Elke herfst duizenden kinderportretten, namenlijsten van scholen en inlogkaartjes voor het bestelplatform: een schoolfotograaf verwerkt in één seizoen meer kinddata dan menig groot bedrijf in een jaar. En de school, de ouders en de toezichthouder kijken alle drie mee.
De school levert je namenlijsten, klassenindelingen en vaak mailadressen van ouders. Daarmee werk je in opdracht van de school en ben je voor dat deel verwerker: er hoort een verwerkersovereenkomst te liggen die regelt wat je met die lijsten mag, hoe lang je ze houdt en wanneer je ze vernietigt. Verkoop je daarna zelf foto's aan ouders, dan ben je voor die verkoop juist zelf verantwoordelijke, met een eigen privacyverklaring. Die twee rollen lopen in de praktijk door elkaar, en dat merk je pas als er iets misgaat. Concreet: zorg voor een getekende verwerkersovereenkomst met elke school, vernietig namenlijsten na afloop van het seizoen volgens afspraak, en beschrijf in je eigen privacyverklaring wat je als verkoper met bestelgegevens doet.
art. 28 AVGHet inlogkaartje met bestelcode is de zwakke plek van elk schoolfotosysteem. Is de code kort of voorspelbaar, dan kan wie één code heeft er andere raden, en dan staan er ineens portretten van andermans kinderen op het scherm. Dat is een datalek met kinderfoto's, en die combinatie ligt maatschappelijk én bij de toezichthouder zeer gevoelig. Concreet: gebruik lange, willekeurige codes die na een aantal foute pogingen blokkeren, koppel de code aan één kind in plaats van aan een klas, laat codes verlopen na de bestelperiode, en test zelf of je vanaf de code van kind A bij kind B kunt komen. Vraag ook je platformleverancier hoe die dit heeft ingericht: het is jouw naam die op het kaartje staat.
art. 25 + art. 32 AVG'Wij bewaren de foto's voor nabestellingen' is de standaardreden om jarenlang complete jaargangen kinderportretten te houden, gekoppeld aan namen en scholen. Maar hoe langer je bewaart, hoe groter het archief dat bij een hack of een vergissing op straat ligt, en een nabestelling na vijf jaar is zeldzaam. Kies daarom een termijn die je kunt uitleggen en vertel ouders wat die is. Concreet: hanteer bijvoorbeeld één of twee besteljaargangen en verwijder daarna, zet de termijn op het inlogkaartje en in je privacyverklaring, verwijder ook de tussenbestanden (geheugenkaarten, lokale kopieën, back-ups bij de leverancier), en documenteer het opruimen zodat je kunt laten zien dat het gebeurt.
art. 5 + art. 13 AVGDe mailadressen van ouders kreeg je van school om bestelcodes te versturen, niet om er je kerstshoot-aanbieding heen te sturen. Voor commerciële mail is aparte toestemming nodig, en zonder die toestemming is elke extra mailing er één te veel. Hetzelfde geldt voor je portfolio: een schoolfoto is een portret dat in opdracht is gemaakt, en zo'n portret mag je volgens het portretrecht niet openbaar maken zonder toestemming van de geportretteerde, dus van de ouders. Uitdrukkelijke toestemming onder de AVG komt daar nog bij, naast de afspraken met de school. Concreet: gebruik schooladressen alleen voor de afgesproken bestelmails, bouw een eigen nieuwsbrieflijst op met een echte opt-in, en werk voor portfolio en etalage met een apart, schriftelijk akkoord per foto in plaats van een algemene regel in je voorwaarden.
art. 6 AVG + art. 11.7 TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanEr is geen vaste wettelijke termijn, dus kies een termijn die je kunt uitleggen, bijvoorbeeld tot en met het volgende schooljaar, en vertel ouders die vooraf. Verwijder daarna ook de kopieën op geheugenkaarten, laptops en bij je platformleverancier.
Maak daar vooraf een schriftelijke afspraak over, want dit gaat in de praktijk vaak mis in het midden. Meestal informeert de school de ouders en regelt zij toestemming of bezwaar vooraf; controleer dat dit echt gebeurd is voordat je fotografeert, want jij verwerkt de beelden.
Niet op basis van de schoolopdracht alleen. Een schoolfoto is een in opdracht gemaakt portret, en dat mag je volgens het portretrecht niet openbaar maken zonder toestemming van de geportretteerde; daarnaast vraagt de AVG om uitdrukkelijke toestemming van de ouders. Regel het per foto schriftelijk, niet via een algemene regel in je voorwaarden.
Ja. Zodra je namenlijsten, klassenindelingen of oudergegevens van de school ontvangt, werk je als verwerker en hoort er een verwerkersovereenkomst te liggen (art. 28 AVG). Veel schoolbesturen hebben er een standaardmodel voor; teken en bewaar die per school.
Alleen met een echte opt-in voor jouw eigen nieuwsbrief. De adressen die je van school kreeg, zijn bedoeld voor de bestelmails, niet voor marketing (art. 11.7 Telecommunicatiewet). Bied in het bestelproces een apart vinkje aan voor ouders die aanbiedingen willen ontvangen.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.