Krachtlijn 8

Onderwijspersoneel heeft recht op een veilige digitale werkruimte, waarin de bestaande regelgeving op privacy- en databescherming duidelijk gerespecteerd wordt.

 

Wie privacy- en databescherming zegt, denkt automatisch aan GDPR (General Data Protection Regulation) of in het Nederlands AVG (Algemene Verordening Gegevensbescherming), ook al zijn dat niet de enige noch de eerste regelgevende teksten ter zake.

Met deze verordening (dit is een wetgevend instrument van de Europese Unie dat rechtstreeks in alle EU-lidstaten van toepassing is met dezelfde kracht als de nationale regelgeving) werden de regels voor de verwerking van persoonsgegevens in heel de EU gestandaardiseerd. Ze werd op 27 april 2016 uitgevaardigd door het Europees Parlement en de Raad van de Europese Unie en werd na een aanpassingsperiode (zeg maar ‘gedoogperiode’) van ruim twee jaar van toepassing vanaf 25.05.2018. De GDPR mocht dus dit voorjaar haar eerste lustrum vieren.

Dankzij de GDPR heeft iedereen het recht te weten welke gegevens er van hem/haar verzameld worden, wie er toegang toe heeft, waarvoor ze gebruikt worden, waar en hoelang ze bewaard worden ... En voor al die aspecten legt de GDPR ook principes vast over wat kan en wat niet kan. De pijlers waarop de GDPR opgetrokken is, zijn: transparantie, verantwoording, consumentenrechten (bijvoorbeeld het recht om vergeten te worden) en meldplicht voor datalekken.

Zo is het voor onderwijspersoneelsleden belangrijk te weten welke (digitale) sporen hun digitale activiteiten achterlaten, of en hoe die bewaard worden, wie daar inzage in heeft …

De term GDPR wordt echter ook vaak ambivalent gebruikt: ‘Dit mag niet van de GDPR!’ of ‘Dat moet van de GDPR!’ De GDPR geeft daardoor soms een haast verstikkend in plaats van een geruststellend gevoel, ze lijkt soms zelfs de werkbaarheid van ons werk te ondermijnen en voor heel wat planlast te zorgen.

Maar slechts weinigen die het vierletterwoord in de mond nemen, hebben de tekst ooit helemaal doorgenomen en vatten er de volledige draagwijdte van. Zo ook in onderwijs. En laat dit nou net de plaats zijn waar ontzettend veel persoonlijke gegevens (van – vaak minderjarige – lerenden, ouders en onderwijspersoneelsleden) verzameld, bewaard en verwerkt worden. Daarom zou het goed zijn dat alle onderwijsbetrokkenen worden ingewijd in de principes van de GDPR. Dat kan via een ‘vertaalslag’ van de GDPR naar de Vlaamse onderwijscontext, duidelijke afsprakenkaders met de uitgevers van digitale leermiddelen (bijvoorbeeld in de vorm van een ‘privacyconvenant’), vormingen en sensibiliseringsacties op maat.

Om zeker te zijn dat alle digitale leermiddelen die op de Vlaamse onderwijsmarkt worden vrijgelaten, GDPR-proof zijn, zou er bij de invoering van nieuwe digitale leermiddelen best een soort risicoanalyse uitgevoerd worden: een Data Protection Impact Assessment (DPIA) ofte GegevensbeschermingsEffectBeoordeling (GEB). Aan de hand daarvan kunnen dan maatregelen genomen worden om de risico’s te verkleinen. Die DPIA’s gebeuren liefst niet op schoolniveau (om planlast te voorkomen), maar in opdracht van de Vlaamse overheid. De digitale leermiddelen die een positieve DPIA behalen, zouden dan een soort label van GDPR-proof kunnen krijgen. De digitale tools die zich niet willen engageren om de GDPR te volgen, zouden dan geweerd moeten worden. Voorbeelden uit Nederland, Duitsland en Frankrijk tonen aan dat ook grotere technologiebedrijven ertoe aangezet kunnen worden zich te engageren zich aan de GDPR-regelgeving te houden of uit het onderwijs geweerd kunnen worden.

Daarnaast moeten ook wij, alle gebruikers van de digitale middelen, in eigen boezem durven te kijken. We moeten overtuigd zijn van het belang van GDPR-maatregelen. Door bijvoorbeeld tweestapsverificatie bij het inloggen (met daarbij de netelige kwestie van het gebruik van je privé-gsm) en door correct en tijdig uit te loggen kunnen we zelf de data die we gebruiken, afschermen en de privacy van de betrokken personen beschermen. Daarbij zal er steeds een mogelijke spanning zijn tussen digitale veiligheid enerzijds en werkbaarheid of gebruiksgemak anderzijds. Blijvend sensibiliseren is hier van groot belang.

Om onze data veilig te stellen moeten we niet alleen kijken naar de digitale tools die we gebruiken. We moeten ons ook wapenen
tegen ‘de boze wolf’ van buitenaf: steeds meer bedrijven en overheidsdiensten worden gehackt. Het is te verwachten dat ook onderwijsinstellingen steeds vaker het slachtoffer zullen worden van een cyberaanval. Hoog tijd dat de Vlaamse overheid onderzoekt hoe onderwijsinstellingen zich daartegen kunnen wapenen en hen daarbij helpt.

>>> Het moge duidelijk zijn: wil men de digitalisering van het onderwijs op een doordachte, duurzame en democratische
manier uitrollen en verderzetten, dan moeten we ervoor zorgen dat alle betrokkenen zich veilig voelen in hun digitale werkruimte. Een goede kennis en correcte toepassing van de bestaande regelgeving (waaronder de GDPR) door alle betrokkenen is daarom een must.

Actiepunten

• COC eist dat de bestaande privacyregelgeving (waaronder de GDPR/AVG) onverkort en transparant wordt
  toegepast in het Vlaamse onderwijs. COC vraagt daartoe een vertaalslag van de privacyregelgeving in de vorm van een
  privacyconvenant voor het Vlaamse onderwijs.
  
  
• COC vraagt de invoering van een verplichte DPIA (Data Protection Impact Assessment) ofte GEB (GegevensbeschermingsEffectBeoordeling) bij het introduceren van nieuwe digitale tools.
  
  
• COC engageert zich om haar vakbondsafgevaardigden met het oog op onderhandelingen op te leiden en haar leden
  goed te informeren inzake privacybescherming in het algemeen en databescherming in het bijzonder.
  
  
• COC ijvert voor een sensibilisering bij alle onderwijspersoneelsleden om ook zelf de GDPR-regels na te leven.
  
  
• COC eist dat alle digitale toepassingen die niet kunnen/willen garanderen dat ze de GDPR naleven, geweerd
  worden uit het onderwijs.
  
  
• COC vraagt dat de Vlaamse overheid onderzoekt hoe vatbaar onderwijsinstellingen zijn voor cyberaanvallen en
  hoe ze zichzelf daartegen kunnen beschermen.
  
  
• COC verbindt zich ertoe intern een breed en genuanceerd debat (dat gevoerd wordt in de sectorcomités en tot
  op het niveau van de provinciale comités waarna finaal het Nationaal Comité zal beslissen) op te starten over het gebruik
  van door digitale systemen (inclusief AI) gegenereerde data bij functionerings- en evaluatiegesprekken, dat uitmondt in een
  concrete visie ter zake.