De DPIA-Wielklem
Wanneer je een auto koopt, mag je ervan uit dat de fabrikant ervoor heeft gezorgd dat de airbags werken, de remmen deugen en de uitstoot aan de wet voldoet. De overheid heeft het model via ‘typegoedkeuring’ goedgekeurd voor gebruik. Als bestuurder hoef je je vervolgens alleen aan de geldende verkeersregels te houden, zoals stoppen voor een rood licht. Maar stel dat je als autokoper, zelf eerst gevraagd wordt de auto technisch te keuren, de software van de auto tot op de broncode nauwkeurig te analyseren en bij de overheid periodiek moet aantonen dat je je aan de verkeerswet gaat houden. Dit zou de waanzin ten top zijn. Voor Nederlandse scholen en schoolbesturen is vergelijkbare waanzin werkelijk geworden wanneer het gaat om de AVG. Terwijl de werkdruk in de klassen al jaren de pan uit rijst, worden schoolbesturen achter de schermen bedolven onder een gigantische bureaucratische last die voortvloeit uit de AVG.
Elke school en elk bestuur heeft de ruimte om het onderwijs zo in te richten dat het optimaal aansluit bij de specifieke onderwijskundige behoeften van de leerlingen. Om dit waar te kunnen maken, maken scholen op basis van deze behoeften keuzes welke programma’s hierbij kunnen ondersteunen. Dit leidt tot een grote diversiteit aan applicaties, zoals gepersonaliseerde leerprogramma's, specifieke hulpmiddelen voor dyslexie of dyscalculie, AI chatbots, communicatie-apps voor ouders en geavanceerde leerlingvolgsystemen.
De AVG eist dat voor al deze systemen risicoanalyses worden opgesteld. Niet alleen DPIA’s, maar inmiddels ook Transfer Impact Assessments (TIA’s) voor data-opslag buiten de EU, Fundamental Rights Impact Assessments (FRIA’s) bij de inzet van AI en zelfs Pre-DPIA’s (een ‘light’ DPIA om te zien of een DPIA noodzakelijk is). Het resultaat hiervan is dat een schoolbestuur geacht wordt tientallen complexe juridisch-technische rapportages per jaar te produceren en dit periodiek of bij wijziging van de applicatie opnieuw uit te voeren.
De overheid heeft de coöperatie SIVON opgericht om scholen te ondersteunen bij deze digitaliseringsvraagstukken. SIVON wordt met vele euro's aan subsidie gefaciliteerd. Maar zelfs deze groep van experts, juristen en dataspecialisten doet er vaak maanden of zelfs jaren over om één enkele DPIA voor een groot systeem af te ronden. Wanneer SIVON na een langdurig traject eindelijk een landelijke DPIA oplevert, is het werk voor de school nog niet gedaan. De school moet vervolgens zelf nog het specifieke gedeelte uitvoeren: de vertaalslag naar de eigen praktijk. Als een zwaar gesubsidieerde specialistische organisatie al verzandt in de complexiteit van deze rapportages, is het onrealistisch om te verwachten dat een lokale onderwijsstichting dit voor tientallen systemen tegelijk doet. Binnen schoolbesturen is er simpelweg structureel te weinig tijd, geld en specialistische kennis om deze pagina's dikke rapporten op te stellen.
Om het onderwijs te redden van deze bureaucratische waanzin, moet de Nederlandse overheid haar rol pakken binnen de Europese AVG. Allereerst moet de overheid scholen en stichtingen financieel fatsoenlijk faciliteren om alleen al aan de basisvoorwaarden van de AVG en het Normenkader te kunnen voldoen. Organisaties als SIVON moeten de focus blijven leggen op de grote, internationale tech-bedrijven waar de grootste privacyrisico's liggen.
Ten tweede moet de overheid ervoor zorgen dat leveranciers wettelijk verantwoordelijk worden voor de veiligheid van hun software. Zij moeten de 'typegoedkeuring' aanleveren; als software niet aantoonbaar veilig is, mag het simpelweg niet op de onderwijsmarkt worden aangeboden. Ten slotte moet de wijze van inzet door de scholen centraal worden vastgelegd in één universeel afsprakenkader, het normenkader als enig toetsmiddel en niet in alle losstaande assessments. Scholen moeten aantonen dat ze 'verkeersregels' beheersen, in plaats van dat elke stichting telkens opnieuw het wiel moet uitvinden.
Natuurlijk blijft een school verantwoordelijk voor hoe ze een applicatie gebruikt; met een goedgekeurde auto mag je immers ook niet door het veld van een boer crossen. Maar de huidige uitvoering van de wet dwingt scholen om vooraf via honderden pagina’s papierwerk te bewijzen dat de auto technisch deugt en dat ze niet van plan zijn ermee door andermans veld te rijden. Leg de technische keuring bij de fabrikant, vang het normale gebruik in de verkeersregels van het Normenkader, en handhaaf daar op.
Het is tijd om de DPIA-wielklem definitief te verwijderen. Privacybescherming van leerlingen is een groot goed, maar de huidige administratieve uitvoering ervan is verworden tot een papieren schijnveiligheid die ten koste gaat van de onderwijskwaliteit. Een schoolbestuur hoort te sturen op didactiek en leerlingenzorg. Door de verantwoordelijkheid voor productveiligheid wettelijk bij de leveranciers te leggen en het dagelijks gebruik te vangen in één landelijk verkeersreglement, kan de overheid de rust in de schoolorganisaties herstellen. Alleen wanneer schoolbesturen worden ontlast van deze ondoenlijke keuringsplicht, ontstaat er weer échte ruimte voor onderwijsvrijheid, innovatie en maatwerk. Laat de fabrikanten de veilige auto’s bouwen, geef scholen de heldere verkeersregels mee, en laat de docent eindelijk weer gewoon rijden.