Is de ontvangende school ook verwerkingsverantwoordelijke in de zin van de AVG?

Het schoolbestuur van het primair onderwijs is verantwoordelijk voor het verzenden van het onderwijskundig rapport (OKR). Echter, de verantwoordelijkheid houdt op, op het moment dat het bericht in de brievenbus van de ontvangende school is ingekomen. Daar begint de verantwoordelijkheid van de ontvangende school.

De dienst OSO is alleen de verkeerstoren die het berichtenverkeer regelt. Daar hoort echter een afsprakenstelsel bij: afspraken over de systemen die op OSO gekoppeld zijn: de leerlingadministratiesystemen (LAS). Een bericht wordt vanuit de LAS van de latende school (basisschool) gestuurd ín de LAS van de ontvangende school (middelbare school). Om in de termen van brievenbus de blijven spreken: OSO is niet alleen de brievenbus, maar ook de mat waarop de envelop valt. Omdat de ontvangende school het OKR dus ontvangt, wordt het in dat systeem geplaatst. Het OKR valt bij de ontvangende school op de mat. En met het op de mat vallen van het OKR, begint de verantwoordelijkheid. Want de ontvangende school is verantwoordelijk voor hun eigen LAS. Dus omdat hun LAS gekoppeld is op OSO, is de ontvangende school verantwoordelijk voor alles wat er zich achter de voordeur plaatsvindt. Daarom ben je ook verwerkingsverantwoordelijke bij het ontvangen van het OKR.

De situatie die je beschrijft, gaat alleen op als het OKR per brievenbuspost naar jullie wordt opgestuurd. Maar OSO is dus meer: OSO gaat ook over de LAS die jullie gebruiken. Het invoeren (inlezen; importeren) van gegevens in jullie systeem kan alleen als jullie verwerkingsverantwoordelijke zijn en dus in die rol een verwerkersovereenkomst met OSO hebben afgesloten.

Wat moet ik regelen op het gebied van passend onderwijs en privacy?

De digitale tool van Steunpunt passend onderwijs geeft overzicht en duidelijkheid over wat samenwerkingsverbanden, schoolbesturen en scholen moeten regelen op het gebied van passend onderwijs en privacy.

De tool is een vereenvoudigde weergave van de werkelijkheid en geeft aan de hand van processtappen een overzicht van de privacy aspecten en veel gestelde vragen.

Bekijk de digitale tool over passend onderwijs en privacy

Tot wanneer mag ik een overstapdossier versturen?

OSO mag gebruikt worden voor het versturen van het overstapdossier in het kader van de overstap van leerlingen. Logischerwijs zit er niet veel tijd tussen het moment van overstap van de leerling en de overdracht van de leerlinggegevens. Maar, in de praktijk komt het wel eens voor dat scholen in eerste instantie een papieren leerlingdossier uitwisselen en later toch nog een (deel van) het digitale leerlingdossier willen uitwisselen. Dit mag, zolang de uitwisseling in het kader van de overstap van de leerling gebeurt.

In de wet wordt geen termijn genoemd waarbinnen de leerlingdossiers, al dan niet behulp van OSO, mogen worden uitgewisseld. Zolang het gebeurt binnen een redelijke termijn, plaatsvindt in het kader van de overstap van de leerling en wordt voldaan aan de andere wettelijke randvoorwaarden (zoals dataminimalisatie en het uitwisselen van enkel relevante gegevens) mag OSO ook enige tijd nadat de leerling is overgestapt worden ingezet voor de uitwisseling van het leerlingdossier. Als redelijke termijn wordt voor de uitwisseling van leerlingdossiers binnen OSO een termijn van maximaal 6 maanden na de overstap aangehouden.

Welke wetten zijn van toepassing op OSO?

• Besluit uitwisseling leer- en begeleidingsgegevens: http://wetten.overheid.nl/BWBR0031619/2012-08-01
• Wet bescherming persoonsgegevens: http://wetten.overheid.nl/BWBR0011468/2016-01-01
• Wet op het primair onderwijs: http://wetten.overheid.nl/BWBR0003420/2016-01-18
• Wet op het voortgezet onderwijs: http://wetten.overheid.nl/BWBR0002399/2016-01-18

Wie moet het contract tussen de school en de Raden ondertekenen?

Voor ondertekening van het contract moet de school wettelijk gezien vertegenwoordigd worden door het bevoegd gezag. Volgens de Wet primair onderwijs en de Wet voortgezet onderwijs is het bevoegd gezag degene die de persoonsgegevens vraagt en verzamelt (‘verwerkt’). Anders gezegd: het is degene of de instantie die wettelijk mag bepalen wie welke gegevens verzamelt en wat daarmee gebeurt.

Als het schoolbestuur als bevoegd gezag het contract ondertekent, hoeft het bestuur maar één overeenkomst te sluit met de Raden – ook als er meer scholen onder het bestuur vallen. Wil je als school het mandaat van deze bevoegdheid geven aan een (locatie)directeur, dan is dat alleen mogelijk als de organisatiestructuur zich daarvoor leent. Dit verschilt per school.

Waarom zit de geboorteplaats niet in het overstapdossier? We hebben dat nodig voor het diploma.

Omdat uit de geboorteplaats de etnische achtergrond van een leerling kan worden opgemaakt, maakt de geboorteplaats geen deel uit van het OKR. Deze informatie mag dus niet via OSO worden uitgewisseld.

In het OKR mogen alleen administratieve gegevens worden vermeld. Het besluit uitwisseling leer- en begeleidingsgegevens verstaat hier uitsluitend onder:

  • naam, voornamen, voorletters, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de leerling;
  • het persoonsgebonden nummer van de leerling;
  • gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van de leerling;
  • administratieve gegevens van de school, binnen welke het rapport is opgesteld, waaronder begrepen een vermelding van de contactpersoon van die school.

Daarnaast heeft de minister uitdrukkelijk besloten dat het uitwisselen van bijzondere persoonsgegevens niet relevant zijn voor de gegevensuitwisseling tussen scholen. Het gaat om gegevens zoals godsdienst, levensovertuiging of ras, maar ook daarvan afgeleide gegevens, zoals etniciteit, nationaliteit, geboorteland, datum van vestiging in Nederland of verblijfstitel.

Een uitzondering hierop is de categorie bijzondere gegevens: medische gegevens. Deze zorggegevens kunnen bijvoorbeeld relevant zijn voor de begeleiding van een leerling in het speciaal onderwijs.

Waarom moet ik als schoolbestuur voor OSO een overeenkomst sluiten met de Raden?

Scholen zijn in de zin van de Algemene verordening gegevensbescherming (AVG) aan te merken als verwerkingsverantwoordelijke. De raden zijn voor het gebruik van OSO verwerker voor de scholen. Een voorbeeld: Een school wil een dienstverlener (een verwerker) inschakelen om voor hem een dienst uit te voeren. Daarbij worden persoonsgegevens verwerkt. Dan moet een verwerkersovereenkomst gesloten worden. Deze verwerkersovereenkomst is een onderdeel van de overeenkomst met de raden.

Daarnaast zijn er wat algemene afspraken in opgenomen zoals wie waarvoor verantwoordelijk is en waar partijen elkaar op kunnen aanspreken.

Moeten ouders toestemming geven om een OSO dossier te versturen?

Nee, er is GEEN toestemming nodig voor de uitwisseling van het OKR bij een overdracht vanaf een basisschool. Net als bij het papieren OKR moet de basisschool voor de uitwisseling van het digitale overstapdossier ouders/verzorgers wel inzage geven in het dossier.

Ouders/verzorgers kunnen het OKR op de huidige school doornemen, waarna de school aangeeft dat er inzage is geweest. Wanneer de ouders/verzorgers het niet eens zijn met de inhoud van het dossier (akkoord nee) kan de school eventuele opmerkingen van de ouders/verzorgers aan het dossier toevoegen. Vervolgens kan de huidige school het dossier klaarzetten voor de nieuwe school. Zodra een leerling is aangemeld, kan de nieuwe school het overstapdossier opvragen bij de huidige school.

Voor de overdracht van het OKR vanaf een middelbare school is WEL toestemming nodig van de ouders/verzorgers (of van de leerling bij 16 jaar of ouder). In het overstapdossier moet worden aangevinkt dat de ouders/verzorgers toestemming hebben gegeven.

Wat is inzage?
De basisschool heeft een informatieplicht richting de ouders, stelt de Autoriteit Persoonsgegevens (AP). Dat betekent dat de school uit zichzelf (actief) inzage geeft aan de ouders. De ouder moet het dossier ontvangen, of inzage krijgen op school. Ook moet de school ervoor zorgen dat de naleving van deze informatieplicht uit het leerlingdossier blijkt. Bij het klaarzetten van het overstapdossier voor OSO moet een vinkje worden gezet bij ‘inzage’ – een veld in het overstapdossier.

Moet het overstapdossier worden bewaard?

Er is geen wettelijk bewaarplicht voor een overstapdossier/OKR. Wél is het zo dat een ouder het OKR moet kunnen inzien vóór de uitwisseling. De school moet achteraf kunnen aantonen dat zij de ouder die mogelijkheid heeft geboden. Dit is geregeld in art. 42 lid 1 Wet primair onderwijs.

Ook bij een uitwisseling tussen vo-scholen geldt er geen wettelijke bewaarplicht voor het overstapdossier. Voor deze uitwisseling is toestemming van de ouder(s) of het kind zelf (wanneer >16) nodig. De school moet achteraf kunnen aantonen dat zij toestemming van de ouder(s) hadden voor de uitwisseling van het overstapdossier.

Kunnen scholen uit het niet-bekostigd onderwijs ook aansluiten op OSO?

Helaas mogen deze scholen niet aansluiten op OSO, omdat zij geen wettelijke grond hebben voor het verwerken van het Burgerservicenummer BSN (of PGN) in de communicatie met andere scholen. OSO maakt gebruik van het BSN/PGN van de leerling om de overdracht van het overstapdossier/OKR te regelen. De niet-bekostigde scholen (zowel in het basis- als voortgezet onderwijs) mogen het BSN wel vastleggen in het kader van de leerplicht, onderwijstoezicht en/of het VSV-beleid. Maar ze mogen dit BSN/PGN niet voor een ander doel gebruiken, zoals bijvoorbeeld de uitwisseling van een overstapdossier/OKR.

Kunnen scholen uit het Caribisch gebied OSO gebruiken?

Nee, dat kan helaas niet. Scholen op de BES-eilanden mogen niet aansluiten op OSO, omdat zij geen wettelijke grond hebben voor het verwerken van het PGN (= Burgerservicenummer (BSN) of onderwijsnummer) in de communicatie met andere scholen. OSO maakt gebruik van het BSN of onderwijsnummer van de leerling om de overdracht van het overstapdossier/OKR te regelen. De BES-eilanden (Bonaire, Sint Eustatius en Saba) vallen weliswaar onder  Nederlandse wetten, maar ze hebben een eigen variant van bijvoorbeeld de Wet op het Primair onderwijs: de WPO BES. De WPO BES is gebaseerd op de WPO, maar verschilt op sommige punten van de Nederlandse wet. Een van die verschillen is een afwijkend persoonsgebonden nummer BES, dat niet is gebaseerd op het BSN.

Aruba, Curaçao en Sint Maarten zijn een gecentraliseerde eenheidsstaat en kunnen daarom niet deelnemen aan OSO. Deze eilanden vallen niet onder de werkingssfeer van de Nederlandse wetten.

Is Kennisnet niet een verwerker voor mijn school, zij leveren toch OSO?

OSO is een dienst van de PO- en de VO-raad. De raden hebben de dagelijkse werkzaamheden die samenhangen met OSO ondergebracht bij Kennisnet. Kennisnet is dus sub-verwerker voor de raden.

Is het uitschrijfbewijs bij gebruik van OSO verplicht?

Ja, voor het primair- en voortgezet onderwijs is het uitschrijfbewijs wettelijk verplicht.

Voor de verstrekking van het uitschrijfbewijs is dit geregeld in:
Artikel 8.1 van het Besluit bekostiging WPO
Artikel 5.1 van het Bekostigingsbesluit WVO

Voor het gebruik van het uitschrijfbewijs is dit geregeld in:
Artikel 7.1 van het Besluit bekostiging WPO
Artikel 4.1 van het Bekostigingsbesluit WVO

Is er toestemming van ouders/verzorgers nodig om privacygevoelige bijlagen toe te voegen aan het overstapdossier?

Bij privacygevoelige bijlagen moet je denken aan bijvoorbeeld een ontwikkelperspectief (OPP), handelingsplan, dyslexie- of dyscalculieverklaring, sociaal emotioneel functioneren of psychologisch onderzoeksverslag.

Uitwisseling van bijzondere persoonsgegevens (zoals medische gegevens) is alleen toegestaan als dat volgens de huidige school nodig is in het kader van het leren en begeleiden van de leerling op de nieuwe school.

Het standaard uitwisselen van bijzondere persoonsgegevens is dus niet toegestaan. Ook niet als dat handig is en de ouders daarvoor toestemming hebben gegeven.

Op grond van het Besluit uitwisseling leer- en begeleidingsgegevens art. 5 en 6  mogen gegevens zoals die in het OPP zijn opgenomen, worden uitgewisseld.

Dat wil overigens niet zeggen dat alle eventuele bijlages, zoals medische rapportages en behandelplannen van professionele hulpverleners, bij het OPP ook zomaar mogen worden uitgewisseld.

Een volledig psychologisch rapport mag, als dat helemaal relevant is, worden uitgewisseld, maar daarbij moet per geval een afweging gemaakt worden. Soms zal er dus voor gekozen moeten worden om dit te doen tijdens de warme overdracht, in andere gevallen zal er voor gekozen moeten kunnen worden om een (deel van het) psychologisch rapport uit te wisselen.

Let op: sommige hulpverleners verbieden het uitwisselen van hun rapport, of er moet voor uitwisseling toestemming worden gevraagd aan de hulpverlener.

Hoe is de privacy met OSO geregeld?

Privacy staat bij OSO voorop. Leerlinggegevens en hun leer- en begeleidingsgegevens zijn persoonsgegevens. Daarom is de Algemene verordening gegevensbescherming (AVG) van toepassing op de uitwisseling binnen OSO. OSO volgt de wettelijke bepalingen en voorschriften. Om de uitwisseling zorgvuldig te laten verlopen, sluiten schoolbesturen een overeenkomst met OSO. In deze overeenkomst wordt veel aandacht besteed aan privacy- en veiligheidsaspecten. De overdracht gebeurt via een beveiligde verbinding tussen de huidige en de nieuwe school. Er is géén sprake van een centrale opslag bij OSO van leerlinggegevens! OSO faciliteert alleen de veilige uitwisseling.

Lees meer over OSO en privacy

Het herziene advies van de school en/of de verplichte eindtoets worden later verstuurd dan het overstapdossier. Moet er opnieuw inzage worden geregeld?

Blijft het oorspronkelijke schooladvies gehandhaafd en is het overstapdossier verder niet gewijzigd? Dan is opnieuw inzage door de ouders niet nodig. In dit geval mogen de resultaten van de verplichte eindtoets basisonderwijs later worden toegevoegd aan het overstapdossier. Dit dossier kan worden verstuurd.

Is het oorspronkelijke schooladvies veranderd? Aan het overstapdossier wordt dan een herzien advies toegevoegd. In dat geval moeten de ouders nogmaals de mogelijkheid worden geboden inzage te hebben in het overstapdossier.

Dit proces gaat zo:

  1. De school heeft het overstapdossier samengesteld, inclusief schooladvies. Het dossier wordt ingezien door de ouders. Daarna wordt het overstapdossier klaargezet (en kan het dossier worden opgevraagd door de nieuwe school)
  2. De eindtoets basisonderwijs vindt plaats. Ouders ontvangen het resultaat van de eindtoets en de school voegt het resultaat toe aan overstapdossier.
    • Als het resultaat leidt tot aanpassing van het schooladvies (herzien advies) dan moet er weer inzage plaats vinden door de ouders.
    • Als het resultaat van de eindtoets niet leidt tot een aanpassing, dan krijgen ouders een mededeling dat de verlate eindtoets geen wijziging van het overstapdossier/OKR tot gevolg heeft. Ook wordt gemeld dat het resultaat van de verlate eindtoets basisonderwijs aan het overstapdossier/OKR is toegevoegd. Het overstapdossier kan weer klaar worden gezet en opgevraagd (door de nieuwe school).