16 oktober 2014 door Henk Boeke
Scholen verwaarlozen privacy (1)
Scholen verzamelen steeds meer leerlinggegevens en gaan daar onzorgvuldig mee om, concludeerde het adviesbureau PricewaterhouseCoopers (pwc). Een onthutsend relaas. Deel 1 van een serie over privacy in het onderwijs.
Scholen hebben het beste voor met hun leerlingen. Leerkrachten en schoolleiders zijn ontzettend betrokken bij het welzijn van de kinderen, en ze doen er álles aan om hen maximale zorg en aandacht te geven. Prachtig! Het vervelende is alleen dat al die goede bedoelingen nogal onwenselijke gevolgen kunnen hebben. Scholen gaan er namelijk vanuit dat hoe meer ze van hun leerlingen weten, hoe beter ze hen kunnen begeleiden.
Er worden dus onvoorstelbaar veel gegevens verzameld, bijgehouden, en doorgegeven. Vaak zonder een duidelijk doel ("kan altijd van pas komen"), vaak zonder de benodigde toestemming van de ouders, en soms ook gegevens die helemaal niet verwerkt mógen worden. Zoals ras – waaronder geboorteland-gegevens – en godsdienst. Of documenten die helemaal niet bewaard mogen worden, zoals een kopie van het paspoort. Scholen doen dat allemaal. Niet alle scholen, maar wel veel.
De meeste scholen hebben geen flauw idee van wat wel en niet mag. Laat staan dat ze nog een stapje verder gaan dan de wet, door zélf na te denken over wat nu eigenlijk wenselijk is, en wat misschien wel eens gevaarlijk zou kunnen zijn. Geen tijd. Ze moeten al zoveel.
Dit onthutsende beeld wordt geschetst in een rapport van PricewaterhouseCoopers (pwc), gemaakt in opdracht van het Ministerie van Onderwijs. Het verscheen al in april van dit jaar, maar heeft vreemd genoeg nauwelijks aandacht gekregen. Noch in de media, noch in het parlement. Hoogste tijd dus om er nu eens wél aandacht aan te besteden.
Kernboodschap
Het rapport bevat een 'kernboodschap', die uit zes punten bestaat:
1. Geen enkele van de onderzochte scholen wist wat er wel en niet is toegestaan. Ze kennen wel het bestaan van de Wet Bescherming Persoonsgegevens (Wbp) maar niet wat erin staat.
2. Gegevensbeveiliging vindt plaats op basis van 'gezond verstand'. Lees: toevallige ervaring en toevallige incidenten. Dus niet op basis van echte – technische en juridische – kennis. Daarnaast is het onduidelijk hoe de software-leveranciers, die ook de schooldatabases beheren ('in the cloud'), precies te werk gaan bij het beveiligen daarvan.
3. De markt voor leerlingvolgsystemen en digitale leermiddelen is in handen van een beperkt aantal partijen. Dat vormt een machtsblok waar individuele scholen geen tegenwicht tegen kunnen bieden. Ze accepteren onderdanig alle voorwaarden van de leveranciers. (Later in het rapport blijkt dat veel van die voorwaarden niet eens wettelijk zijn toegestaan. Maar dat weten scholen allemaal niet.)
4. De leveranciers van leerlingvolgsystemen en digitale leermiddelen hebben talloze gegevens over leerlingen, ouders en docenten in hun beheer. Het is onduidelijk wat ze met die gegevens doen, en met welke partijen die gegevens "gedeeld" worden, zoals het rapport heel netjes zegt. Wat ze bedoelen, is: "aan welke opkopers de gegevens verpatst worden". Educatieve uitgeverijen hebben er bijvoorbeeld veel belang bij om zo veel mogelijk te weten over hun doelgroep, en willen daar best voor betalen.
5. Het aantal gegevens dat wordt vastgelegd is nu al onvoorstelbaar groot, maar zal binnenkort alleen nog maar verder toenemen. Naarmate er meer vastgelegd kán worden, zál er ook meer vastgelegd worden. Daarnaast zal het vanwege het Passend Onderwijs ook om steeds gevoeliger informatie gaan. Alle problemen van zorgenkinderen - medisch, sociaal, enzovoorts – zullen in de databases van de scholen (en de samenwerkingsverbanden, en de software-leveranciers, etc.) terecht komen.
6. De technische mogelijkheden – en de technische kennis – om grote hoeveelheden gegevens te combineren en te analyseren nemen de laatste tijd sterk toe. Zo kun je allerlei nieuwe informatie over individuele personen te weten komen. Scholen en de overheid maken er nog maar weinig gebruik van, maar dat zal snel gaan veranderen, voorspellen de onderzoekers
Big data
De term staat niet letterlijk in het rapport, maar het laatste punt is dus het zogenaamde big data-probleem. 'Big data' is het verwerken van zoveel mogelijk informatie, en het koppelen van bestanden, om verbanden en patronen te ontdekken.
Big data is ongeveer het tegenovergestelde van privacy. Bij privacy gaat het er immers om het aantal gegevens zo veel mogelijk te beperken (jargonterm: dataminimalisatie), terwijl big data precies het omgekeerde doet. Daar wil je juist zo veel mogelijk gegevens verwerken.
Een tweede probleem van big data is doelbinding. Die is er niet. Een belangrijk privacy-principe – dat ook wettelijk is vastgelegd – is dat je alleen persoonsgegevens mag verzamelen en verwerken als dat een duidelijk doel dient. Terwijl je bij big data vooraf niet weet wat het doel is van al dat koppelen en verzamelen en analyseren. De verbanden en patronen, of zelfs individuele gegevens die je nog niet kende, komen vanzelf, zonder dat je ernaar op zoek was. Zo kan een bepaalde leerling – jouw eigen kind dus – zomaar te boek komen te staan als een crimineel in de dop, of kunnen zijn ouders – jijzelf dus – zomaar verdacht worden van kindermishandeling.
Zie verder: Big data en privacy op de website 'Pleio', een soort intranet en discussieplatform van de overheid.
Nuttig toch?
Zoals gezegd: het verzamelen en vastleggen van de meest uiteenlopende persoonsgegevens op scholen, gebeurt met de beste bedoelingen. Het is toch juist heel nuttig om zoiets als de geboorteland-gegevens bij te houden? Dan kun je immers beter inspelen op een mogelijke taalachterstand?
Nee, nee, nee. Het is domweg verboden, en het is ook nergens voor nodig. Op de site van het College Bescherming Persoonsgegeven (CBP) [tegenwoordig: de Autoriteit Persoonsgegevens, kortweg AP - red.] wordt bij wijze van alternatief voorgesteld om te noteren dat zo'n leerling Nederlands als tweede taal spreekt, of dat er thuis geen Nederlands gesproken wordt. (Het is overigens nog maar de vraag of het zo bezwaarlijk is als er thuis geen Nederlands wordt gesproken, waardoor ook dát helemaal niet vastgelegd hoeft te worden, maar ja, het CBP [tegenwoordig de AP dus] weet natuurlijk weinig van taalkunde en meertaligheid, dus dat kun je ze niet kwalijk nemen.)
Wat we zelf vaak meemaken, is dat ouders bij ons klagen dat de school zomaar foto's van de leerlingen op Facebook plempt. Of op de schoolsite. Leuk toch? Vrolijke momenten moet je delen! Dat is wat de school dan zegt. Waarbij ze ten eerste vergeten dat ouders daar expliciet toestemming voor moeten geven, en zich ten tweede niet realiseren dat er steeds meer gefotoshopte kinderporno gefabriceerd wordt, op basis van foto's van 'gewone' kinderen, afkomstig van sociale media en schoolsites.
En zelfs áls de school vooraf toestemming vraagt aan de ouders (wat wettelijk verplicht is) om foto's te mogen publiceren, dan nóg kunnen er akelige problemen ontstaan. Bijvoorbeeld wanneer maar één of twee ouders hun toestemming weigeren en de rest niet. Dan zegt de school: okee, maar dan kan uw kind ook niet meedoen met de schoolmusical. Want we willen wel foto's kunnen maken en kunnen publiceren. Je kunt je de teleurstellingen en pesterijen die dit tot gevolg heeft levendig voorstellen. De school zou dus een stap verder moeten gaan dan de wet, en zelf goed moeten nadenken. De oplossing is overigens simpel: zet die foto's op een besloten deel van de schoolsite, dan is er geen aap loos. Maar dat weigerde de school in kwestie.
Geen smoking gun
Het rapport van PricewaterhouseCoopers maakt gehakt van de manier waarop scholen omgaan met privacy en beveiliging. Scholen tuigen enorme digitale dossiers op, verzamelen alles wat los en vast zit (ook al is het wettelijk verboden of dient het geen enkel doel), versturen gevoelige gegevens per onveilige email, en laten zich inpakken door hun software-leveranciers. Die ook weer allerlei onwettige dingen doen, en ondoorzichtig bezig zijn.
Heel ernstig allemaal. Maar helaas: geen smoking gun te bekennen. Geen enkel concreet geval van rampspoed, of situaties waarin er echt dingen zijn mis gegaan.
En toch is het belangrijk om iets te doen aan de onveiligheid die inmiddels ontstaan is, en gaandeweg alleen maar zal toenemen. Je kunt 10 keer geblinddoekt de straat oversteken zonder dat je wordt overreden, maar de 11e keer gaat het mis. Dat willen we niet.
Juist scholen hebben een speciale verantwoordelijkheid, omdat leerlingen door hun leeftijd extra kwetsbaar zijn, én omdat ze hun hele verdere leven achtervolgd kunnen worden door uitgelekte of ten onrechte gedeelde gegevens.
Wat kun je doen?
Scholen hebben een speciale verantwoordelijkheid maar ouders ook. Wat kun je zelf doen?
Ten eerste: ken je rechten. Bijvoorbeeld: het recht op inzage, correctie en verwijdering van gegevens. Ook moet de school vertellen welke gegevens ze aan welke personen of instanties hebben doorgegeven. In veel gevallen moet je daar als ouders ook zelf toestemming voor hebben gegeven. Dit alles is vastgelegd in de Wet Bescherming Persoonsgegevens (Wbp). De bijbehorende bron voor leken (www.mijnprivacy.nl van het College Bescherming Persoonsgegevens) bestaat helaas niet meer. Kijk nu op www.autoriteitpersoonsgegevens.nl.
Ten tweede: wijs de school op de Privacy Quickscan van Kennisnet. Daarmee kunnen scholen een eerste indruk krijgen van wat ze goed en fout doen. Vraag of de resultaten van die scan gedeeld kunnen worden met de ouderraad of de medezeggenschapsraad. Bekijk die scan ook zelf even. Hij is zeer inzichtgevend, en kan ook dienen als handvat voor ouders om eens te bedenken wat de school allemaal aan het doen is.
Ten derde: meld eventuele problemen, of dingen die er mis zijn gegaan, bij de redactie van Ouders Online. Wij kunnen u adviseren, en hebben toegang tot personen en instanties die iets voor u kunnen doen. Mail naar [email protected].
Bronnen
Nulmeting Privacy & Beveiliging Primair en Voortgezet Onderwijs, PricewaterhouseCoopers / Ministerie van Onderwijs, Cultuur en Wetenschap, april 2014.
Privacy Quickscan voor scholen, Kennisnet, augustus 2014.
Flanagan
20-10-2014 09:10<p>In het rapport geeft PWC aan dat scholen niet op de hoogte waren van het gevaar van data. Jammergenoeg heb ik een directeur van een heel andere en beschamende zijde mogen leren kennen. Het 'ik wist het niet' was niet bij haar van toepassing.<br />
Dat er geen smoking gun waar genomen is , verbaast mij niets. Scholen weten heel goed hoe ze hun fouten kunnen wegwerken. Zo staat in een 4-jarige inspectie rapport dat de school in een bepaald jaar te weinig les hadden gegeven, maar dat in bestek van een paar jaar, enkele kinderen buiten protocollen en codes en PO-artikelen van good governance, good educatie over de schutting zijn gegooid en de ouders de mond werd gesnoerd. Dat werd de inspecteur niet aangereikt. Inspecteurs nemen niet de tijd om incidentele probleemgevallen te onderzoeken, dus blijft de handelswijze van de school onder het kleed.
</p>
<p>Henk, je praat over fatsoen. Wanneer de imago van een school in gevaar loopt, is het snel gedaan met fatsoen.<br />
Ouders die naar het LKC stappen, gaan met lege handen naar huis want in een welles -nietes wordt de klacht ongegrond verklaard. En dat weet een school drommels goed, (of anders zal de juridische adviseur van het bestuur dit in hun oor fluisteren).
</p>
<p>Door eigen ervaring, ben ik wat minder goedgelovig dan de onderzoeker van PWC. Bij verandering van school, bleef alleen overplaatsing over zodat het niet aan het bevoegd bestuur lag. Grappige is wel dat die school alles wilt weten van kinderen maar niets wilt delen over hun eigen notulen van vergaderingen.<br />
Sommige scholen zijn huiverig in het zwart-op-wit delen van info, zodat bij een klacht geen bewijs bestaat, dat hun antwoord: ' ik wist het niet' onderuit haalt. Toestemming vragen, is een 'zwart op wit' bewijs dat de school iets doet wat botst met de Wbp.<br />
Eigenlijk zegt het rapport niet zo veel naar mijn inziens; als ik de verslagen lees van het LKC, zie ik steeds dezelfde verdedigingstaktiek. Bij het ontbreken van schriftelijk bewijs, kan men een directeur niets maken. Men krijgt hoogstens het advies een regeltje toe te voegen aan de schoolgids. In de praktijk verandert er niets want naar mijn idee, ze zijn niet zo onwetend als PWC doet voorkomen.<br />
Een toestemming vragen is gewoon teveel rompslomp en kan leiden tot ongewenste en tijdrovende discussies. Dat had eigenlijk uit het rapport van PWC moeten komen.</p>
hboeke
18-10-2014 01:10<p>@Flanagan: tenslotte nog dit. Je stelde heel terecht dat ouders niet zomaar naar de rechter hollen als er wat mis. Daar kunnen allerlei redenen voor zijn. Zelf noemde je: "want het kind zit daar wel op school". Oftewel: je wilt wel de relatie met de school goed houden omdat je kind er anders de dupe van kan worden. Een andere reden kan zijn: geld. Het is gewoon heel duur om rechtszaken te voeren. Maar dat is nu júist de reden waarom ik schreef dat het niet voldoende is voor scholen om zich aan de wet te houden. Ze moeten ook gewoon goed nadenken, en zich fatsoenlijk gedragen.</p>
hboeke
18-10-2014 00:10<p>@Flanagan: ik begrijp overigens heel goed wat het punt is dat je wilde maken. In databases kunnen foute of onwenselijke dingen staan, die je met geen mogelijkheid eruit kunt krijgen. Dat is inderdaad een enorm probleem, dat ook regelmatig voorkomt. Het bekendste geval is van die man die verwisseld is met een ex-zakenpartner. De ex-zakenpartner doet allemaal criminele dingen en het slachtoffer wordt daar voortdurend voor aansprakelijk gesteld. Hij wordt aangehouden op straat, komt het land niet uit, enzovoorts. Maar dat is een algemeen probleem met dossiers, dat buiten het bestek van mijn artikel valt. Vandaar dat ik daar niet op in ben gegaan.<br />
Ook het probleem dat je als ouders soms zwak staat tegenover de school (je noemde het de machtspositie van de school) is heel reëel, helaas, maar valt eveneens buiten het onderwerp.<br />
Al met al heb je volkomen gelijk dat er nog veel meer problemen zijn dan in het rapport beschreven worden.</p>
hboeke
18-10-2014 00:10<p>@Flanagan: Artikel 36, lid 1, van de Wbp zegt dat er wel degelijk gevallen zijn waarin je het recht hebt om gegevens te laten verwijderen. De tekst luidt als volgt:<br />
"Degene aan wie overeenkomstig artikel 35 kennis is gegeven van hem betreffende persoonsgegevens, kan de verantwoordelijke verzoeken deze te verbeteren, aan te vullen, <span class="oranje"><strong>te verwijderen</strong></span>, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen."</p>
Flanagan
17-10-2014 10:10<p>'Ten eerste: ken je rechten. Bijvoorbeeld: het recht op inzage, correctie en verwijdering van gegevens.'<br />
Naar mijn weten is er geen recht op verwijdering. Er is hoogstens een recht op het toevoegen van een kattebelletje van de ouders dat ze het daar niet mee eens zijn. Ondertussen gaat de info wel een eigen leven leiden waar de ouders geen grip op hebben terwijl het wel om hun kind gaat.<br />
Dergelijke vorm van machtspositie gaat H. Boeve aan voorbij. Hij richt zich op gebruik van foto's en gezinssamenstelling etc. en de daaruit mogelijk voortvloeiende onjuiste gebruik. Maar het echte probleem zit in de opgeslagen onwaarheden die, en niet verwijderd worden en onwaar zijn.
</p>
<p>Ooit werd in de klas filmopname gemaakt om de leerkracht te observeren hoe ze les gaf. De camera stond vooral gericht op een zorgenkind in de klas. Er was klassikaal geen toestemming gevraagd en de kritiek van de ouders werd weggewimpeld met 'dat er geen sprake was van een observatie van dat kind'. De ouders moesten hen maar geloven.<br />
Zo staan ouders ervoor, en een school weet welke machtsmiddelen ze in handen hebben. Ouders rennen niet zo snel naar een rechter want het kind zit daar wel op school. Het gevaar is nog veel groter dan wat PWC in het rapport neerzet.</p>
M Lavell
17-10-2014 09:10<p>Goed artikel en wat fijn dat er nu een soort van 'meting' ligt.<br />
Het iseigenlijk vreemd dat de Inspectie van het onderwijs niet toeziet op gegevensbeheer door scholen. De Inspectie pretendeert tenslotte erop toe te zien dat scholen zich aan de wet houden.<br />
Ik denk dat op veel scholen juist de gedachte bestaat dat men met het verzamelen van zoveel mogelijk gegevens, de Inspectie zoet houdt.<br />
De grote ramp waar je over spreekt is er ondertussen natuurlijk wel. Al is dat vooral een budgettaire ramp. Miljoenen van het onderwijsbudget verdwijnen in de digitale put. Tegelijkertijd moeten de klassen wat groter en de leerlingen wat minder zorg, om kosten te besparen. </p>