De juf zet een foto van de sportdag in het ouderportaal, een collega probeert een nieuwe oefenapp uit en het leerlingvolgsysteem draait bij een externe leverancier. Op een basisschool gaan er elke dag gegevens van kinderen door tientallen handen en systemen. Juist omdat het om kinderen gaat, kijkt de AVG hier strenger mee dan waar dan ook.
Een foto van de sportdag in het ouderportaal voelt als een besloten omgeving, maar juridisch is het publicatie van kinddata. Vraag ouders vooraf toestemming, en splits die per doel: het portaal, de schoolgids, de website en social media zijn vier verschillende vragen. Eén handtekening bij inschrijving die alles afdekt, houdt geen stand, want toestemming moet vrij en specifiek zijn en net zo makkelijk in te trekken als te geven. Let extra op bij gescheiden ouders: bij gezamenlijk gezag hebben beide ouders iets te zeggen over publicatie. Concreet: werk met een jaarlijks toestemmingsformulier per kanaal, registreer de antwoorden op één plek die elke leerkracht kan raadplegen, en verwijder foto's van kinderen van wie de toestemming is ingetrokken.
art. 6 + art. 7 AVGVoor het leerlingvolgsysteem en de grote leveranciers is de inkoop vaak centraal geregeld, bijvoorbeeld via SIVON, inclusief verwerkersovereenkomst. Het gat zit in de kleine dingen: de rekenapp die een leerkracht zelf ontdekt, de gratis quiztool, het formulierenprogramma voor de ouderavond. Zodra daar namen of resultaten van leerlingen in gaan, is de aanbieder een verwerker en hoort er een getekende verwerkersovereenkomst te liggen. In de praktijk ligt die er bij zelf aangeschafte apps bijna nooit. Concreet: houd een lijst bij van alle digitale middelen waar leerlinggegevens in staan, spreek af dat nieuwe apps eerst langs de ICT-coördinator of het bestuur gaan, en kies waar mogelijk uit het aanbod waarvoor de sector de afspraken al heeft geregeld.
art. 28 AVGDe schoolwebsite is vaak jaren geleden gebouwd en laadt stilletjes van alles bij derden: lettertypen bij Google, video's via YouTube, soms een kaartje of een social-media-knop. Elke bezoeker, dus ook elke ouder, stuurt daarmee zijn IP-adres naar Amerikaanse servers zonder dat de privacyverklaring dat vermeldt. Bij een ingesloten klassenvideo geldt dat des te sterker. Concreet: host lettertypen op de eigen server, gebruik voor video's de privacyvriendelijke embed-variant of een klikbare voorvertoning, en controleer of de privacyverklaring benoemt welke partijen er meekijken. Dit is precies het soort punt dat op school niemand ziet, omdat de site het al jaren gewoon doet.
art. 13 + art. 44 e.v. AVGLeerlingdossiers van kinderen die al jaren van school zijn, staan vaak nog gewoon in het systeem of in de kast. Voor onderwijskundige rapporten en dossiers gelden bewaartermijnen van doorgaans enkele jaren na uitschrijving; alles daarbuiten bewaar je zonder reden. 'Misschien vraagt het voortgezet onderwijs er ooit naar' is geen geldige grond om alles te houden. Concreet: spreek per gegevenssoort een termijn af, plan één vast opruimmoment per schooljaar, en leg in een kort schema vast wat wanneer weg mag. Vergeet de schaduwkopieën niet: exports op laptops van leerkrachten, oude mailbijlagen met klassenlijsten en de administratie van de vorige directeur. Elk oud bestand is er één dat kan lekken.
art. 5 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, voor het publiceren van herkenbare foto's van leerlingen is toestemming van de ouders nodig zolang het kind jonger is dan 16. Vraag die per kanaal (portaal, website, social media) en maak intrekken net zo makkelijk als geven. Eén algemeen vinkje bij inschrijving dat alles afdekt, is niet specifiek genoeg.
Scholen verwerken structureel gegevens van kinderen, en in de onderwijssector is het aanstellen van een functionaris gegevensbescherming (art. 37 AVG) daarom de norm. Veel kleine besturen delen er één via het samenwerkingsverband of huren er een in. Leg in elk geval vast wie de rol vervult en hoe ouders die persoon bereiken.
Voor praktische mededelingen is het risico beperkt, maar informatie over het functioneren, de gezondheid of het dossier van een kind hoort er niet in thuis. Die berichten staan dan op een privételefoon en in een cloudback-up, buiten elk schoolbeleid. Gebruik voor inhoudelijke communicatie het ouderportaal of de schoolmail.
Ouders met gezag hebben recht op inzage in het dossier van hun kind (art. 15 AVG). Reageer binnen een maand, controleer wel eerst het gezag, zeker bij gescheiden ouders, en let erop dat je geen gegevens van andere kinderen meestuurt.
Ja. Beoordeel de ernst: bij alleen namen en klas kan registreren in je eigen datalekregister volstaan, maar bij gevoeliger gegevens meld je binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33 AVG) en informeer je zo nodig de ouders (art. 34 AVG). Vraag de ontvanger het bericht te verwijderen en leg alles vast.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.