AVG en digitaal toetsen: een privacychecklist voor scholen

Wanneer leerlingen een digitale toets maken, verwerkt het toetsplatform persoonsgegevens: namen, leerlingnummers, toetsresultaten, IP-adressen en soms ook gegevens over wat er tijdens de toets gebeurt, zoals het wisselen van tabblad. Al deze gegevens vallen onder de Algemene verordening gegevensbescherming (AVG). Een school kan daarom niet zomaar elk toetsplatform inzetten. In dit artikel lees je welke privacy-eisen spelen, krijg je een praktische checklist en lees je hoe TestWisely ermee omgaat.

Waarom is privacy bij digitaal toetsen zo belangrijk?

De meeste leerlingen in het voortgezet onderwijs zijn minderjarig. De AVG geeft kinderen extra bescherming, omdat zij zich minder bewust zijn van de risico’s (overweging 38 AVG). Toetsresultaten zeggen iets over prestaties en kunnen gevoelig zijn. Denk aan een leerling die op een vak structureel laag scoort. Bij de verkeerde partij kan die informatie schade doen. Daarnaast verwerken toetsplatformen vaak meer dan cijfers, zoals inlogtijden, apparaatgegevens en wat er tijdens de toets gebeurt.

Gebruikt een school externe software, dan blijft het schoolbestuur verwerkingsverantwoordelijke (artikel 4, onderdeel 7 AVG). De school bepaalt waarvoor en hoe de gegevens worden verwerkt en draagt de eindverantwoordelijkheid. De leverancier is verwerker en werkt in opdracht van de school.

De zeven belangrijkste AVG-punten voor toetsplatformen

Hieronder staan zeven punten die bij elk digitaal toetsplatform terugkomen. De meeste plichten liggen bij de school als verwerkingsverantwoordelijke. De leverancier moet de school in staat stellen eraan te voldoen.

1. Verwerkersovereenkomst

Verwerkt een externe partij persoonsgegevens namens de school, dan moeten school en leverancier een verwerkersovereenkomst sluiten (artikel 28, lid 3 AVG). Daarin staat onder meer welke gegevens worden verwerkt, van wie, voor welk doel en hoe lang, en welke beveiligingsmaatregelen de verwerker neemt. In het onderwijs gebruiken scholen en leveranciers hiervoor vaak de modelverwerkersovereenkomst van het Privacyconvenant Onderwijs. Zonder verwerkersovereenkomst voldoet de school niet aan de AVG.

2. Gegevens buiten Europa

De AVG verbiedt opslag buiten Europa niet, maar stelt er wel eisen aan. Doorgifte naar een land buiten de Europese Economische Ruimte (EER) mag alleen met een adequaatheidsbesluit van de Europese Commissie of met passende waarborgen, zoals standaardcontractbepalingen (hoofdstuk V AVG). Voor de Verenigde Staten geldt sinds juli 2023 het EU-US Data Privacy Framework, maar alleen voor bedrijven die zich onder dat kader hebben gecertificeerd. Vraag daarom altijd waar de gegevens staan en welke subverwerkers de leverancier inzet.

3. Doelbinding

Persoonsgegevens mag je alleen verzamelen voor een duidelijk omschreven doel, en daarna niet gebruiken op een manier die daar niet bij past (artikel 5, lid 1, sub b AVG). Een leverancier die als verwerker optreedt, mag de gegevens alleen gebruiken volgens de instructies van de school. Bepaalt hij zelf andere doelen, zoals marketing, dan geldt hij voor die verwerking als verwerkingsverantwoordelijke (artikel 28, lid 10 AVG). Leg daarom in de verwerkersovereenkomst precies vast waarvoor de gegevens gebruikt mogen worden.

4. Minimale dataverzameling

Het principe van dataminimalisatie houdt in dat alleen de gegevens worden verzameld die nodig zijn voor het doel (artikel 5, lid 1, sub c AVG). Een toetsplatform heeft een naam en klas nodig om resultaten te koppelen, maar heeft het echt een geboortedatum, adres of foto nodig? Hoe minder gegevens worden verzameld, hoe kleiner het risico bij een datalek.

5. Bewaartermijnen

Persoonsgegevens mogen niet langer worden bewaard dan nodig is voor het doel (artikel 5, lid 1, sub e AVG). De AVG noemt geen vaste termijn voor toetsresultaten. De school bepaalt die zelf, en houdt daarbij rekening met andere regels, zoals die voor het examendossier. Leg de termijnen vast in de verwerkersovereenkomst. Eindigt de dienstverlening, dan moet de leverancier de gegevens wissen of teruggeven, naar keuze van de school (artikel 28, lid 3, sub g AVG).

6. Rechten van betrokkenen

Leerlingen hebben onder de AVG onder meer recht op inzage, rectificatie, wissing, beperking van de verwerking en bezwaar (artikelen 15 tot en met 21 AVG). Bij leerlingen jonger dan 16 kunnen de ouders die rechten namens hun kind uitoefenen. Niet elk recht geldt altijd: zo hangt het recht op dataportabiliteit af van de grondslag van de verwerking. Een verzoek komt bij de school binnen, die binnen een maand moet reageren (artikel 12, lid 3 AVG). De leverancier moet de school daarbij helpen (artikel 28, lid 3, sub e AVG).

7. Beveiliging

De AVG vraagt passende technische en organisatorische maatregelen, afgestemd op het risico (artikel 32 AVG). Het artikel noemt onder meer versleuteling. Bij een toetsplatform ligt het voor de hand om te kijken naar versleutelde verbindingen, toegang per rol, vastleggen wie welke gegevens inziet en regelmatige updates. Bij een datalek moet de leverancier de school zonder onredelijke vertraging informeren (artikel 33, lid 2 AVG). De school meldt een datalek binnen 72 uur nadat ze ervan weet bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert (artikel 33, lid 1 AVG).

Checklist: 10 vragen aan je toetsplatform-leverancier

Voordat je een digitaal toetsplatform aanschaft of verlengt, stel deze tien vragen aan de leverancier. De antwoorden geven je een helder beeld van hoe de leverancier met privacy omgaat.

• 1. Bieden jullie een verwerkersovereenkomst aan die voldoet aan artikel 28 AVG?
• 2. Waar worden de gegevens van leerlingen opgeslagen, en gaan er gegevens naar landen buiten de EER?
• 3. Worden persoonsgegevens gedeeld met derden of subverwerkers, en zo ja, met wie en waarvoor?
• 4. Welke gegevens verzamelen jullie precies, en waarom is elk gegeven nodig?
• 5. Wat zijn de bewaartermijnen en hoe worden gegevens verwijderd na afloop?
• 6. Hoe helpen jullie de school bij een verzoek om inzage of verwijdering?
• 7. Welke beveiligingsmaatregelen zijn getroffen? Hebben jullie een certificering zoals ISO 27001?
• 8. Hoe worden datalekken afgehandeld en hoe snel informeren jullie de school?
• 9. Kunnen jullie informatie leveren voor onze DPIA?
• 10. Worden gegevens gebruikt voor AI-training, analyses of andere doelen buiten de toetsafname, en zo ja, in welke vorm?

Hoe TestWisely ermee omgaat

Hieronder lees je per punt hoe TestWisely dit regelt. De details staan in onze privacyverklaring en op de pagina Subverwerkers.

• Verwerkersovereenkomst: voor leerling- en docentgegevens op het platform is de school verwerkingsverantwoordelijke en TestWisely verwerker, op grond van een verwerkersovereenkomst met de school.
• Waar de gegevens staan: op de pagina Subverwerkers staat welke partijen TestWisely inzet, met hun doel en locatie.
• Doelbinding: TestWisely verwerkt deze gegevens alleen op basis van de schriftelijke instructies van de school.
• Welke gegevens: onder meer voornaam, klas, leerlingnummer, toetsantwoorden en toetsscores.
• Bewaartermijnen: die bepaalt de school als verwerkingsverantwoordelijke. Ze staan in de privacyverklaring van de school.
• Rechten van betrokkenen: een verzoek om inzage, rectificatie of verwijdering richt je aan de school. TestWisely helpt de school bij de afhandeling.
• Beveiliging: welke maatregelen TestWisely neemt, staat in de privacyverklaring. Leerlingen loggen in met hun schoolaccount via Entree, of maken een toets zonder account met de toetscode van zes cijfers en een naam die ze zelf invullen. Bij die tweede manier controleert TestWisely niet wie de leerling is; de docent ziet in de monitor wie meedoet. Docenten loggen in via Entree of met hun e-mailadres en wachtwoord.

Inloggen via Entree

TestWisely ondersteunt Entree, de inlogdienst van Kennisnet voor het Nederlandse onderwijs. Leerlingen en docenten loggen in met hun bestaande schoolaccount. Wie zo inlogt, maakt bij TestWisely geen apart wachtwoord aan. Via Entree krijgt TestWisely door wie je bent, bij welke school je hoort en of je leerling of medewerker bent, zodat je bij de juiste school en klas terechtkomt. Inloggen zonder account, met een toetscode en een naam, blijft daarnaast mogelijk.

DPIA: wanneer is een gegevensbeschermingseffectbeoordeling verplicht?

Een DPIA (Data Protection Impact Assessment, in het Nederlands gegevensbeschermingseffectbeoordeling) is verplicht als een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van mensen (artikel 35 AVG). Bij digitaal toetsen is dat vaak het geval: het gaat om gegevens van veel leerlingen, meestal minderjarig, en om het beoordelen van hun prestaties.

De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is. Daarnaast hanteren de Europese privacytoezichthouders negen criteria. Voldoet een verwerking aan twee of meer daarvan, dan is een DPIA meestal nodig. Een DPIA helpt om risico’s in kaart te brengen en maatregelen te nemen voordat je met het toetsplatform aan de slag gaat.

• Wanneer nodig: vaak als meerdere criteria samenkomen, zoals gegevens van kinderen, het beoordelen van prestaties, het stelselmatig volgen van gedrag tijdens de toets of de inzet van nieuwe technologie zoals AI-nakijken
• Wat beschrijf je: de aard en het doel van de verwerking, de noodzaak en evenredigheid, de risico’s voor betrokkenen en de maatregelen om die risico’s te beperken (artikel 35, lid 7 AVG)
• Wie voert het uit: de school als verwerkingsverantwoordelijke, met advies van de functionaris gegevensbescherming (FG)
• Rol van de leverancier: een verwerker moet de school helpen bij de DPIA en de informatie aanleveren die daarvoor nodig is (artikel 28, lid 3, sub f AVG)

Veelgemaakte fouten bij privacy en digitaal toetsen

• Geen verwerkersovereenkomst afsluiten: "We gebruiken het al jaren" is geen rechtvaardiging. Zonder overeenkomst handelt de school in strijd met de AVG.
• Gratis tools gebruiken zonder privacycheck: bij gratis diensten is het verdienmodel soms gebaseerd op gegevens. Controleer altijd de voorwaarden.
• Aannemen dat de leverancier het regelt: de school blijft verwerkingsverantwoordelijke. Privacy is jouw verantwoordelijkheid, niet die van de leverancier.
• Geen register van verwerkingsactiviteiten bijhouden: dit is verplicht onder artikel 30 AVG. Een school verwerkt leerlinggegevens structureel, dus de uitzondering voor kleine organisaties geldt niet.
• Leerlinggegevens exporteren naar onbeveiligde systemen: resultaten downloaden en per e-mail versturen vergroot het risico op een datalek.

Samenvatting: privacy als basis

De AVG is geen administratieve last maar een bescherming voor leerlingen. Door vooraf de juiste vragen te stellen en te kiezen voor een platform dat privacy serieus neemt, voorkom je problemen achteraf. Gebruik de checklist uit dit artikel als leidraad bij je volgende aanbesteding of leveranciersgesprek.

Privacy is geen functionaliteit die je erbij bouwt. Het is de basis waarop je een betrouwbaar toetsplatform bouwt.

Wil je weten hoe TestWisely omgaat met de privacy van jouw leerlingen? Lees onze privacyverklaring en de pagina Subverwerkers, of neem contact op met vragen over de verwerkersovereenkomst.