AVG op de basisschool: dit moet je weten als school, ouder of leraar

Een basisschool verwerkt dagelijks persoonsgegevens van leerlingen, ouders en medewerkers, en is daarom volledig gebonden aan de AVG (Algemene Verordening Gegevensbescherming). Dat betekent dat een basisschool alleen gegevens mag verzamelen met een geldige reden, ouders en leerlingen moet informeren over wat er met die gegevens gebeurt, en de gegevens goed moet beveiligen. De Autoriteit Persoonsgegevens houdt hier toezicht op en kan handhaven als een school de regels niet naleeft.

Voor veel scholen voelt de AVG als een lading papierwerk, maar de kern is eenvoudig: zorg dat je weet welke gegevens je hebt, waarom je ze hebt en hoe je ze beschermt. Hieronder vind je de concrete verplichtingen voor basisscholen, de meest voorkomende valkuilen en wat ouders mogen verwachten.

Welke persoonsgegevens verwerkt een basisschool?

Een basisschool werkt met meer gegevens dan veel mensen denken. Het gaat niet alleen om naam, adres en geboortedatum van leerlingen. Denk ook aan:

Cijfers, rapporten en leerlingvolgsystemen
Medische gegevens, zoals allergieën of medicatiegebruik
Gegevens over leerlinggedrag en verzuim
Foto’s en video’s van leerlingen
Gegevens van ouders en verzorgers
Gegevens van medewerkers
Bijzondere persoonsgegevens, zoals informatie over zorgbehoeften of ondersteuningsplannen

Medische gegevens en gegevens over zorgbehoeften vallen onder de categorie “bijzondere persoonsgegevens”. Daarvoor gelden strengere regels. Een school mag die alleen verwerken als dat strikt noodzakelijk is voor de begeleiding van de leerling, of als de ouder of verzorger uitdrukkelijk toestemming heeft gegeven.

De vier basisverplichtingen van de AVG voor basisscholen

De AVG stelt basisscholen voor vier concrete verplichtingen die je als school aantoonbaar moet nakomen.

1. Grondslag voor verwerking
Je mag alleen gegevens verwerken als je daar een wettelijke grondslag voor hebt. Voor basisscholen zijn de meest gebruikte grondslagen: een wettelijke verplichting (zoals het bijhouden van leerlingdossiers op grond van de Wet op het primair onderwijs), de uitvoering van een overeenkomst (de inschrijving van een leerling) en toestemming. Toestemming is de zwakste grondslag en mag je alleen gebruiken als ouders écht vrij kunnen kiezen. Foto’s op de schoolwebsite plaatsen vereist bijvoorbeeld toestemming, geen wettelijke verplichting.

2. Transparantie en informatieplicht
Ouders en leerlingen (afhankelijk van leeftijd) moeten weten welke gegevens de school verzamelt en waarom. Dit leg je vast in een privacyverklaring. Die moet duidelijk, begrijpelijk en makkelijk vindbaar zijn, bijvoorbeeld op de schoolwebsite. Vage teksten of een privacyverklaring verstopt in een jaarboekje zijn niet voldoende.

3. Beveiliging van gegevens
De school moet technische en organisatorische maatregelen treffen om gegevens te beschermen. Denk aan beveiligde systemen, wachtwoordbeleid, toegangsbeperking (niet elke medewerker hoeft bij alle leerlingdossiers te kunnen) en afspraken met softwareleveranciers via een verwerkersovereenkomst.

4. Verwerkersregister en functionaris gegevensbescherming
Basisscholen zijn verplicht een register van verwerkingsactiviteiten bij te houden. Daarin staat welke gegevens de school verwerkt, met welk doel en hoe lang. Scholen in het primair onderwijs zijn bovendien verplicht een Functionaris voor Gegevensbescherming (FG) aan te stellen. Dit kan iemand intern zijn of een externe partij. De FG controleert of de school zich aan de AVG houdt en is het aanspreekpunt voor de Autoriteit Persoonsgegevens.

Foto’s van leerlingen: een veelgemaakte fout

Foto’s plaatsen van leerlingen op de website, in de nieuwsbrief of op sociale media is een van de meest voorkomende punten waar basisscholen de mist in gaan. Een foto van een herkenbaar kind is een persoonsgegeven. Daarvoor is toestemming nodig van de ouder of verzorger, of van de leerling zelf als die 16 jaar of ouder is.

Die toestemming moet specifiek zijn: ouders moeten weten wát er geplaatst wordt en waar. “Wij mogen foto’s gebruiken voor schooldoeleinden” is te vaag. Beter is: “Wij plaatsen soms foto’s op onze beveiligde schoolomgeving voor ouders” als aparte toestemmingsvraag voor “Wij gebruiken foto’s op onze publieke website en sociale media”. Ouders moeten ook altijd toestemming kunnen intrekken, zonder dat dit gevolgen heeft voor hun kind.

Verwerkersovereenkomsten met softwareleveranciers

Basisscholen gebruiken veel externe software: leerlingvolgsystemen, digitale lesmethoden, communicatieplatformen voor ouders. Als een externe partij daarvoor persoonsgegevens verwerkt namens de school, is de school de verwerkingsverantwoordelijke en de leverancier de verwerker. De AVG verplicht je dan een verwerkersovereenkomst te sluiten.

In die overeenkomst leg je vast wat de leverancier wel en niet mag doen met de gegevens, hoe de beveiliging geregeld is en wat er gebeurt bij een datalek. Gebruik je een tool zonder verwerkersovereenkomst, dan handel je in strijd met de AVG. Dit geldt ook voor gratis tools, zoals bepaalde communicatie-apps of enquêteplatforms.

Rechten van ouders en leerlingen

Ouders (en leerlingen boven een bepaalde leeftijd) hebben rechten die de school moet respecteren:

Inzagerecht: ouders mogen opvragen welke gegevens de school over hun kind heeft.
Correctierecht: foutieve gegevens mogen worden gecorrigeerd.
Recht op verwijdering: in sommige gevallen mogen gegevens worden verwijderd, al heeft de school soms een wettelijke bewaarplicht die dit beperkt.
Recht op bezwaar: ouders mogen bezwaar maken tegen bepaalde verwerkingen.

Een school moet een verzoek om inzage binnen één maand afhandelen. Het is verstandig intern vast te leggen wie zulke verzoeken ontvangt en behandelt.

Datalekken: wat moet een basisschool doen?

Een datalek is meer dan een gehackte computer. Ook een verloren USB-stick met leerlinggegevens, een e-mail die naar de verkeerde ouder is gestuurd, of een ingebroken schoolsysteem telt als datalek. Basisscholen zijn verplicht om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, als het lek een risico vormt voor de betrokkenen. Als het lek ook voor de betrokkenen zelf een hoog risico oplevert, moet de school ook de ouders of leerlingen informeren.

Leg datalekken altijd intern vast, ook als je besluit ze niet te melden. Zo kun je aantonen dat je de afweging bewust hebt gemaakt.

Veelgestelde vragen over de AVG op de basisschool

Moet een basisschool toestemming vragen voor elk gebruik van persoonsgegevens?
Nee. Toestemming is slechts één van de zes grondslagen. Voor veel verwerkingen, zoals het bijhouden van leerlingdossiers of het aanmelden bij de leerplichtambtenaar, heeft de school een wettelijke plicht en is toestemming niet nodig én ook niet de juiste grondslag.

Hoe lang mag een basisschool leerlinggegevens bewaren?
De wet stelt verschillende bewaartermijnen. Leerlingdossiers bewaar je in de meeste gevallen tot twee jaar na