[AVG] School deelt gegevens met CBS

[Nowhereman]

De school van mijn zoontje stuurde onlangs een brief met de mededeling dat de persoonsgegevens van mijn zoontje (minderjarig) gedeeld zouden worden met het CBS. We konden hier bezwaar tegen aantekenen maar aangezien dat wat weggemoffeld stond in de laatste alinea hebben veel ouders daar net als ik zelf, overheen gelezen.

In de brief staat de regel "Scholen mogen gegevens over taal en rekenen aan het CBS sturen zonder dat de school hiervoor expliciet uw toestemming moet vragen". Als ik hier op zoek kom ik deze tekst veelvuldig tegen, eigenlijk allemaal op sites van scholen, zonder verdere uitleg.

Bij de AP (https://autoriteitpersoon...onsgegevens-het-onderwijs) wordt ik ook niet veel wijzer, ze vermelden van alles over de verwerking van de gegevens maar niets over het delen en of er uitzonderingen bestaan m.b.t. het CBS zoals de brief stelt. Het enige dat ik daar kon vinden was dat als een derde partij de gegevens van school verwerkt dat daar een verwerkersovereenkomst mee dient te worden opgesteld. Maar ook hier blijf ik mij af vragen of je als ouder niet gewoon toestemming dient te geven.

Nu gaat het mij er niet zozeer om dat de gegevens van mijn zoontje bij het CBS terecht zijn gekomen maar ik vraag mij wel af in hoeverre de school hier zorgvuldig handelt. Moet het niet zo zijn dat school toestemming vraagt alvorens tot het delen van gegevens over te gaan? En is dit voor het CBS inderdaad anders dan voor ene willekeurige andere instelling?

[celshof]

Voor het verwerken/delen van persoonsgegevens moet een geldige reden zijn. Dit hoeft niet per se toestemming te zijn.

[MAX3400]

Grote kans dat het allemaal geanonimiseerd gaat; ik denk niet dat het CBS expliciet geinteresseerd is in NowheremanJR die bij som 4 een rekenmethode gebruikte die ervoor zorgde dat er 1 cijfer achter de komma kwam.

Meer dat klas 4B in de categorie "algebra" gemiddeld een 6.8 scoort; het CBS vindt dat wel interessant als andere scholen in de buurt dan een 6.4 scoren bijvoorbeeld.

[Nox]

Delen zij expliciet persoonsgegevens of statistieken?

Dat zij delen: Nowhereman Jr. heeft vocabulair x, vaardigheid in wiskunde y etc. is volgens mij niet noodzakelijk. Zij kunnen gewoon een database aanleveren van leerlingen en de naam dan weghalen. CBS heeft niks met de naam nodig. Ze kunnen de naam gewoon vervangen door een id-nummer.

Ik zou de school even vragen wat ze exact delen en waarom dat een geldige reden is dat ze dat delen voordat ik er een oordeel over kan geven.

[YakuzA]

MAX3400 schreef op donderdag 27 januari 2022 @ 10:39:
Grote kans dat het allemaal geanonimiseerd gaat; ik denk niet dat het CBS expliciet geinteresseerd is in NowheremanJR die bij som 4 een rekenmethode gebruikte die ervoor zorgde dat er 1 cijfer achter de komma kwam.

Meer dat klas 4B in de categorie "algebra" gemiddeld een 6.8 scoort; het CBS vindt dat wel interessant als andere scholen in de buurt dan een 6.4 scoren bijvoorbeeld.

Ik vermoed dat ze inderdaad het klas nummer doorsturen en evt het bouwjaar van JR.

Omdat ze dan het bouwjaar niet anonimiseren is dat een persoonsgegeven, maar het snelste om dat te weten is het idd even navragen bij de school.

[MAX3400]

YakuzA schreef op donderdag 27 januari 2022 @ 11:02:
[...]

Ik vermoed dat ze inderdaad het klas nummer doorsturen en evt het bouwjaar van JR.

Omdat ze dan het bouwjaar niet anonimiseren is dat een persoonsgegeven, maar het snelste om dat te weten is het idd even navragen bij de school.

Tja, maar hoeveel bouwjaren zitten er in een klas? Vaak 1, net aan 2.

Populatie:30. Herleidbare gegeven: 2. Klinkt niet als heel persoonlijk

[Pazo]

Wij hebben dat ook gehad laatst, en daarbij werd expliciet aangegeven in de brief dat het geanonimiseerd gaat. Het gaat puur om de statistieken om zo de kwaliteit van de school te kunnen meten. Er werd gezegd dat niets te herleiden valt naar een individu.

[TMDC]

Valt waarschijnlijk onder artikel 89 AVG en artikel 24 UAVG. Uitzonderingspositie voor gegevensverzameling ihkv statistisch en wetenschappelijk onderzoek.

[Voor 16% gewijzigd door TMDC op 27-01-2022 11:15]

[Nowhereman]

Ik heb de betreffende mail er nog even bij gepakt, deze verteld het volgende (niet letterlijk overgenomen):

Het gaat om:
Het delen van resultaten van de taal- en rekentoetsen sturen aan het Centraal Bureau voor de Statistiek (CBS)

M.b.t. de gegevens wordt er gesteld dat er ook identificerende gegevens worden meegezonden:
Het gaat hier om het burgerservicenummer, onderwijsnummer, geslacht, geboortedatum, postcode en huisnummer.
Deze gegevens worden gebruikt voor het opzetten van een koppeling waarna de identificerende gegevens worden verwijderd.

Het gaat mij er vooral om of school dit soort gegevens zonder toestemming vooraf zomaar mag delen. Het voelt voor mij niet ok dat de gegevens van Nowhereman Jr (leuk bedacht!) 'zomaar' verstrekt kunnen worden. Zelf ben ik altijd behoorlijk secuur met het delen van mijn gegevens.

[Pazo]

Als ze in jouw geval doorsturen wat je aangeeft, dan zou ik daar zeker op tegen zijn! Naar mijn mening helemaal niet nodig om BSnr etc te sturen? Wel apart dat er zo'n groot verschil in zit per school.

[Nathilion]

@Nowhereman Het BSN en de hele riedel? Dat is dus nooit anoniem delen van gegevens en moet je ze maar geloven op de blauwe ogen dat ze de 'identificerende gegevens' verwijderen. Maar, de school geeft dus een compleet leerlingprofiel aan het CBS. En ik kan totaal niet bedenken waarom een statistiekenclub een profiel moet hebben. Tenzij je natuurlijk als een evil overlord een statistiekenprofiel van elke burger wil gaan opbouwen. Maar goed, lijkt me dat het CBS daar voorlopig nog niet aan mag beginnen.

Ik zou hier zeer hard tegen in gaan. Laat de school eerst maar anonimiseren voordat ze data delen.

[MAX3400]

Nowhereman schreef op donderdag 27 januari 2022 @ 11:16:
Ik heb de betreffende mail er nog even bij gepakt...

Gewoon laten versturen en/of https://autoriteitpersoon...matie-en-meldpunt-privacy

[eric.1]

quote: https://www.cbs.nl/nl-nl/...begrippen/onderwijsnummer

Bij het CBS wordt het burgerservicenummer, het onderwijsnummer en andere identificerende persoonskenmerken vervangen door een willekeurig volgnummer, zodat het voor interne en externe onderzoekers niet duidelijk is om wie het gaat, maar wel dat het bij koppeling van bestanden om dezelfde leerling/student gaat.

Het is dus niet heel ongewoon blijkbaar. Maar ik vind het persoonlijk wel bijzonder dat ze zoveel informatie nodig hebben dan wel verwerken.

[Nowhereman]

MAX3400 schreef op donderdag 27 januari 2022 @ 11:28:
[...]

Gewoon laten versturen en/of https://autoriteitpersoon...matie-en-meldpunt-privacy

Dank.
Ik ga ze morgen bellen.

[Luppie]

Edit : iets te snel.

[Voor 97% gewijzigd door Luppie op 27-01-2022 15:40]

[Kapiteiniglo]

Zoals al eerder gezegd is voor het verwerken van persoonsgegevens niet per se toestemming nodig. Je moet een wettelijke grondslag hebben en toestemming is één van de zes opties. Zie: https://autoriteitpersoon...ersoonsgegevens-verwerken.

De school zou in ieder geval moeten kunnen aangeven op basis van welke grondslag dit gebeurd. Idealiter is dat ook terug te vinden in een privacyverklaring (o.i.d.).

In dit geval vermoed ik dat één van de volgende opties op gaat:
1. Het gebeurd op basis van de CBS-wet (https://wetten.overheid.nl/BWBR0015926/2019-01-01)

2. De school anonimiseert de gegevens (op basis van gerechtvaardigd belang) en geeft het dan anoniem door aan het CBS. De AVG is niet van toepassing op anonieme gegevens.

3. De school doet dit op basis van gerechtvaardigd belang en biedt daarom de ruimte voor bezwaar (opt-out).

Aangezien het om een verwerking t.b.v. statistisch onderzoek gaat zijn er trouwens ook een hele hoop rechten die niet van toepassing kunnen worden verklaard, zie bijvoorbeeld: https://wetten.overheid.n...z=2021-07-01&g=2021-07-01

Het CBS is in mijn ervaring trouwens een partij die netjes omgaat met gegevens dus ik zou mij hier niet al te druk om maken.

[OnTracK]

Ik ben ongeveer 98% zeker dat het inderdaad op basis van de CBS-wet gaat. En dat je vooral eigenlijk de overheid de schuld moet geven dat dat op deze manier gaat. Maar de school mag dat wel wat beter uitleggen.

[Nowhereman]

Kapiteiniglo schreef op donderdag 27 januari 2022 @ 15:58:
Zoals al eerder gezegd is voor het verwerken van persoonsgegevens niet per se toestemming nodig.
...

Dank voor het nemen van de tijd om dit allemaal op te snorren en neer te pennen.
Ik ben een leek op dit gebied maar ik doe mijn best dit allemaal te bevatten.

Als ik de CBS wet doorneem dan handelt deze over de gegevens van diverse entiteiten waar het CBS gebruik van mag maken. Ik zie daar nergens een referentie aan onderwijs instellingen. Wel lees ik ' openbare lichamen', als ik daar de definitie van zoek dan krijg ik enkel zaken terug die over gemeenten en bijzondere gemeenten handelen. Vallen scholen hier dan toch onder?

Verder neem ik 'gebruik van mag maken' dan letterlijk, men mag deze gegevens gebruiken. Dat zegt echter nog niets over het verstrekken daar van en de eventuele toestemming of is deze impliciet?

Bij punt 2 benoem je dat de school de gegevens anonimiseerd, dat is dus niet het geval. In het geval van het aanbieden van geanonimiseerde gegevens was mijn bezwaar ook niet aanwezig geweest.

Ik ben verder niet bang dat er bij eht CBS gekke dingen gebeuren, het gaat mij vooral om hoe de school hier nu mee omgaat. Ik wil dit tevens goed uitzoeken en onderbouwen als ik eventueel een gesprek aan ga met school over hoe er gehandeld is, ik wil dan wel weten dat ik het bij het rechte eind heb

[voske]

Met een beetje bladeren kwam ik het Juridisch kader van het Nationaal Cohortonderzoek Onderwijs tegen.

Daarin wordt o.a. verwezen naar de Wet register onderwijsdeelnemers die onder meer bepaalt in artikel 22 dat de basisgegevens en de diplomagegevens met het persoonsgebonden nummer worden verstrekt aan het CBS voor zover dit noodzakelijk is voor de gegevensverstrekking door het CBS aan de minister of het college van B&W.

Daarnaast verzoekt het CBS kennelijk om gegevens uit het leerlingvolgsysteem. Daarover schrijft men:

Wettelijke grondslag primaire gegevensverwerking LVS
Schoolbesturen in het primair onderwijs dragen zorg voor de kwaliteit van het onderwijs (art. 10 Wpo, vgl. art. 19 WEC voor speciaal onderwijs) en bewaken dat leerlingen een ononderbroken ontwikkelingsproces kunnen doorlopen en dat het onderwijs wordt afgestemd op de voortgang in de ontwikkeling van leerlingen, mede met behulp van het leerling- en onderwijsvolgsysteem (met verwijzing naar art. 8 Wpo, vgl. art. 11 lid 7 en 8, art. 21 lid 4 sub a WEC). Ze rapporteren over de vorderingen van de leerlingen aan de ouders (art. 11 Wpo, vgl. art. 20 WEC). Art. 8 lid 6 en 7 Wpo (vgl. art. 11 lid 7 en 8 WEC) verplicht scholen voor primair onderwijs om een LVS te hebben voor in ieder geval Nederlandse taal, rekenen en wiskunde met toetsen die zijn goedgekeurd door een onafhankelijke commissie. Deze wettelijke verplichting van een LVS geldt niet voor het voortgezet onderwijs. Wel geldt de algemene verplichting voor het zorgdragen voor onderwijskwaliteit door schoolbesturen (art. 23a Wvo) en om aan leerlingen, ouders en verzorgers te rapporteren over de vorderingen van leerlingen (art. 23b Wvo).
(...)
Levering gegevens toets prestaties LVS aan CBS
Het NRO en het CBS doen een verzoek aan schoolbesturen om LVS-gegevens over toets prestaties aan te leveren voor koppeling aan het NCO-bestand bij het CBS. De toets prestaties van leerlingen betreffen gewone (‘niet-bijzondere’) persoonsgegevens. Als iemand niet goed of juist heel goed scoort op genoemde vaardigheden is dit op zichzelf namelijk geen gegeven over gezondheid dat een ‘bijzonder’ persoonsgegeven is.
Gelet op het feit dat deze gegevens op een rechtmatige manier zijn verwerkt door de schoolbesturen en de verdere verwerking van de persoonsgegevens is toegestaan op grond van artikel 5 lid 2 jo. artikel 89 AVG is er geen toestemming vereist van de ouders of de leerlingen voor de verdere verwerking. Wel moeten de ouders door het schoolbestuur geïnformeerd worden en hebben zij het recht op bezwaar tegen verwerking van de persoonsgegevens van hun kinderen voor het NCO.
Schoolbesturen zijn niet verplicht om gehoor te geven aan het verzoek van het NRO en het CBS om de LVS-gegevens te delen. Zij kunnen zich vrijwillig aansluiten bij het NCO. De schoolbesturen zijn verwerkingsverantwoordelijke voor de LVS-gegevens en moeten naleving van de AVG borgen voor deze gegevens. De verwerkingsverantwoordelijken voor het koppelen van het LVS aan het NCO zijn het CBS, het NRO (NWO) en de schoolbesturen. Deze partijen sluiten een overeenkomst (regeling voor gezamenlijke verwerkingsverantwoordelijken) ten behoeve van de koppeling van gegevens over de toets prestaties van leerlingen voor het NCO bij het CBS.
Voor doorlevering van de LVS-gegevens zijn softwareleveranciers als ‘verwerker’ verantwoordelijk. Dit kunnen zij doen vanuit hun bestaande verwerkersovereenkomst met schoolbesturen (‘verwerkingsverantwoordelijke’). Eventueel kunnen schoolbesturen hiervoor een aanvullende verwerkersovereenkomst afsluiten met de softwareleverancier.

[LA-384]

Nowhereman schreef op donderdag 27 januari 2022 @ 11:16:
Het gaat mij er vooral om of school dit soort gegevens zonder toestemming vooraf zomaar mag delen. Het voelt voor mij niet ok dat de gegevens van Nowhereman Jr (leuk bedacht!) 'zomaar' verstrekt kunnen worden. Zelf ben ik altijd behoorlijk secuur met het delen van mijn gegevens.

In principe doen ze dat ook niet toch? Je schrijft zelf:

Nowhereman schreef op donderdag 27 januari 2022 @ 10:26:
We konden hier bezwaar tegen aantekenen maar aangezien dat wat weggemoffeld stond in de laatste alinea hebben veel ouders daar net als ik zelf, overheen gelezen.

Stond het echt "weggemoffeld" of stond het gewoon in hetzelfde lettertype/-grootte als de rest van de brief, maar heb je de brief niet aandachtig genoeg gelezen? Er werd al vermeld dat er persoonsgegevens gedeeld zouden worden. Of de mogelijkheid tot bezwaar nou wel of niet benoemd werd in de brief, als je het er niet mee eens was, had je ook gewoon contact op kunnen nemen met de school toch?

Of opt-out netjes of volgens de regels is in deze, weet ik geen antwoord op, maar je eigen onoplettendheid op de school afschuiven, is denk ik ook niet helemaal netjes. Het lijkt mij dat je nog steeds bezwaar kan maken, misschien niet met terugwerkende kracht (het kwaad is al geschiedt), maar wellicht wel kunnen stoppen van verder delen van informatie.

[Voor 8% gewijzigd door LA-384 op 28-01-2022 06:41]

[Nowhereman]

voske schreef op donderdag 27 januari 2022 @ 17:59:
Met een beetje bladeren kwam ik het Juridisch kader van het Nationaal Cohortonderzoek Onderwijs tegen.

Daarin wordt o.a. verwezen naar de Wet register onderwijsdeelnemers die onder meer bepaalt in artikel 22 dat de basisgegevens en de diplomagegevens met het persoonsgebonden nummer worden verstrekt aan het CBS voor zover dit noodzakelijk is voor de gegevensverstrekking door het CBS aan de minister of het college van B&W.

Daarnaast verzoekt het CBS kennelijk om gegevens uit het leerlingvolgsysteem. Daarover schrijft men:

[...]

Dank voor het opzoeken en napluizen van dit artikel.
Het artikel handelt over het Leerling Volg Systeem. Ik heb nagekeken wat daar allemaal in zou moeten staan maar vind daar enkel zaken terug als informatie van toets uitslagen en sociaal emotionele ontwikkeling. In een LVS zouden voor zover ik kan vinden geen identificerende gegevens moeten staan anders dan een leerling volgnummer.

Verder heb ik gezocht naar de rechtmatige grondslag van het bewaren van het BSN door een school.
Volgens onderstaand artikel (*1) is er geen rechtmatige grondslag voor het bewaren van het BSN na de registratie van een leerling. Aangezien ik geen wetsgeleerde ben is mijn zoeken in die materie niet heel sterk, ik kan in iedergeval niets vinden dat stelt dat bovenstaande anders is.

(*1):
https://www.privacyopscho...kje-Privacy-op-School.pdf

[voske]

Nowhereman schreef op vrijdag 28 januari 2022 @ 09:44:
[...]
Het artikel handelt over het Leerling Volg Systeem. Ik heb nagekeken wat daar allemaal in zou moeten staan maar vind daar enkel zaken terug als informatie van toets uitslagen en sociaal emotionele ontwikkeling. In een LVS zouden voor zover ik kan vinden geen identificerende gegevens moeten staan anders dan een leerling volgnummer.

Zou het kunnen zijn dat dat leerling volgnummer het onderwijsnummer is dat ook wordt genoemd in het juridisch kader (zie bijv. p. 3)?. Als men de gegevens uit het LVS samen met het onderwijsnummer verstrekt aan het CBS kan het CBS het koppelen aan de gegevens die het krijgt uit het basisregister onderwijs (daarin zitten onder meer het burgerservicenummer, het onderwijsnummer en de identificerende gegevens).

[Nowhereman]

Vandaag de AP gebeld. Deze vonden het opmerkelijk dat BSN en adres gegevens worden gedeeld maar merkten tevens op dat er mogelijk een wettelijke grondslag bestaat. Om dit helder te krijgen heb ik een mail gestuurd naar de Functionaris voor de Gegevensbescherming van de koepel waar de school onder valt. Ik had geen idee dat een dergelijke functie bestond. Ik moet zeggen dat ik in korte tijd best veel leer van dit uitpluizen

[Nowhereman]

voske schreef op vrijdag 28 januari 2022 @ 10:23:
[...]


Zou het kunnen zijn dat dat leerling volgnummer het onderwijsnummer is dat ook wordt genoemd in het juridisch kader (zie bijv. p. 3)?. Als men de gegevens uit het LVS samen met het onderwijsnummer verstrekt aan het CBS kan het CBS het koppelen aan de gegevens die het krijgt uit het basisregister onderwijs (daarin zitten onder meer het burgerservicenummer, het onderwijsnummer en de identificerende gegevens).

Daarom vraag ik mij dus af waarom BSN en adres ook worden verstrekt, ik kan niet vinden dat dit onderdeel zou zijn van een LVS, daarnaast las ik een artikel dat een school het BSN niet zou mogen bewaren na de registratie en derhalve dus het BSN helemaal niet zou moeten kunnen verstrekken. Maargoed, dat is geen wet of rechtsgerelateerde site dus ik ben behoudend in mijn waarde oordeel.

[psychodude]

Dit stelt het CBS hierover:

Na invoering van de Wet op het Onderwijsnummer hebben alle leerlingen en studenten in het reguliere onderwijs in Nederland een onderwijsnummer. In het verleden werd dit ook wel het persoonsgebonden nummer genoemd. Het onderwijsnummer komt in principe overeen met het burgerservicenummer (voorheen sofinummer), tenzij dit niet voorhanden is.
Voor het onderwijs gebeurt de registratie via het onderwijsnummer bij de Dienst Uitvoering Onderwijs (DUO) in het zogenaamde Basisregister Onderwijsnummer (BRON). Het onderwijsnummer blijft gedurende de gehele schoolcarrière hetzelfde. Hierdoor kan van elke leerling de schoolloopbaan over de jaren heen gevolgd worden.
Bij het CBS wordt het burgerservicenummer, het onderwijsnummer en andere identificerende persoonskenmerken vervangen door een willekeurig volgnummer, zodat het voor interne en externe onderzoekers niet duidelijk is om wie het gaat, maar wel dat het bij koppeling van bestanden om dezelfde leerling/student gaat.

Met andere woorden, BSN wordt gebruikt om verloop in tijd te kunnen registreren voor de schoolprestaties. Wat ergens natuurlijk ook logisch is, zonder mis ue dit zicht op zittenblijven, niveau wisseling, etc. Ergens moet dit gekoppeld zijn.

En adres zal zijn omdat het CBS per wijk ook schoolperformance rapporteert. En schoolwijk niet overeen hoeft te komen met jouw wijk.

[Voor 5% gewijzigd door psychodude op 28-01-2022 18:41]

[MagniArtistique]

Het CBS staat voor centraal bureau voor statistiek. Niet voor Centraal Bureau voor Stasi-werkzaamheden.

Vertrouw erop dat het goed komt. Niet alles wat je kunt aanvechten in het kader van AVG hoef je ook aan te vechten.

[Voor 4% gewijzigd door MagniArtistique op 28-01-2022 19:36]

[defiant]

Dit topic past gezien het onderwerp beter in ons Privacy en Beveiliging forum.

[Nowhereman]

Vandaag reactie gehad van de Functionaris voorde Gegevensbescherming van de koepel. Deze stelt onderstaande.

"De verwerkingsgrondslag is de wettelijke verplichting van het schoolbestuur om leerlingen van terugkoppeling te voorzien over hun voortgang en voor het monitoren van de kwaliteit van het onderwijs."