Privacy-bescherming in het onderwijs

Op 1 juli 1989 is een gedeelte van de Wet van 28 december 1988, houdende regels ter bescherming van de persoonlijke levenssfeer in verband met persoonsregistraties (Wet persoonsregistraties) in werking getreden.

Hieronder wordt deze wet in hoofdlijnen belicht.

De Minister van Onderwijs en Wetenschappen heeft de schoolbesturen omtrent deze wet enige informatie verstrekt in Uitleg 0- en W-regelingen nr. 18 van 28 juni 1989. Sinds het begin van de zeventiger jaren is de behoefte gebleken aan maatregelen ter bescherming van de persoonlijke levenssfeer in verband met gegevensbestanden waarin tot individuele natuurlijke personen herleidbare gegevens zijn vastgelegd. Dergelijke bestanden of persoonsregistraties vervullen een nuttige en vaak ook onmisbare functie in onze gecompliceerde samenleving. Dit neemt niet weg - zo wordt in de Memorie van Toelichting gesteld - dat aan een onbelemmerd of onzorgvuldig gebruik van persoonsregistraties gevaren voor de persoonlijke levenssfeer verbonden kunnen zijn.

De Grondwet heeft de wetgever opgedragen regels te stellen om ontwikkelingen op dit gebied in goede banen te leiden. Artikel 10, 2e en 3e lid van de Grondwet bepaalt dat de wet regels stelt:

a. ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens;

b. inzake de aanspraken van personen op kennisneming van over hen vastgelegde gegevens en van het gebruik dat daarvan wordt gemaakt alsmede op verbetering van zodanige gegevens.

Reikwijdte van de wet

De Wet Persoonsregistraties (WPR) maakt geen onderscheid tussen geautomatiseerde en niet-geautomatiseerde persoonsregistraties. Deze wet heeft voorts betrekking op alle persoonsregistraties die systematisch toegankelijk zijn. De wet gaat er van uit dat geautomatiseerde persoonsregistraties in alle gevallen aan deze eis van systematische toegankelijkheid voldoen.

De reikwijdte van de WPR gaat niet zo ver dat elk persoonsgegeven op zichzelf of elke groep van dergelijke gegevens de bescherming van deze wet geniet. Deze wet beperkt zich tot persoonsregistraties.

De definitie van het begrip persoonsregistratie somt verschillende kenmerken op waaraan moet zijn voldaan voordat kan worden gesproken van een persoonsregistratie in de zin van de wet.

In de eerste plaats moet het gaan om een samenhangende verzameling van persoonsgegevens, d.w.z. een groep van dergelijke gegevens die op grond van een of meer kenmerken een onderlinge samenhang vertoont. Dit kan ook blijken uit een gemeenschappelijke bestemming of uit het feit dat de verzameling in de praktijk als een geheel pleegt te worden beschouwd.

Voorts is het vereiste dat de verzameling op verschillende personen betrekking hebbende gegevens bevat. Een groot aantal gegevens omtrent één persoon is dus niet een persoonsregistratie in de zin van de onderhavige wet. Niet is van belang of de verzameling daadwerkelijk wordt gebruikt. Enkelvoudige dossiers en alfabetischelexicografisch toegankelijke dossierverzamelingen b.v vallen niet onder het begrip persoonsregistratie.

Een persoonsgegeven omschrijft de WPR als een gegeven dat herleidbaar is tot een individuele natuurlijk persoon. De term persoongegeven heeft in deze wet een ruime betekenis. Het gaat daarbij niet alleen om gegevens die een persoon identificeren, maar om alle gegevens die met een be-

paald persoon in verband kunnen worden gebracht.

Algemene bepalingen

Een persoonsregistratie mag slechts worden aangelegd voor een bepaald doel. Dit dwingt de houder (d.i. degene die de zeggenschap heeft over de persoonsregistratie) tot het specificeren van de doelstelling. Tevens is vereist dat het belang van de houder tot dat doel redelijkerwijs aanleiding geeft. Het schoolbestuur is houder van de personeels- en salarisadministratie en de leerlingen- en studentenadministratie. Het schoolbestuur heeft een redelijk belang bij deze persoonsregistraties.

De WPR stelt de houder er volledig verantwoordelijk voor dat de persoonsgegevens: - rechtmatig zijn verkregen en

- in overeenstemming zijn met het doel waarvoor de registratie is aangelegd. Deze laatste eis stelt niet alleen grenzen aan het opnemen van gegevens, maar ook aan het bewaren daarvan in op personen herleidbare vorm.

Verder wordt de houder in de WPR een zorgplicht opgelegd met betrekking tot de juistheid en de volledigheid van de opgenomen persoonsgegevens.

De wet gaat voor het verstrekken van gegevens binnen de organisatie van de houder uit van het beginsel van doelbinding. Dat wil zeggen dat persoonsgegevens slechts mogen worden gebruikt op een wijze die met het doel van de registratie verenigbaar is.

Binnen de organisatie van de houder mogen uit een oogpunt van persoonsregistratie slechts gegevens worden verstrekt aan personen die ingevolge hun taak die gegevens mogen ontvangen. Deze bepaling strekt er toe onnodige verspreiding van gegevens binnen de organisatie van de houder tegen te gaan.

De wetgever heeft zich op het standpunt gesteld dat sommige persoonsgegevens naar hun aard de persoonlijke levenssfeer diepgaand kunnen raken of dat aan de vastlegging daarvan in het maatschappelijk verkeer bijzondere risico's zijn verbonden. Dit betreft persoonsgegevens met betrekking tot iemands godsdienst of levensovertuiging, ras, politieke gezindheid, seksualiteit of intiem levensgedrag, alsmede persoonsgegevens van medische, psycholo^ gische, strafrechtelijke of tuchtrechtelijke aard.

De houder van een persoonsregistratie dient zorg te dragen voor de nodige voorzieningen van technische en organisatorische aard ter beveiliging van een persoonsregistratie tegen verlies of aantasting van de gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking daarvan. Gelijke plicht rust op de bewerker voor de apparatuur die hij onder zich heeft. Onder bewerker verstaat de WPR degene die het geheel of een gedeelte van de apparatuur onder zich heeft, waarmee een persoonsregistratie waarvan hij niet de houder is, wordt gevoerd.

Verstrekken van gegevens aan een derde

Het verstrekken van gegevens aan een derde wordt in de WPR omschreven als: "Het verstrekken van gegevens uit een persoonsregistratie aan een persoon of instantie buiten de organisatie van de houder, met uitzondering van het verstrekken aan de bewerker of de geregistreerde". Bedoelde verstrekking van gegevens is slechts geoorloofd indien zulks:

- voortvloeit uit het doel van de registratie. Dit wil zeggen dat het doel van de registratie meebrengt dat de betrokken verstrekking aan een derde geschiedt. - wordt vereist ingevolge een wettelijk voorschrift.

Als wettelijk voorschrift valt in dit verband aan te merken elke daad van wetgeving, dus een voorschrift bij of krachtens de wet gesteld of een voorschrift, gesteld bij een verordening van een gemeente, een provincie of ander publiekrechtelijk lichaam.

- geschiedt met schriftelijke instemming van de geregistreerde.

Indien de geregistreerde minderjarig is en de leeftijd van 16 jaar nog niet heeft bereikt, is in plaats van de toestemming van de geregistreerde die van zijn wettelijke vertegenwoordiger vereist.

Rechten van de belanghebbende op kennisneming en verbetering

De houder van een persoonsregistratie is verplicht om aan ieder over wie voor de eerste keer persoonsgegevens in de registratie worden opgenomen van dit feit binnen een maand schriftelijk mededeling te doen. Deze verplichting geldt niet o.a. indien de betrokkene weet of redelijkerwijs kan weten dat een dergelijke opname heeft plaats gevonden. Dit houdt in dat een schoolbestuur niet verplicht is om aan het personeel en de leerlingen mededeling omtrent zodanige opname te doen. Zij kunnen immers (redelijkerwijs) weten dat bedoelde opname in de registratie heeft plaats gevonden.

De WPR regelt het recht op kennisneming van de geregistreerde van de gegevens die over hem in een persoonsregistratie zijn opgenomen. Een ieder kan een houder verzoeken hem te berichten of en zo ja welke gegevens over hem in diens persoonsregistratie zijn opgenomen. De houder is verplicht binnen een maand aan dit verzoek te voldoen door hem schriftelijk een volledig overzicht van diens in de registratie opgenomen persoonsgegevens ter beschikking te stellen, vergezeld van inlichtingen over de herkomst.

Voorts bevat de WPR een regeling voor het correctierecht. Een geregistreerde kan nl. na kennisneming van hem betreffende gegevens van oordeel zijn dat deze feitelijk onjuist zijn, ten onrechte in de betreffende persoonsregistratie zijn opgenomen of onvolledig zijn. Hij kan de houder verzoeken deze te verbeteren, aan te vullen of te verwijderen, onder opgave van de aan te brengen wijzigingen. De houder dient dan binnen twee maanden te reageren.

De WPR voorziet verder in een bepaling die de geregistreerde in staat stelt na te gaan aan wie gegevens over hem uit een persoonsregistratie zijn verstrekt. De houder dient hem desgevraagd schriftelijk mede te delen aan wie hem betreffende gegevens in het afgelopen jaar zijn verstrekt. Vaak zal de houder met algemene informatie kunnen volstaan, omdat het om standaard-verstrekkingen gaat. Indien het belang van de geregistreerde dit echter eist, dient de houder mededeling te doen van elke afzonderlijke verstrekking, voor zover deze is vastgelegd.

Persoonsregistraties op het gebied van het onderwijs

De WPR bevat een aparte paragraaf voor o.a. het onderwijs. Deze paragraaf treedt een half jaar later in werking dan de Wet zelf

(dus per 1 januari 1990). Voor registraties die dan al bestaan wordt deze paragraaf nog een zes maanden later van toepassing (1 juli 1990).

De houder van een persoonsregistratie is verplicht een privacy-reglement vast te stellen. Al hetgeen onder gewone omstandigheden met betrekking tot de registratie wordt verricht en uit een oogpunt van bescherming van de persoonlijke levenssfeer van belang kan zijn, behoort in beginsel in het reglement aan de orde te komen.

De onderwerpen die in ieder geval in het reglement een plaats moeten hebben zijn: a. het doel van de registratie; b. de categorieën van personen over wie gegevens in de registratie worden opgenomen;

c. de soorten van gegevens die in de registratie worden opgenomen en de wijze waarop deze worden verkregen; d. de gevallen waarin opgenomen gegevens worden verwijderd;

e. de categorieën van personen of instanties, waaraan gegevens uit de registratie worden verstrekt;

f. de soorten van gegevens die aan de onder e bedoelde personen of instanties worden verstrekt; g. de rechtstreekse toegang tot de registratie;

h. eventuele verbanden tussen de registratie en enige andere gegevensverzameling;

i. de wijze waarop geregistreerde personen of hun wettelijke vertegenwoordigers kennisneming en verbetering van de over hen opgenomen gegevens kunnen verkrijgen;

j. de wijze waarop geregistreerde personen of hun wettelijke vertegenwoordigers mededeling van verstrekking van hen betreffende gegevens kunnen verkrijgen;

k. de hoofdlijnen van het beheer van de registratie.

Bij algemene maatregel van bestuur kunnen bepaalde groepen registraties van een standaardtype van de reglementsplicht vrijgesteld worden.

Inmiddels is een "Ontwerp-besluit genormeerde vrijstelling" verschenen. De genormeerde vrijstelling is bedoeld voor typische doorsnee-registraties: persoonsregistraties die veel voorkomen en daardoor een zeker standaard-karakter hebben, die betrekkelijk eenvoudig van opzet zijn en waarvan het bestaan en de werking bij de geregistreerden doorgaans wel bekend is. Uit bedoelde ontwerp algemene maatregel van bestuur blijkt dat personeelsadministraties, salarisadministraties en administraties van leerlingen en studenten van de reglementsplicht zullen worden uitgezonderd.

De Minister van Justitie heeft genoemd ontwerp-besluit onlangs voor advies voorgelegd aan de Registratiekamer, die tot taak heeft toezicht te houden op de werking van de persoonsregistraties.

Het Besluit genormeerde vrijstelling zal op 1 januari 1990 in werking moeten treden. Zodra hieromtrent meer bekend is zullen wij de schoolbesturen nader informeren.

J.J. Verhage.

Deze tekst is geautomatiseerd gemaakt en kan nog fouten bevatten. Digibron werkt voortdurend aan correctie. Klik voor het origineel door naar de pdf. Voor opmerkingen, vragen, informatie: contact.

Op Digibron -en alle daarin opgenomen content- is het databankrecht van toepassing. Gebruiksvoorwaarden. Data protection law applies to Digibron and the content of this database. Terms of use.

Printen