsgegevens. De AVG hanteert hierbij een brede definitie: het verzamelen, registreren, bewaren, raadplegen, meedelen, organiseren, onderling verbinden, vernietigen …
Bijzondere categorieën persoonsgegevens zoals gezondheidsgegevens, seksuele gerichtheid, religieuze of levensbeschouwelijke overtuigingen, genieten een hoger beschermingsniveau. Deze persoonsgegevens mogen alleen worden verwerkt op basis van één van de uitzonderingsgronden (artikel 9 van de AVG).
De AVG onderscheidt twee manieren van gegevensinzameling:
Een verwerkingsverantwoordelijke is een natuurlijke of een rechtspersoon die het doel en de middelen voor de verwerking vaststelt. Met andere woorden de organisatie of persoon die beslist waarom en hoe je persoonsgegevens worden verwerkt. In verschillende onderwijsdecreten wordt vastgelegd wie welke persoonsgegevens mag verwerken om onderwijs te organiseren en onder welke voorwaarden dat mag gebeuren.
Het schoolbestuur is als eindverantwoordelijke voor het inrichten van onderwijs altijd de verwerkingsverantwoordelijke voor de verwerking van de school, tenzij regelgeving deze rol aan een andere entiteit toewijst.
Een verwerkingsverantwoordelijke kan samenwerken met verschillende actoren om een verwerking uit te voeren. Die andere actoren kunnen verwerkers zijn zoals softwarebedrijven. De verwerkers voeren verwerkingen uit in opdracht van de verwerkingsverantwoordelijke.
Om persoonsgegevens te mogen verwerken (artikel 5 van de AVG), moeten de volgende basisprincipes worden nageleefd:
De school kan enkel persoonsgegevens verwerken als voldaan is aan één van de volgende grondslagen(artikel 6 van de AVG):
Voor de meeste verwerkingen kan de school zich doorgaans alleen baseren op één van de eerste drie grondslagen.
De grondslag ‘voldoen aan een wettelijke verplichting’ betekent dat de school persoonsgegevens moet verwerken als de verwerking wordt vereist door een wet- of regelgeving.
Voorbeelden:
Een school mag persoonsgegevens verwerken als dat nodig is om een overeenkomst te kunnen aangaan en uitvoeren. Bijvoorbeeld als een schoolbestuur een raamcontract voor softwarelicenties afsluit voor zijn scholen, dan zal het bepaalde persoonsgegevens van medewerkers van de softwareleverancier verwerken en vice versa.
De school kan persoonsgegevens verwerken als de betrokkene hierin toestemt. Hierbij moet de toestemming (artikel 4.11 van de AVG):
Persoonsgegevens die voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel worden verwerkt, mogen enkel voor dit doel of ermee verenigbare doelen verder worden verwerkt.
Gerechtvaardigde doelen waarvoor een school persoonsgegevens mag verwerken:
Persoonsgegevens die de school bijvoorbeeld verwerkt voor zijn personeelsadministratie, kunnen niet zomaar worden gebruikt voor een ander doel. Tenzij de school kan aantonen dat het nieuwe doeleinde verenigbaar is met de doeleinden waarvoor ze verzameld zijn. Zo kan het rekeningnummer van de medewerker ook gebruikt worden voor de terugbetaling van onkosten.
Het is aan de school om te oordelen en aan te tonen dat een nieuw doeleinde verenigbaar is.
Minimale gegevensverwerking (dataminimalisatie) houdt in dat:
Als de school geen geldige reden kan geven waarom een persoonsgegeven nodig is voor het doel, mogen deze persoonsgegevens niet worden verwerkt. Als de persoonsgegevens al zijn verzameld, moeten ze gewist worden.
Betrokkenen kunnen hun rechten en plichten alleen uitoefenen als ze weten welke persoonsgegevens de school van hen verwerkt. Transparante communicatie is essentieel.
Welke rechten hebben de betrokkenen?
Een betrokkene kan altijd gebruik maken van zijn rechten, tenzij andere wetgeving dit verhindert. Het schoolbestuur moet binnen één maand reageren op het verzoek. Bij complexe opzoekingen kan de termijn met één maand worden verlengd. De betrokkene moet hiervan binnen de eerste maand op de hoogte worden gebracht. Een buitensporig of ongegrond verzoek, zoals het wekelijks opvragen door een ouder van alle persoonsgegevens van zijn kind waarover de school beschikt, mag worden geweigerd.
Als het schoolbestuur hier toch wenst op in te gaan kan het een redelijke vergoeding vragen voor de administratieve kosten. Het schoolbestuur moet kunnen aantonen dat het verzoek ongegrond of buitensporig is. In alle andere gevallen mag er geen vergoeding worden gevraagd voor het behandelen van een verzoek.
Als het schoolbestuur twijfelt aan de identiteit van de verzoeker, kan zij om een identiteitsbewijs vragen. De termijn voor behandeling van het verzoek wordt dan opgeschort totdat het bewijs is ontvangen.
Als een betrokkene meent dat de AVG niet wordt nageleefd, kan hij zich wenden tot de functionaris gegevensbescherming (DPO) van het schoolbestuur. De betrokkene kan ook klacht indienen bij de Vlaamse Toezichtcommissie (VTC), de toezichthoudende autoriteit. Het schoolbestuur moet de klachtprocedure duidelijk communiceren aan de betrokkenen.
Het schoolbestuur is verplicht om betrokkenen te informeren over de verwerking van hun persoonsgegevens. De informatie kan worden opgenomen in de privacyverklaring van de school.
Persoonsgegevens moeten altijd correct en actueel zijn. Het schoolbestuur voorziet hiervoor een duidelijke procedure zodat dat medewerkers en leerlingen of cursisten weten hoe ze hun persoonsgegevens kunnen controleren en, indien nodig, laten aanpassen. De procedure kan worden opgenomen in de privacyverklaring van de school.
Een school mag persoonsgegevens nooit langer bewaren dan strikt noodzakelijk. Zodra het doel van de verwerking is bereikt of niet langer relevant is, moeten de persoonsgegevens direct worden verwijderd. In bepaalde gevallen is de school verplicht om de persoonsgegevens te wissen, tenzij er wettelijke bewaartermijnen van toepassing zijn. Deze termijnen bepalen hoelang de specifieke persoonsgegevens moeten worden bewaard.