Gebruik beeldmateriaal door scholen vraagt aandacht

De Autoriteit Persoonsgegevens roept scholen op zorgvuldig om te gaan met (online) beeldmateriaal van leerlingen. Foto’s en video’s van leerlingen zijn persoonsgegevens in de zin van de Wet bescherming persoonsgegevens (Wbp). Het publiceren van beeldmateriaal van leerlingen op een internetpagina of op social media is een vorm van verwerken van persoonsgegevens. Dat betekent dat de regels van de Wbp van toepassing zijn. Volgens de Wbp moeten scholen bijvoorbeeld toestemming vragen voor het gebruik van de foto’s en moeten zij gepubliceerde foto’s goed beveiligen.

Toestemming nodig
Wanneer scholen foto’s of video’s van leerlingen willen publiceren, hebben zij daarvoor toestemming nodig van de ouders of voogd van de leerling die herkenbaar in beeld is.

Voor toestemming gelden drie voorwaarden:
De toestemming moet ‘vrij’ en niet onder druk zijn gegeven.
De toestemming moet ondubbelzinnig zijn. Dat betekent dat een school niet uit mag gaan van het principe ‘wie zwijgt, stemt toe’. Bij ondubbelzinnige toestemming moet elke twijfel zijn uitgesloten. Het moet dus volstrekt duidelijk zijn òf de betrokkene toestemming heeft gegeven.

De toestemming moet specifiek zijn, voor een specifieke verwerking en voor een specifiek doel. Leerlingen of ouders/voogd moeten hun toestemming ook altijd weer kunnen intrekken.

Beveiliging
Wanneer scholen beeldmateriaal van leerlingen publiceren, moeten zij passende technische en organisatorische maatregelen treffen om deze te beschermen. Deze maatregelen moeten een bepaald beveiligingsniveau garanderen, zodat foto’s niet in verkeerde handen terecht komen. Een passende technische maatregel kan zijn om een portal op de website te plaatsen die alleen toegankelijk is voor leerlingen en hun ouders/voogd met bijvoorbeeld een persoonlijke inlognaam en wachtwoord.

Ondersteuning bij informatiebeveiliging op school
De PO-Raad ontwikkelde samen met de VO-raad en Kennisnet de Aanpak IBP om scholen te ondersteunen bij het goed organiseren van informatiebeveiliging en privacy. Deze geeft antwoord op vragen als hoe je omgaat met leerlinggegevens, hoe je zelf een risicoanalyse uitvoert en welke afspraken scholen moeten maken met leveranciers van digitaal leermateriaal. De aanpak bevat onder andere een voorbeeld-privacyreglement, een model-bewerkersovereenkomt voor leveranciers, en een stappenplan in het geval van een incident zoals een datalek. Kennisnet heeft na de oproep van de AP een artikel over beeldmateriaal van leerlingen gepubliceerd.

Nieuwe Europese privacyregels
Vanaf 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van kracht. Onder de AVG wordt de bescherming van persoonsgegevens van kinderen nog belangrijker. Zo moeten scholen niet alleen de regels voor toestemming en beveiliging naleven, maar dat ook kunnen aantonen. In het dossier 'Scholen & de AVG' op autoriteitpersoonsgegevens.nl vindt u meer informatie over de nieuwe regels.

Toestemming en beveiliging zijn twee belangrijke voorwaarden. De Wbp (en de AVG) bevat nog meer rechten en verplichtingen bij de verwerking van persoonsgegevens. Scholen moeten uiteraard ook deze rechten en verplichtingen in acht nemen.