Vragenlijst bij het privacyconvenant: doe zelf de check

Het privacyconvenant en de model verwerkersovereenkomst zijn opgesteld om schoolbesturen en leveranciers te ondersteunen in het maken van goede afspraken over de verwerking van persoonsgegevens van leerlingen/studenten en op deze manier te voldoen aan de Algemene Verordening Gegevensbescherming. De afspraken die in het convenant gemaakt zijn voorzien in een behoefte van veel partijen. Dit is terug te zien in het zeer grote aantal ondertekenaars van het convenant.

Om tegemoet te komen aan de wens van onderwijsinstellingen en leveranciers aan het onderwijs, willen de initiatiefnemers van het privacyconvenant goede afspraken over persoonsgegevens mogelijk maken tussen scholen en een brede groep leveranciers. Daarom is er een nieuwe categorie toegevoegd aan het convenant: die van medestanders. Het verschil tussen deelnemers en medestanders van het privacyconvenant is dat de letterlijke tekst en de model verwerkersovereenkomst niet van toepassing zijn voor medestanders. Zij handelen wel in de geest van het convenant. Daarom is er voor hen een algemene verwerkersovereenkomst onderwijs opgesteld, deze is gebaseerd op de model verwerkersovereenkomst.

Via de volgende drie vragen wordt bepaald of een leverancier een deelnemer of een medestander of geen van beide is:

Vraag 1

Is de leverancier een leverancier van een digitaal onderwijsmiddel dat gebruikt wordt door een in Nederland of onder Nederlandse wetgeving vallend schoolbestuur?
U levert uw producten dus niet alleen aan ouders, maar het schoolbestuur is uw opdrachtgever, uw contractant en en u factureert aan het schoolbestuur. We bedoelen hier leveranciers van een digitaal product en/of digitale dienst waarin persoonsgegevens van onderwijsdeelnemers worden verwerkt ten behoeve van het verzorgen van onderwijs, waaronder het voorbereiden, uitvoeren, evalueren en ondersteunen van het onderwijs(proces) en het begeleiden en volgen van onderwijsdeelnemers (in hun leerproces);

Zo ja: dan is de leverancier deelnemer.
U kunt zicht aanmelden bij het privacyconvenant door het ondertekenen van de toetredingsverklaring. Daarna wordt uw bedrijfsnaam opgenomen in de lijst met ondertekenaars en wordt u geacht gebruik te maken van de model verwerkersovereenkomst.
Zo niet: ga naar vraag 2.

Vraag 2

Producten die anoniem gebruikt worden, en/of waarin geen persoonsgegevens van leerlingen zijn opgenomen, vallen niet onder het convenant. Leveranciers van hardware vallen ook niet onder convenant, tenzij zij ook software leveren waarin de hiervoor genoemde persoonsgegevens zijn opgenomen. Ook leveranciers die alleen producten leveren aan in het buitenland gevestigde onderwijsinstellingen vallen buiten de reikwijdte. De vraag is daarom:

Verwerkt de leverancier persoonsgegevens van leerlingen (en medewerkers) van een in Nederland of onder Nederlandse wetgeving vallend schoolbestuur?

Zo ja: ga naar vraag 3.
Zo niet: de leverancier is geen deelnemer of medestander.

Vraag 3

Wanneer een leverancier diensten aan ouders/leerlingen/studenten levert zonder opdracht of directe tussenkomst van de school, dan is de leveranciers waarschijnlijk zelf de verantwoordelijke en niet de onderwijsinstelling. In dat geval wordt er géén verwerkersovereenkomst afgesloten: het convenant is dus niet van toepassing. De vraag is hier dus:

Verwerkt de leverancier in opdracht van een schoolbestuur persoonsgegevens, met ander woorden is het schoolbestuur de verwerkingsverantwoordelijke en de leverancier de verwerker?

Zo ja: de leverancier is medestander. U kunt het convenant niet ondertekenen, maar wel gebruik maken van de algemene verwerkersovereenkomst onderwijs om goede afspraken te maken met de schoolbesturen die klant bij u zijn.
Indien gewenst kunt u uw bedrijfsnaam laten opnemen in het overzicht van ‘medestanders’ van het convenant om zichtbaar te maken dat u de uitgangspunten van het convenant naleeft. Vul hiervoor de medestandersverklaring in.

Zo niet: de leverancier is geen deelnemer of medestander. In geval van het mbo geldt hierop een uitzondering, namelijk de ECK-route: studenten/ouders bestellen zelf leermiddelen maar de onderwijsinstelling wisselt met de leverancier vooraf de bijbehorende en benodigde persoonsgegevens van de studenten uit. Het schoolbestuur is dan de verwerkingsverantwoordelijke voor deze verwerkingen. De leverancier is in dat geval deelnemer aan het convenant.

Klik hier om weer terug te gaan naar de stappen voor het aanmelden.

Bijzondere categorieën deelnemers en medestanders

Er zijn een aantal bijzondere groepen, voor wie is vastgesteld of zij deelnemer of medestander zijn. Het gaat om:

Leveranciers van digitale trainingen en cursussen specifiek voor docenten. Zij zijn geclassificeerd als medestander.
Ict-leveranciers van cloud-, netwerk-, wifi- en ict-diensten of audiovisuele diensten, waarbij niet helder is of en hoe zij over persoonsgegevens van leerlingen beschikken. Zij zijn geclassificeerd als medestander.
Schoolfotografen: zij zijn medestander.
Onderzoekbureaus: er zijn bureaus die zich bezighouden met wetenschappelijk of tevredenheidsonderzoek op basis van leerling- en medewerkersgegevens. Zij worden aangemerkt als medestander, voor zover de school hun opdrachtgever is en zij verwerker zijn.
Schooladvies- of begeleidingsdiensten: er zijn organisaties die leraren of leerlingen adviseren en begeleiden met specifieke onderwijsbehoeften. Zij worden aangemerkt als medestander, voor zover de school hun opdrachtgever is en zij verwerker zijn.
Leveranciers van kleuter- en peutertoepassingen zoals leveranciers van kinderopvang-software. Deze leveranciers worden aangemerkt als medestander.