Autoriteit Persoonsgegevens: bezwaar tegen wijziging Wet register onderwijsdeelnemers

28 januari 2022 | Blog

Eind vorig jaar heeft de Autoriteit Persoonsgegevens (‘AP’) zowel een advies gepubliceerd over de wijziging Wet register onderwijsdeelnemers en heeft zij een Paper uitgebracht ten behoeve van het commissiedebat Digitalisering in het onderwijs. In dit Paper komt onder meer de uitwisseling van gegevens in samenwerkingsverbanden terug als een van de trends en risico’s binnen het onderwijs. In dit Paper noemt de AP nog twee andere trends en risico’s, namelijk de monitoring van leerlingen en studenten en de afhankelijkheid van grote leveranciers. In een volgende blog zal aandacht worden besteed aan dit Paper.

In dit blog staan we stil bij het advies van de AP over het wetsvoorstel voor de wijziging van de Wet register onderwijsdeelnemers (WRO). Eind vorig jaar is het wetsvoorstel ingediend bij de Tweede Kamer en is het advies van de AP, dat dateert van maart 2021, over het voorstel gepubliceerd. De AP is kritisch en vindt de noodzaak van de wijzigingen van de wet op dit moment onvoldoende onderbouwd. Lees in dit blog meer over een aantal kritische kanttekeningen die de AP plaatst bij het wetsvoorstel.

De wijzigingen

Het wetsvoorstel bevat diverse wijzigingen van de WRO. De AP gaat in haar advies in op een van deze wijzigingen, namelijk de gegevensverstrekking uit het register aan instellingen voor hoger onderwijs en aangewezen organisaties.

De in dit kader relevante huidige bepaling van de WRO, artikel 23,  bepaalt dat de basisgegevens (gegevens over onderwijsdeelnemers) kunnen worden verstrekt aan door de minister van Onderwijs, Cultuur en Wetenschap ‘aangewezen onderzoeksinstellingen voor zover dit noodzakelijk is voor onderzoeksactiviteiten naar de kwaliteit en toegankelijkheid van het beroepsonderwijs, het voortgezet algemeen volwassenonderwijs en het hoger onderwijs.’

Met de voorgestelde wijziging wordt de bovenstaande kring van organisaties en doelomschrijving uitgebreid. Zo is in het nieuwe artikel 23 WRO opgenomen dat basisgegevens kunnen worden verstrekt aan instellingen als bedoeld in artikel 1.2 Wet op het hoger onderwijs en wetenschappelijk onderzoek. Hieronder valt een groot aantal instellingen in Nederland, onder meer (vrijwel) alle universiteiten, hogescholen en academische ziekenhuizen.

De AP geeft aan dat het concept als gevolg zal hebben dat grote hoeveelheden persoonsgegevens, waaronder bijzondere persoonsgegevens (gezondheidsgegevens) worden verstrekt aan diverse aangewezen privaatrechtelijke organisaties. Hierdoor zal de overheid de controle verliezen over de haar toevertrouwde gegevens. De AP wijst op risico’s ten aanzien beveiliging van de gegevens en onverenigbaar gebruik (function creep). Daarnaast kan er druk ontstaan om de gegevens voor andere doeleinden te gebruiken, nu private partijen andere belangen hebben en meer ruimte naar eigen inzicht gewenste activiteiten te ondernemen, aldus de AP.

De AP stelt dan ook dat het vanuit het oogpunt van gegevensbescherming van belang is dat persoonsgegevens die zijn verzameld voor een specifieke overheidstaak, en niet specifiek met het oog op terbeschikkingstelling aan private partijen, zoveel mogelijk in het publieke domein moeten blijven.

De AP adviseert om de noodzaak van de gegevensverstrekkingen aan aangewezen organisaties nader te onderbouwen in de toelichting dan wel om van de gegevensverstrekkingen af te zien.

Indien alsnog wordt voorzien in een deugdelijke onderbouwing in de toelichting bij het wetsvoorstel, dan heeft de AP de volgende adviezen.

Geanonimiseerde of gepseudonimiseerde gegevens

De AP verwijst naar de MvT, waaruit blijkt dat aangewezen organisaties gepseudonimiseerde gegevens nodig hebben voor bepaalde informatieproducten. Wanneer door een dergelijke organisatie niet voldoende kan worden aangetoond dat gepseudonimiseerde gegevens noodzakelijk zijn voor het specifieke doel dat de organisatie nastreeft, kan ook worden volstaan met het verstrekken van geanonimiseerde gegevens. Door de AP wordt aangegeven dat hieruit kan worden opgemaakt dat het verstrekken van alleen geanonimiseerde of gepseudonimiseerde aan de aangewezen organisaties voldoende is.

Doelmatigheid

Verder wijst de AP op het ontbreken van een definitie van het doeleinde ‘doelmatigheid van het onderwijs’, dit terwijl het wetsvoorstel de doelomschrijving uitbreidt met ‘doelmatigheid van het onderwijs’. Op grond van de AVG mogen persoonsgegevens alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Het is dus niet duidelijk wat hieronder wordt verstaan, waarmee het tevens niet als welbepaald in de zin van de AVG kan worden beschouwd. De AP adviseert dan ook om het doeleinden ‘doelmatigheid van het onderwijs’ nader te specificeren in het concept.

Uitzonderingsgrond verwerkingsverbod bijzondere persoonsgegevens voor onderzoeksactiviteiten

Het wetsvoorstel bevat een expliciete grondslag om gegevens aan aangewezen organisaties te verstrekken voor onderzoeksactiviteiten.

De AP geeft aan dat er weliswaar een aantal waarborgen zijn, maar dat de proportionaliteit van de gegevensverwerkingen daarmee nog niet is gegeven. De AP adviseert dan ook om de proportionaliteit van het verstrekken van gegevens over gezondheid voor onderzoeksactiviteiten te onderbouwen in de toelichting.

Ondersteuning van onderwijsinstellingen en samenwerkingsverbanden

De AP geeft aan dat uit de toelichting volgt dat sectorraden gegevens uit het register nodig hebben voor twee doelen, namelijk (i) onderzoeksactiviteiten en (ii) ondersteuning van onderwijsinstellingen en samenwerkingsverbanden bij hun verantwoording omtrent de kwaliteit, doelmatigheid en toegankelijkheid van het onderwijs. De AP adviseert om in het wetsvoorstel te expliciteren dat gegevens uit het register voor de ondersteuning van onderwijsinstellingen en samenwerkingsverbanden alleen worden verstrekt aan de sectorraden. Wanneer het tevens de bedoeling is dat ook andere aangewezen organisaties deze ondersteuning gaan verrichten, adviseert de AP om dit in de toelichting te onderbouwen.

Uitzonderingsgrond verwerkingsverbod bijzondere persoonsgegevens voor ondersteuning van onderwijsinstellingen en samenwerkingsverbanden

Door de AP wordt aangegeven dat het wetsvoorstel een expliciete grondslag bevat om gezondheidsgegevens (bijzondere persoonsgegevens) aan aangewezen organisaties te verstrekken voor ondersteuning van onderwijsinstellingen en samenwerkingsverbanden. Uit de MvT volgt dat de uitzonderingsgrond uit artikel 9 lid 2 sub g AVG, zwaarwegend belang, van toepassing is. De AP benadrukt dat ‘zwaarwegend belang’ betekent dat er niet alleen sprake moet zijn van een belang dat maatschappelijk relevant is, maar ook van wezenlijke importantie. De in de MvT genoemde informatieproducten (benchmarks, dashboards, landelijke overzichten met informatie over individuele instellingen en over de sector als geheel) kunnen als maatschappelijk belang dienen, maar kwalificeren niet als zwaarwegend algemeen belang als bedoeld in de AVG, aldus de AP. Mogelijk is er wel sprake van statistische doeleinden in de zin van artikel 9 lid 2 sub j AVG. In dat licht adviseert de AP dan ook de verwerking te beperken tot wat kan worden onderbouwd als passend onder de uitzonderingsgrond van artikel 9 lid 2 sub j AVG en de toelichting met betrekking tot dit punt aan te vullen.

Grondslag

Voor de verwerking van bijzondere persoonsgegevens geldt dat naast een uitzonderingsgrond uit artikel 9 AVG de verwerking tevens gebaseerd dient te worden op een grondslag uit artikel 6 lid 1 AVG. De AP wijst erop dat uit de MvT echter niet blijkt welke grondslag of grondslagen van toepassing is of zijn. Ten aanzien van de grondslag adviseert de AP dan ook om in de MvT te onderbouwen welke grondslag of grondslagen van toepassing zijn.

Hoewel het advies niet bindend is, kan de AP wel een onderzoek starten indien het advies terzijde wordt geschoven. Het is dus even afwachten wat er met het advies van de AP wordt gedaan.

Heeft u vragen over privacy binnen het onderwijs? Neem dan contact op met Jurriaan Dane.  

Meld u aan voor onze nieuwsbrieven