Dit document is een beslissing van de Geschillenkamer van de Belgische Gegevensbeschermingsautoriteit (GBA) in een zaak met dossiernummer DOS-2022-02223.
De kern van de zaak betreft een klacht van een ouder (X) tegen een onderwijsinstelling (Y) over het online bevragen van minderjarige leerlingen over gevoelige onderwerpen zoals middelengebruik, gokken en gamen.
De school voerde aan dat zij niet de verwerkingsverantwoordelijke was, maar de GBA oordeelt dat de school wel degelijk deze rol heeft, omdat het ontwikkelen van een gezondheidsbeleid een wettelijke taak is.
De beslissing analyseert of de gegevensverwerking
rechtmatig was en concludeert dat de school zich kan beroepen op de
uitvoering van een taak van algemeen belang als rechtsgrond, maar dat voor de
verwerking van gezondheidsgegevens uitdrukkelijke toestemming van
de ouders vereist is, welke niet aantoonbaar was verkregen.
Wat wel mag (mits de juiste voorwaarden zijn nageleefd):
- Een
school mag een beleid ontwikkelen op het gebied van
leerlingenbegeleiding, dat is zelfs een taak van de school. Dit beleid
kan onder meer gericht zijn op alcohol- en drugspreventie.
- Om
dit beleid te ontwikkelen, mag de school in principe informatie
verzamelen van leerlingen, bijvoorbeeld door middel van een bevraging
over middelengebruik, gokken en gamen. De ontwikkeling van een dergelijk
beleid wordt gezien als een taak van algemeen belang.
- De
school mag voor de uitvoering van zo'n bevraging samenwerken met een
externe partner, zoals expertisecentrum Z, die ondersteuning biedt bij
de organisatie en verwerking van de gegevens. De school blijft echter zelf
verantwoordelijk voor de gegevensverwerking.
Wat niet mag (of waar het in deze zaak fout is gegaan):
- De
school mag er niet zomaar van uitgaan dat de gegevensverwerking anoniem
is. Als de school een lijst met namen en klascodes van leerlingen aan de
externe partner moet geven voor het genereren van unieke codes, is er geen
sprake van anonieme gegevens. De school moet kunnen aantonen dat de
anonimiteit van de verwerkte gegevens daadwerkelijk is verzekerd.
- De
school mag gevoelige informatie over de gezondheid van leerlingen
(zoals vragen over drug- en alcoholgebruik) niet verwerken zonder uitdrukkelijke
toestemming. In deze zaak gaat het om informatie over de
gezondheidstoestand.
- Voor
minderjarige leerlingen (jonger dan 18 jaar) moet deze uitdrukkelijke
toestemming van de ouders of voogd komen. De school mag er niet van
uitgaan dat de toestemming van de 13-jarige leerling zelf voldoende is
voor dit soort gezondheidsgegevens. De leeftijdsgrens van 13 jaar is hier
niet van toepassing.
- De
school mag haar verantwoordelijkheid als verwerkingsverantwoordelijke
niet afschuiven op de externe partner. De school is degene die het doel en
de middelen voor de verwerking van persoonsgegevens vaststelt. Ook al
besteedt de school de uitvoering uit, zij blijft verantwoordelijk voor de
naleving van de privacywetgeving (AVG).
- De
school had moeten nagaan op welke rechtsgrond de bevraging
gebaseerd was en of aan alle voorwaarden van de AVG werd voldaan, met name
met betrekking tot de rechtmatigheid, eerlijkheid en transparantie van de
gegevensverwerking. Ook had de school moeten controleren of de beginselen
van minimale gegevensverwerking werden gerespecteerd.
Kortom: De school had een
legitiem doel (gezondheidsbeleid), maar heeft fouten gemaakt door niet te
zorgen voor aantoonbare anonimiteit, door het ontbreken van de vereiste
uitdrukkelijke toestemming van ouders voor de verwerking van
gezondheidsgegevens van minderjarige leerlingen, en door haar
verantwoordelijkheid als verwerkingsverantwoordelijke niet volledig op te
nemen. De school moet nu haar werkwijze aanpassen en zorgen voor de juiste
rechtsgrond en toestemming voor toekomstige bevragingen.
1. Inleiding en Context:
Dit briefingdocument analyseert Beslissing 70/2025 van de
Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA). De beslissing
behandelt een klacht van een ouder (de klager) tegen een onderwijsinstelling
(de verweerder) betreffende het online bevragen van minderjarige leerlingen via
Smartschool over gevoelige onderwerpen zoals drug- en alcoholgebruik, gamen en
gokken. Deze bevraging werd uitgevoerd met het doel een gezondheidsbeleid op
school te ontwikkelen. De kern van de klacht betreft het ontbreken van anonieme
gegevensverwerking en het verwerken van gezondheidsgegevens zonder de vereiste
vrije, geïnformeerde toestemming van de ouders.
2. Feiten en Procedure:
- De
klager diende op 18 mei 2022 een klacht in bij de GBA tegen de
onderwijsinstellingen Y (de verweerder).
- De
klacht betrof een online bevraging via Smartschool van minderjarige
leerlingen over drug- en alcoholgebruik, gamen en gokken, met als doel het
ontwikkelen van een gezondheidsbeleid op school.
- De
klager argumenteerde dat de gegevensverwerking niet anoniem was, wat het
principe van minimale gegevensverwerking zou schenden. Tevens werd
aangevoerd dat de gegevens van zijn dochter werden verwerkt zonder de
vereiste vrije, geïnformeerde toestemming, wat des te belangrijker is
gezien de verwerking van gezondheidsgegevens waarvoor uitdrukkelijke
toestemming vereist is.
- De
klacht werd ontvankelijk verklaard en overgemaakt aan de Geschillenkamer.
- De
Geschillenkamer voerde een procedure met schriftelijke conclusies van
beide partijen en een hoorzitting op 5 juli 2024.
- De
verweerder voerde aan niet de verwerkingsverantwoordelijke te zijn, maar
expertisecentrum Z. Daarnaast stelde de verweerder dat het om anonieme
gegevens ging waarop de AVG niet van toepassing zou zijn en dat aan het
principe van minimale gegevensverwerking was voldaan. Ook werd gesteld dat
artikel 8 AVG (toestemming van kinderen m.b.t. diensten van de
informatiemaatschappij) niet van toepassing was.
- De
klager betwistte de anonimiteit van de gegevens en stelde dat de
verweerder wel degelijk de verwerkingsverantwoordelijke is. Hij benadrukte
dat toestemming de rechtsgrond dient te zijn en dat deze geïnformeerd,
duidelijk en ondubbelzinnig moet zijn.
3. Kernpunten van de Beslissing:
a) Verwerkingsverantwoordelijke en Gegevensverwerking:
- De
Geschillenkamer stelt dat de school (de verweerder) de verwerkingsverantwoordelijke
is voor de bevraging, en niet het expertisecentrum Z dat de bevraging
faciliteerde.
- De
GBA baseert zich hierbij op artikel 123/22 van de Codex Secundair
Onderwijs, dat de school verplicht een beleid inzake leerlingenbegeleiding
te ontwikkelen, afgestemd op de noden van de leerlingen. De ontwikkeling
van een alcohol- en drugsbeleid valt hieronder.
- De
GBA argumenteert dat het doeleinde (ontwikkelen van
leerlingenbegeleidingsbeleid) wettelijk is vastgelegd en aan de school is
toegeschreven. Ook de middelen om dit doel te bereiken (het
betrekken van partners en externe ondersteuning) worden door de Codex
bepaald.
- Hoewel
het Vlaams Ministerie van Onderwijs en Vorming expertisecentrum Z
aanbeveelt, is het een vrije keuze van de school om hierop beroep
te doen. Het contract tussen de school en expertisecentrum Z bevestigt de
vrijwillige deelname van de school.
- De
school bepaalt op welke wijze de persoonsgegevens van haar leerlingen
worden verwerkt om het doel te bereiken en beslist om een beroep te doen
op expertisecentrum Z als verwerker (artikel 4, 8e AVG).
- De
school is verantwoordelijk voor de rechtmatigheid van de
gegevensverwerking en dient zelf de toestemming te verkrijgen (indien
nodig) en de vereiste informatie te verstrekken. Het contract tussen de
school en expertisecentrum Z stipuleert dat de school instaat voor de
naleving van de rechtsgrond.
- De
GBA benadrukt dat het niet noodzakelijk is dat de
verwerkingsverantwoordelijke daadwerkelijk toegang heeft tot de gegevens.
Beslissende invloed op doel en middelen volstaat. De anonieme rapportering
door expertisecentrum Z doet hieraan niets af. ("Iemand die een
verwerkingsactiviteit uitbesteedt en daarbij een beslissende invloed heeft
op het doel en de middelen van de verwerking, dient als
verwerkingsverantwoordelijke te worden beschouwd, ook al heeft hij of zij
nooit daadwerkelijk toegang tot de gegevens.")
- De
GBA oordeelt dat de bevraging wel degelijk de verwerking van
persoonsgegevens impliceert op het moment van de afname, aangezien
informatie wordt ingezameld die specifiek en eigen is aan een bepaalde
persoon. Het genereren van unieke codes per leerling en het bezorgen van
een excellijst met namen en klascodes aan expertisecentrum Z wijzen hierop.
De bewering van de school dat de deelname enkel via één IP-adres gebeurde,
werd niet gestaafd.
- De
GBA acht het niet aannemelijk gemaakt dat de anonimiteit van de
verwerkte gegevens is verzekerd. De school had zich ervan moeten
vergewissen dat expertisecentrum Z de nodige technische en
organisatorische maatregelen had getroffen om de gegevens daadwerkelijk
anoniem te verwerken (artikel 5.2 AVG - verantwoordingsplicht).
- De
verweerder heeft nagelaten te toetsen of de nodige technische en
organisatorische maatregelen waren voorzien (artikel 5.1 e) en f) AVG
juncto artikel 24.1 en 28.1 AVG) en of het principe van minimale
gegevensverwerking werd gerespecteerd (artikel 5.1 c AVG). Het is
onduidelijk of een combinatie van antwoorden tot heridentificatie kan
leiden en hoe de anonimiteit wordt verzekerd met de verstrekte
leerlingengegevens aan expertisecentrum Z.
- Een
beroep op expertisecentrum Z voor ondersteuning maakt van hen geen
(gezamenlijke) verwerkingsverantwoordelijke.
b) Rechtmatigheid van de Verwerking:
- De
ontwikkeling van een beleid omtrent leerlingenbegeleiding is een wettelijke
verplichting voor de school (artikel 123/22 Codex Secundair
Onderwijs).
- Hoewel
de school autonoom beslist over de vorm van de gegevensinzameling,
betekent de wettelijke verplichting tot beleidsontwikkeling niet dat
leerlingen verplicht zijn deel te nemen aan de bevraging.
- Het
opmaken van een alcohol- en drugsbeleid wordt beschouwd als een taak
van algemeen belang voor de school (artikel 6.1 e) AVG), verankerd in
de Codex Secundair Onderwijs (artikel 6.3 AVG). Dit vormt de geldige
rechtsgrond voor de organisatie van de leerlingenbevraging.
- De
inhoud van de vragenlijst betreft bijzondere categorieën van
persoonsgegevens (gezondheidsgegevens) in de zin van artikel 9 AVG
(middelengebruik, gokken, gamen en de impact hiervan op de gezondheid).
Hierdoor is een uitzondering op het verwerkingsverbod vereist.
- De
GBA stelt dat de deelname aan de bevraging vrijwillig is en dat de
gegevensinzameling (als onderdeel van de verdere verwerking) gebaseerd
moet zijn op uitdrukkelijke toestemming (artikel 9.2 a) AVG),
gezien de verzameling van gezondheidsgegevens. ("Deze uitdrukkelijke
toestemming is vereist gelet op het feit dat middels de bevraging
informatie over de gezondheidstoestand van de leerlingen, in dit geval ook
van de dochter van de klager, wordt ingezameld.")
- Voor
leerlingen jonger dan 18 jaar dient deze uitdrukkelijke toestemming
te worden verleend door de ouders of voogd (artikel 488 B.W.). De
leeftijdsgrens van 13 jaar is enkel relevant voor artikel 8 AVG (diensten
van de informatiemaatschappij), wat hier niet van toepassing is aangezien
de bevraging zelf niet via Smartschool plaatsvond, enkel de
informatieverstrekking. ("Aangezien artikel 9.2 a) AVG van toepassing
is, dient de algemene regel (artikel 488 B.W.) te worden toegepast dat
voor minderjarigen, waaronder dus leerlingen jonger dan 18 jaar, de
toestemming van de ouders of voogd is vereist voor de verwerking van gezondheidsgegevens.")
- Aangezien
de verweerder niet de rol van verwerkingsverantwoordelijke heeft opgenomen
en de rechtsgrond voor de verwerking niet correct heeft nagegaan, stelt de
GBA vast dat er een inbreuk werd gepleegd op het
rechtmatigheidsbeginsel (artikel 5.1 a) AVG), alsmede op artikel 6.1.
e) AVG en artikel 9.2. a) AVG.
4. Corrigerende Maatregelen en Straffen:
- De
Geschillenkamer zal op basis van artikel 100, § 1 WOG de meest geschikte
sanctie bepalen voor de vastgestelde inbreuken.
- De
GBA houdt hierbij rekening met de onduidelijkheid die er heerste
tussen de verweerder en expertisecentrum Z over de aanwijzing van de
verwerkingsverantwoordelijke.
- De
beslissing van de GBA beoogt verduidelijking te bieden, waardoor de
verweerder de mogelijkheid krijgt zich aan te passen en te voorzien in de
nodige transparantie over de correcte rechtsgronden (artikel 6.1 e) AVG en
artikel 9.2 a) AVG).
5. Publicatie van de Beslissing:
- De
beslissing zal worden gepubliceerd op de website van de
Gegevensbeschermingsautoriteit omwille van het belang van transparantie.
De identificatiegegevens van de partijen zullen hierbij niet rechtstreeks
worden bekendgemaakt.
6. Belangrijkste Ideeën en Feiten:
- De
school is de verwerkingsverantwoordelijke voor de bevraging, ook al
besteedt ze de uitvoering uit aan een extern expertisecentrum.
- De
bevraging van minderjarige leerlingen over middelengebruik, gokken en
gamen leidt tot de verwerking van persoonsgegevens, waaronder gezondheidsgegevens
(bijzondere categorieën van persoonsgegevens).
- De rechtsgrond
voor de organisatie van de bevraging is de taak van algemeen belang
van de school inzake leerlingenbegeleiding (artikel 6.1 e) AVG).
- Voor
de verwerking van gezondheidsgegevens van minderjarige leerlingen
is uitdrukkelijke toestemming van de ouders of voogd vereist
(artikel 9.2 a) AVG). Artikel 8 AVG is hier niet van toepassing.
- De
school heeft nagelaten haar verantwoordelijkheid als
verwerkingsverantwoordelijke ten volle op te nemen door de rechtmatigheid
van de verwerking en de anonimiteit van de gegevens onvoldoende te
waarborgen.
- De
GBA zal een passende sanctie bepalen, rekening houdend met de
onduidelijkheid rond de rol van verwerkingsverantwoordelijke.
Dit briefingdocument beoogt een helder overzicht te bieden
van de belangrijkste aspecten van Beslissing 70/2025. De volledige beslissing
dient geraadpleegd te worden voor een gedetailleerd begrip van de juridische
argumentatie.