AVG-wijs op schoolreis

Bij het organiseren van een schoolreis zijn er verschillende situaties mogelijk. De school schakelt een reisbureau in dat de reis helemaal regelt. De persoonsgegevens van de deelnemende leerlingen worden vervolgens door de leerlingen zelf (of door hun ouders/verzorgers) rechtstreeks aan het reisbureau doorgegeven. De school zit er dan niet tussen. Het komt ook voor dat een schoolreis door docenten van de school zelf geregeld wordt, waarbij de persoonsgegevens van de deelnemende leerlingen via de school bij de accommodatie en de vervoerder(s) worden aangeleverd. Hieronder wordt uitgegaan van de tweede situatie, waarbij de tekst vooral gericht zal zijn op de doelgroep Privacy Officers en FG’s.

Grondslag en AVG-rollen

De grondslag van de gegevensuitwisseling tussen de school en de accommodatie/ vervoerder(s) zal specifiek gelegen zijn in de uitvoering van een reis-, vervoers- of hotelovereenkomst en meer algemeen in de uitvoering van de onderwijstaak van de school (artikel 6 lid 1 letters b en e AVG). Alleen voor specifieke verwerkingen die niet strikt noodzakelijk zijn voor de uitvoering van de schoolreis (bijvoorbeeld de publicatie van foto’s) is toestemming de aangewezen grondslag.

Wat AVG-rollen betreft is zowel de school als de accommodatie/vervoerder een verwerkingsverantwoordelijke omdat ze beiden het doel en de middelen van de verwerking van de persoonsgegevens bepalen voor hun aandeel in de schoolreis. Er is dus sprake van een verstrekking tussen zelfstandige verwerkingsverantwoordelijken. In plaats van een verwerkersovereenkomst kan in dit geval eventueel een data-uitwisselingsovereenkomst worden afgesloten. Dat is juridisch niet verplicht maar wel aan te raden ter wille van de transparantie en de vastlegging van de verantwoordelijkheden.

Aandachtspunten

Het is begrijpelijk dat docenten bij het organiseren van een schoolreis over het algemeen meer oog zullen hebben voor de cultureel-historische aspecten van het reisdoel dan voor de privacy praktijken van het logement. Toch moeten scholen ook in het geval van een schoolreis ervoor zorgen dat de regels van de AVG in acht worden genomen. Daarbij zullen in ieder geval de onderstaande punten de revue moeten passeren:

* Scholen moeten een geldige grondslag hebben voor het delen van persoonsgegevens.

* De leerlingen en de ouders/verzorgers moeten van tevoren goed geïnformeerd worden over welke persoonsgegevens uitgewisseld worden, met welk doel en aan wie de gegevens worden verstrekt (transparantieverplichting).

* De persoonsgegevens mogen alleen worden gebruikt voor het organiseren van de schoolreis en niet voor andere doeleinden (doelbinding).

* Alleen noodzakelijke persoonsgegevens mogen uitgewisseld worden (dataminimalisatie).

* De overdracht van persoonsgegevens dient passend beveiligd te verlopen. Versleuteling is aanbevolen, maar is niet in alle gevallen verplicht. Het beveiligingsniveau moet afgestemd zijn op de risico’s (op grond van artikel 32 AVG).

* Bij doorgifte buiten de EER moeten passende waarborgen worden getroffen (bijvoorbeeld Standard Contractual Clauses) en kan een Data Transfer Impact Assessment (DTIA) vereist zijn.

* Na afloop van de schoolreis mogen de persoonsgegevens niet langer bewaard worden dan nodig is (opslagbeperking).

Nut of noodzaak

Het nastreven van dataminimalisatie is in de praktijk soms lastig, omdat accommodaties en vervoerders vaak veel gegevens opvragen. Het is daarom belangrijk om het nut en de noodzaak van bepaalde gegevensuitwisselingen te beoordelen. Luchtvaartmaatschappijen zijn bijvoorbeeld verplicht om bepaalde passagiersgegevens te verzamelen en door te geven aan autoriteiten. Dergelijke verplichtingen gelden doorgaans niet voor trein- en busvervoer.

Welke persoonsgegevens verplicht zijn, kan per land verschillen. Zo is het in Nederland niet toegestaan dat accommodaties het burgerservicenummer (BSN) verwerken of kopieën van identiteitsbewijzen opslaan, tenzij daar een specifieke wettelijke grondslag voor bestaat.

Accommodaties zijn wel verplicht (op grond van artikel 438 Wetboek van Strafrecht) om een nachtregister bij te houden. In het nachtregister dienen enkele persoonsgegevens te worden geregistreerd die op het identiteitsbewijs van de hoofdboeker staan, zoals naam, woonplaats, type identiteitsbewijs, dag van aankomst en dag van vertrek. Meereizende reizigers vallen niet onder deze verplichting. Vaak wordt daarom alleen de hoofdboeker geregistreerd. Wel wordt het aantal personen genoteerd. Afhankelijk van de gemeente kan via de Algemene Plaatselijke Verordening aanvullende registratie verplicht zijn.

Bij schoolreizen over de grens dient de school voor elke minderjarige leerling het formulier ‘Toestemming voor reizen met een minderjarige naar het buitenland’ ingevuld en ondertekend mee te nemen, waarmee bij grenscontroles aangetoond kan worden dat er toestemming is van de achterblijvende ouders/verzorgers met gezag of voogdij. Van degene die toestemming geef, dient ook een kopie paspoort of identiteitskaart meegenomen te worden.

Het spreekt voor zich dat gezondheids- of contactgegevens nodig zijn voor noodsituaties, mits dat proportioneel en noodzakelijk is. Bij dieetvoorschriften of medische gegevens geldt dat dit bijzondere persoonsgegevens zijn. Verwerking daarvan is alleen toegestaan indien dat strikt noodzakelijk is, bijvoorbeeld voor de bescherming van vitale belangen, en moet extra zorgvuldig gebeuren (op grond van artikel 9 AVG). Indien een verplichting twijfelachtig is, moet de school in overleg treden en waar nodig weigeren om niet-noodzakelijke gegevens te verstrekken.

Selectie van accommodaties en vervoerders

Sommige scholen nemen selectievereisten voor accommodaties en vervoerders op in een leveranciers-/inkoopreglement. Bij de selectie is het aan te raden om kritisch de privacyverklaringen van leveranciers te beoordelen en vragen te stellen over de noodzaak van bepaalde gegevensverwerkingen. In principe mogen leveranciers geen klanten weigeren als een klant geen onnodige gegevens wil verstrekken. Aangezien organisaties contractsvrijheid hebben, kan de weigering van een school om onnodige gegevens te verstrekken in de praktijk echter betekenen dat een overeenkomst niet tot stand komt. Het is daarom verstandig om vooraf accommodaties en vervoerders te selecteren die AVG-proof werken. Wanneer een accommodatie of vervoerder niet kan motiveren waarom bepaalde persoonsgegevens noodzakelijk zijn, is het raadzaam uit te zien naar een accommodatie of vervoerder met betere privacy praktijken.

Conclusie

Al met al worden voor schoolreizen, zeker voor schoolreizen naar het buitenland, veel persoonsgegevens uitgewisseld. Die uitwisseling van persoonsgegevens vindt vaak plaats buiten het directe zicht van de Privacy Officer of FG. Juist daarom is extra aandacht nodig. De belangrijkste risico’s liggen in het gebruik van een onjuiste grondslag (zoals onnodige toestemming), het delen van te veel gegevens en onvoldoende controle op externe partijen. Wees kritisch op welke persoonsgegevens werkelijk nodig zijn en maak bewuste keuzes voor leveranciers. Daarmee voldoen scholen niet alleen aan de AVG, maar beschermen zij vooral de privacy van hun leerlingen op een zorgvuldige en professionele manier.

Bronnen:

autoriteitpersoonsgegevens.nl

B. Cauwenberg, GDPR op School, Oud-Turnhout/’s-Hertogenbosch: Gompel&Svacina Uitgevers 2020.