Monitoring van schoollaptops brengt echter risico’s met zich mee omdat er wordt meegekeken in de persoonlijke omgeving van de leerling. Als de school gebruik maakt van monitoring is die verantwoordelijk voor de verwerking van persoonsgegevens. Daarom is het belangrijk dat de school de verplichtingen van de Algemene Verordening Gegevensbescherming (‘AVG’) naleeft.
Voorbeelden:
- Een leerkracht die ziek thuis zit, mag niet controleren waar de leerlingen tijdens het studie-uurtje op school mee bezig zijn.
- Leerkrachten mogen niet controleren wat leerlingen thuis doen op hun schoollaptop wanneer ze huiswerk maken.
Het monitoren van schoollaptops mag dus niet gewoon ingezet worden omdat het ‘gemakkelijk’ is voor de leerkracht. De belangrijkste aandachtspunten worden hieronder kort weergegeven.
Regels die scholen moeten volgen
Scholen mogen enkel gebruikmaken van monitoringssoftware wanneer ze:
- Een doel hebben vastgelegd
- Een wettelijke reden hebben
- Enkel gegevens verwerken die écht noodzakelijk zijn om het doel te bereiken
- Geen alternatieven hebben die minder impact hebben op je privacy
- Informatie gegeven hebben over het gebruik van de monitoringssoftware: hoe de software werkt, waarom die noodzakelijk is, wat jouw rechten zijn en hoe je die kunt uitoefenen
- De gegevens goed beveiligen en niet langer bewaren dan nodig
De school moet ervoor zorgen dat al deze regels worden gevolgd en dat leerkrachten geen misbruik maken van de monitoringssoftware.
Verdere toelichting
Het is cruciaal dat de school op voorhand nauwkeurig bepaalt waarom die monitoringssoftware wil gebruiken. Verwerking van persoonsgegevens moet altijd gebeuren met een duidelijk doel.
De school moet ook een wettelijke reden hebben om monitoringssoftware te gebruiken. Ze moet dus kunnen aantonen dat het gebruik van monitoringssoftware noodzakelijk is voor het uitvoeren van een taak die ze in het kader van het algemeen belang uitoefent. Als er bovendien alternatieven zijn die minder impact hebben op het recht op bescherming van persoonsgegevens van de leerlingen en hetzelfde doel bereiken, moet de school hiervoor kiezen.
Ook dataminimalisatie is tenslotte van belang. Dit betekent dat de school enkel gegevens mag verwerken die écht noodzakelijk zijn om het doel te bereiken. De school mag dus niet meer persoonsgegevens verzamelen of gebruiken dan nodig. Als er te veel gegevens worden verwerkt, is dat in strijd met de AVG.
Daarnaast is het ook verplicht om de leerlingen en hun ouders op een toegankelijke en begrijpelijke manier te informeren over het gebruik van de monitoringssoftware. Zij moeten geïnformeerd worden over: hoe de software werkt, waarom die noodzakelijk is, wat hun rechten zijn en hoe ze die kunnen uitoefenen.
Het is ook aan te raden om als school richtlijnen voor leerkrachten op te stellen over het gebruik van de software. Zo moet het voor de leerkrachten duidelijk zijn in welke gevallen er wel en niet gebruik mag gemaakt worden van de software en welke tools ze wel en niet mogen inzetten. De school is verantwoordelijk voor het correct gebruik van de monitoringssoftware en moet ook toezien dat er geen misbruik wordt gemaakt door leerkrachten.
De school moet ook zorgen dat de persoonsgegevens zo goed mogelijk beveiligd worden, bijvoorbeeld op een beveiligde server met beperkte toegang. De gegevens mogen niet langer bewaard worden dan strikt noodzakelijk voor het doel. Dit en nog andere aspecten van de verwerking moeten opgenomen worden in een gegevensbeschermingseffectbeoordeling (een zogenaamde ‘GEB’). Het gebruik van monitoringssoftware is namelijk een hoog risico voor het recht op bescherming van persoonsgegevens van leerlingen. De GEB is een soort een impact- en risicoanalyse waarin de effecten op de bescherming van de persoonsgegevens worden geïdentificeerd en beoordeeld. De GEB moet inzicht geven in die risico’s én in de maatregelen die de school zal nemen om die te minimaliseren.
De Bărbulescu-criteria
Het monitoren van schoollaptops mag dus niet zomaar. Ook werkgevers mogen niet zomaar de persoonlijke communicatie van hun personeel monitoren. Hierover werd in de zaak Bărbulescu reeds een belangrijke uitspraak gedaan door het Europees Hof van de Rechten van de Mens.
Om te beoordelen of monitoring wettelijk is, moeten volgende vragen gesteld worden:
- Wist de werknemer op voorhand dat controle mogelijk was?
- Hoe ver ging de controle? Werd alleen gekeken naar wat nodig was, of werd er heel veel persoonlijke informatie bekeken?
- Was er een goede reden voor de monitoring?
- Kon hetzelfde doel op een minder ingrijpende manier bereikt worden?
- Welke gevolgen had de monitoring voor de werknemer?
- Heeft de werkgever de gegevensbescherming van de werknemer genoeg gewaarborgd?
In deze zaak ging het over controle in de werkcontext, maar dit zijn belangrijke criteria om ook andere vormen van controle, zoals in de schoolse context, te kunnen beoordelen. Ook scholen moeten dus voldoen aan de Bărbulescu-criteria bij het gebruik van monitoringssoftware. De verhouding tussen leerling en school is van gelijkaardige orde als de verhouding werknemer en werkgever. Ook hier is sprake van een ongelijke machtsverhouding, wat kan leiden tot misbruik als er niet een aantal waarborgen worden gesteld. In een schoolse context gaat het bovendien over minderjarigen die recht hebben op specifieke bescherming omdat zij zich vaak minder bewust zijn van hun rechten, en de mogelijke risico’s en gevolgen van de verwerking van hun persoonsgegevens soms minder goed kunnen inschatten.
Bezorgd over monitoringssoftware op school?
Maak je je als leerling of ouder zorgen over het gebruik van monitoringssoftware op school? De school is verplicht om jou inzicht te geven in de persoonsgegevens die zij verzamelen en hoe zij hier mee omgaan. Neem dus gerust contact op met de school om hier vragen rond te stellen. Raakt het probleem niet opgelost? Neem dan contact op met de Gegevensbeschermingsautoriteit.
Wil je meer weten over de juridische achtergrond?
Artikelen 5 en 6 AVG vormen zowat het normatieve hart van de AVG. De AVG geeft in art. 5 lid 1, een opsomming van de kernbeginselen die bij iedere verwerking van persoonsgegevens in acht moeten worden genomen. Art. 6 lid 1 AVG bepaalt de grondslag voor een rechtmatige verwerking van persoonsgegevens.
