3. Gelet op het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten;

Transcriptie

1 Vlaamse Tezichtcmmissie vr het elektrnische bestuurlijke gegevensverkeer Beraadslaging VTC nr. 26/2018 van 16 mei 2018 Betreft: Aanvraag tt machtiging vr het meedelen van persnsgegevens van leerlingen dr het Agentschap vr Onderwijsdiensten (AgODi) aan de nderwijsinstellingen van het basis en secundair nderwijs in het kader van schlveranderingen. I. ELEMENTEN VAN DE AANVRAAG A. WETTELIJKE, DECRETALE EN REGLEMENTAIRE GRONDSLAGEN 1. De Vlaamse Tezichtcmmissie (hierna: "de VTC"); 2. Gelet p het decreet van 18 juli 2008 betreffende het elektrnische bestuurlijke gegevensverkeer (hierna: het egv-decreet ), inznderheid de artikelen 8 en 11; 3. Gelet p het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidscnsulenten; 4. Gelet p de wet van 8 december 1992 tt bescherming van de persnlijke levenssfeer ten pzichte van de verwerking van persnsgegevens (hierna "WVP"); 5. Gelet p de wet van 8 augustus 1983 tt regeling van een Rijksregister van de natuurlijke persnen (hierna "WRR"); 6. Gelet p de wet van 5 mei 2014 hudende verankering van het principe van de unieke gegevensinzameling in de werking van de diensten en instanties die behren tt f taken uitveren vr de verheid en tt 1

2 vereenvudiging en gelijkschakeling van elektrnische en papieren frmulieren (hierna wet van 5 mei 2014 ), inznderheid artikel 5; 7. Gelet p het Kninklijk besluit van 13 februari 2001 ter uitvering van de wet van 8 december 1992 tt bescherming van de persnlijke levenssfeer ten pzichte van de verwerking van persnsgegevens (hierna KB van 13 februari 2001 ); B. VERLOOP VAN HET ONDERZOEK 8. Gelet p de aanvraag, ntvangen p 26 april 2018; 9. Gelet p de evaluatie van de beveiliging van AgODi en de uitleg ver de infrmatieveiligheid bij de nderwijsinstellingen, ntvangen p 15 februari 2017; 10. Gelet p de bespreking van het dssier p de vergadering van de VTC van 16 mei 2018; 11. Beslist p 16 mei 2018, na beraadslaging, als vlgt: II. ONDERWERP EN CONTEXT VAN DE AANVRAAG 12. Onderwijsinstellingen van het basis- en secundair nderwijs zuden bij schlveranderingen van leerlingen via hun schladministratiepakket aan de centrale databank van AgODi de gegevens van de uitschrijvende/nieuwe schl meten kunnen pvragen. Op die manier kan de uitschrijvende schl de decretale verplichting uitveren m relevante leerlingengegevens ver te dragen bij schlverandering en wrdt de vltte ndersteuning en pvlging van gewezen anderstalige nieuwkmers gefaciliteerd. Het vrzien van deze functinaliteit in Discimus vr alle basis- en secundaire schlen is bvendien een bijkmende service en kadert in de peratie Tarra. Het zu immers veel planlast besparen als bij een schlverandering betrkken schlen eenvudig kunnen achterhalen in welke andere basis- f secundaire schl hun vregere leerlingen zijn ingeschreven. Indien de nieuwe schl k ver de gegevens van de uitschrijvende schl beschikt, kan k zij vr haar nieuwe leerlingen initiatief nemen vr infrmatie-uitwisseling met en begeleiding dr de uitschrijvende schl. 13. De verdracht van persnsgegevens wrdt gevraagd vr vlgende deleinden: Overdracht van relevante leerlingengegevens tussen de uitschrijvende en de nieuwe schl met g p de kwaliteitsvlle begeleiding van de leerling; Opvlgen en ndersteunen van gewezen anderstalige nieuwkmers in het secundair nderwijs na de nthaalklas; 2

3 Overdracht en pbuw van expertise m.b.t. gewezen anderstalige nieuwkmers in vervlgschlen van het secundair nderwijs; Planlastvermindering p vlak van cntacten en gegevensverdracht i.k.v. schlveranderingen tussen alle schlen van het basis- en secundair nderwijs. III. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID 14. Het betreft ndermeer de identificatie van leerlingen p basis van INSZ-nummer (zie nder B.2.1. vr een vlledig verzicht van de gegevens). 15. In casu betreft het aldus een latere verwerking van gegevens die infrmatie bevatten mtrent een geïdentificeerde natuurlijke persn. Deze gegevens kunnen dus als persnsgegevens in de zin van artikel 1, 1, WVP, gekwalificeerd wrden. 16. Aangezien deze persnsgegevens p een geautmatiseerde wijze wrden verwerkt, is de WVP van tepassing Overeenkmstig artikel 8, eerste lid, van het egv-decreet vereist elke elektrnische mededeling van persnsgegevens dr een instantie 2 een machtiging van de VTC, tenzij de elektrnische mededeling van gegevens al nderwrpen is aan een machtiging van een ander sectraal cmité, pgericht binnen de Cmmissie vr de Bescherming van de Persnlijke Levenssfeer. 1 Art. 3, 1 WVP. 2 Het begrip instantie wrdt gedefinieerd in artikel 2, 10, van het decreet als: een instantie, vermeld in artikel 4, 1, van het decreet van 26 maart 2004 betreffende de penbaarheid van bestuur. Art Dit decreet is van tepassing p de vlgende instanties : 1 het Vlaams Parlement en de eraan verbnden instellingen; 2 de diensten, instellingen en rechtspersnen die afhangen van de Vlaamse Gemeenschap f het Vlaamse Gewest; 3 de gemeenten en de districten; 4 de prvincies; 5 de andere gemeentelijke en prvinciale instellingen, met inbegrip van de verenigingen znder winstgmerk waarin één f meer gemeenten f de prvincies minstens de helft van de stemmen in één van de beheersrganen heeft f de helft van de financiering vr haar rekening neemt; 6 de verenigingen van prvincies en gemeenten, bedeld in de wet van 22 december 1986 betreffende de intercmmunales, en de samenwerkingsvrmen zals geregeld in het decreet van 6 juli 2001 hudende de intergemeentelijke samenwerking; 7 de penbare centra vr maatschappelijk welzijn, hierna O.C.M.W.'s te nemen, en de verenigingen, bedeld in hfdstuk 12 van de rganieke wet van 8 juli 1976 betreffende O.C.M.W.'s; 8 de plders, bedeld in de wet van 3 juni 1957 betreffende de plders, en de wateringen, bedeld in de wet van 5 juli 1956 betreffende de wateringen; 9 de kerkfabrieken en de instellingen die belast zijn met het beheer van de tempraliën van de erkende erediensten; 10 alle andere instanties binnen het Vlaamse Gewest en de Vlaamse Gemeenschap. 3

4 18. De unieke identificatie van de persn gebeurt p basis van het rijksregisternummer. De VTC is sinds 14 juni 2014 bevegd m het gebruik van het rijksregisternummer te machtigen samen met een dr haar te machtigen gegevensstrm. 19. Overeenkmstig artikel 5, 1ste lid, 1 en artikel 8 van de WRR, wrdt machtiging verleend m het identificatienummer van het Rijksregister te gebruiken: aan de Belgische penbare verheden vr de infrmatiegegevens die zij gemachtigd zijn te kennen uit hfde van een wet, een decreet f een rdnnantie. 20. De persnsgegevens wrden pgevraagd bij het Agentschap vr Onderwijsdiensten (AgODi), een intern verzelfstandigd agentschap znder rechtspersnlijkheid, behrend tt het Vlaams Ministerie van Onderwijs & Vrming. Bijgevlg is AgODi een instantie in de zin van artikel 4, 1, 10 van het decreet van 26 maart 2004 betreffende de penbaarheid van bestuur, valt bijgevlg nder het tepassingsgebied van artikel 8 van het e- gvdecreet. 21. Vr tegang tt het Rijksregister en het gebruik van het Rijksregisternummer gelden de vlgende machtigingen: - Kninklijk besluit van 5 september 1994 tt regeling van de tegang tt de infrmatiegegevens en van het gebruik van het identificatienummer van het Rijksregister van de natuurlijke persnen in hfde van de afdeling Begrting en Gegevensbeheer en de Administraties Basisnderwijs, Secundair Onderwijs, Hger Onderwijs en Wetenschappelijk Onderzek en Permanente vrming van het departement Onderwijs van het ministerie van de Vlaamse Gemeenschap en tt gebruik van het identificatienummer van het Rijksregister van de natuurlijke persnen in hfde van de schldirecties - diverse beraadslagingen, nder meer: RR 2008/052; RR 2008/ De VTC is derhalve bevegd m vrliggende machtigingsaanvraag te behandelen. B. TEN GRONDE B.1. FINALITEITSBEGINSEL 23. Artikel 4, 1, 1, WVP, stelt dat iedere verwerking van persnsgegevens eerlijk en rechtmatig met zijn. Dit hudt in dat iedere gegevensverwerking dient te gebeuren p een transparante wijze en mits naleving van het recht. Overeenkmstig artikel 4, 1, 2, WVP, dienen persnsgegevens vr welbepaalde, uitdrukkelijk mschreven en gerechtvaardigde deleinden te wrden verkregen en mgen zij niet verder wrden verwerkt p een wijze die, rekening hudende met alle relevante factren, met name de redelijke verwachtingen van de betrkkene en met de tepasselijke wettelijke en reglementaire bepalingen, nverenigbaar is met die deleinden. De VTC nderzekt hierna de verschillende aspecten van dit finaliteitsbeginsel. 4

5 Orsprnkelijk deleinde van de gegevensverwerking: 24. De leerlingengegevens wrden mmenteel vr verschillende deleinden gebruikt. Z is het ndzakelijk m ver de leerlingengegevens te beschikken m de middelen (werkingsbudgetten en persneelsmkadering) vr de nderwijsinstellingen en begeleidende diensten te kunnen berekenen. De leerlingenaantallen bepalen k de dtaties van de Gemeenschappen (artikel 39 van de bijzndere wet van 16 januari 1989 betreffende de financiering van de Gemeenschappen en de Gewesten). Daarnaast wrden de leerlingengegevens gebruikt m de leerplichtcntrle te kunnen uitveren. De leerlingengegevens wrden k aangeleverd aan de afdeling studietelagen, die deze gegevens gebruiken m schltelagen te te kennen en terug te vrderen. Ten sltte leveren de leerlingengegevens belangrijke beleidsinfrmatie, zals schlppulatie, pleidingsbeheftes en slaagkansen. 25. De wettelijke basis van de rsprnkelijke gegevensverwerking is: - de wet van 29 mei 1959 tt wijziging van smmige bepalingen van de nderwijswetgeving - de wet van 29 juni 1983 betreffende de leerplicht - Artikel 39 van de bijzndere wet van 16 januari 1989 betreffende de financiering van de Gemeenschappen en de Gewesten - het decreet basisnderwijs van 25 februari het decreet van 28 juni 2002 betreffende gelijke nderwijskansen - het decreet van 8 juni 2007 betreffende de studiefinanciering van de Vlaamse Gemeenschap - het decreet van 4 juli 2008 betreffende de werkingsbudgetten in het secundair nderwijs en tt wijziging van het decreet basisnderwijs van 25 februari 1997 wat de werkingsbudgetten betreft 26. AgODi heeft tt taak: 1. het verzrgen van de administratieve en financiële dienstverlening vr schlen; 2. het ndersteunen en infrmeren van schlen; 3. het nagaan f de middelen crrect wrden gebruikt; 4. het meewerken aan de realisatie van het beleid en de beleidsevaluatie, in samenwerking met het departement en de andere agentschappen; 5. het bijdragen tt een crrecte en tijdige tepassing van de financieringswet. 27. Deze machtigingsaanvraag kadert in de verdere uitbreiding van het prject Discimus. Hierver werd dr de VTC al machtigingen verleend: beraadslaging VTC nr. 2012/03, beraadslaging VTC nr. 2012/12 en beraadslaging VTC nr. 2013/ De web services van Discimus zrgen ervr dat de infrmatie die AgDOi ndig heeft, autmatisch naar de databank Discimus wrden verznden. Schlen registeren vrtaan dus enkel ng de gegevens crrect in hun leerlingenadministratiepakket en meten geen aparte zendingen meer den. Bvendien maken de web services van 5

6 Discimus het mgelijk dat infrmatie uit de centrale databank nmiddellijk naar het schladministratiepakket kan terugvleien en dat schlen deze infrmatie kunnen raadplegen. Deleinde van de verdere verwerking: 29. Wanneer een leerling van schl verandert vindt er, in het belang van het kind, een uitwisseling van relevante leerlingengegevens plaats tussen de uitschrijvende en de nieuwe schl. Sinds 1 september 2014 is de verplichting m relevante leerlingengegevens ver te dragen bij schlverandering pgenmen in artikel 31 van het decreet basisnderwijs. Vrwaarde m deze gegevensstrm te rganiseren, is dat de uitschrijvende en de nieuwe schl ver elkaars gegevens beschikken. Op dit mment zijn schlen, betrkken bij een schlverandering, steeds afhankelijk van andere actren m ver de gegevens van de uitschrijvende/nieuwe schl te kunnen beschikken. De infrmatiestrm van gegevens van de uitschrijvende/nieuwe schl is niet gefrmaliseerd, waardr de verdracht van de relevante leerlingengegevens tussen schlen bij een schlverandering niet gewaarbrgd wrdt. 30. Met het vrntwerp van het decreet betreffende het nderwijs 28 ligt een aanpassing van artikel 31 van het decreet basisnderwijs vr waarin wrdt verduidelijkt dat de uitschrijvende schl spntaan de leerlingengegevens met verdragen en dat de verplichting k geldt bij schlverandering naar het secundair nderwijs. 31. Vlgens het besluit van de Vlaamse regering inzake de rganisatie van nthaalnderwijs vr anderstalige nieuwkmers in het gewn vltijds secundair nderwijs van 24 mei 2002 heeft elke schlengemeenschap, f elke schl buiten een schlengemeenschap die tijdens het vrgaande schljaar de nthaalklas vr anderstalige nieuwkmers (OKAN) inrichtte, recht p lerarenuren m 1) gewezen anderstalige nieuwkmers te ndersteunen in hun verdere studies in het secundair nderwijs en 2) expertise ver te dragen naar en p te buwen in de vervlgschlen. Ok m deze pdracht te kunnen uitveren meten de uitschrijvende schl en de nieuwe schl ver elkaars gegevens beschikken. 32. De verdracht van gegevens gebeurt dus vr vlgende deleinden: Overdracht van relevante leerlingengegevens tussen de uitschrijvende en de nieuwe schl met g p de kwaliteitsvlle begeleiding van de leerling. (artikel 31 van het decreet basisnderwijs) Opvlgen en ndersteunen van gewezen anderstalige nieuwkmers in het secundair nderwijs na de nthaalklas. (Besluit van de Vlaamse regering inzake de rganisatie van nthaalnderwijs vr anderstalige nieuwkmers in het gewn vltijds secundair nderwijs van 24 mei 2002) Overdracht en pbuw van expertise m.b.t. gewezen anderstalige nieuwkmers in vervlgschlen van het secundair nderwijs. (Besluit van de Vlaamse regering inzake de rganisatie van nthaalnderwijs vr anderstalige nieuwkmers in het gewn vltijds secundair nderwijs van 24 mei 2002) Planlastvermindering p vlak van cntacten en gegevensverdracht i.k.v. schlveranderingen tussen alle schlen van het basis- en secundair nderwijs. 6

7 33. De VTC is van rdeel dat de deleinden in randnummer 29 e.v. welbepaald en uitdrukkelijk mschreven zijn in de zin van artikel 4, 1, 2, WVP. 34. Aangaande de vereiste van verenigbaarheid met het rsprnkelijk deleinde, wijst de VTC erp dat de geplande verwerkingen, bestaan uit latere verwerkingen van gegevens die rsprnkelijk vr andere deleinden werden verwerkt. De rechtmatigheid van deze latere verwerkingen is aldus afhankelijk van hun verenigbaarheid met de rsprnkelijke verwerking. 35. Overeenkmstig artikel 4, 2, WVP, mgen persnsgegevens immers niet verder wrden verwerkt p een wijze die, rekening hudende met alle relevante factren, met name de redelijke verwachtingen van de betrkkene en met de tepasselijke wettelijke en reglementaire bepalingen, nverenigbaar is met die deleinden. 36. Uitgaande van het rsprnkelijk deleinde van de gegevensverwerking, namelijk de inschrijving van een leerling in een nderwijsinstelling, kunnen de leerlingen en hun uders f andere wettelijke vertegenwrdigers redelijkerwijze verwachten dat er bij schlverandering de gegevens van de leerling die ndig zijn vr zijn inschrijving wrden drgegeven naar de nieuwe schl. 37. Er kan dus gerdeeld wrden dat het deleinde van de latere verwerking verenigbaar is met deze van de rsprnkelijke verwerking. 38. De tekmstige deleinden, vermeld in randnummers 29 e.v., zijn rechtmatig te nemen. Niettemin met rekening wrden gehuden met de belangen van de betrkkenen. Vandaar dat k de vereisten van transparantie en beveiliging een drslaggevende rl spelen (zie nder B.3 en B.5). B.2. PROPORTIONALITEITSBEGINSEL B.2.1. Aard van de gegevens 39. Overeenkmstig artikel 4, 1, 3, WVP, meten persnsgegevens tereikend, terzake dienend en niet vermatig zijn, uitgaande van de deleinden waarvr zij wrden verkregen f waarvr zij verder wrden verwerkt. 40. De mededeling van de vlgende gegevens betreffende de (ptentiële) leerlingen wrdt gevraagd: Identificatiegegevens Unieke Identificatr Leerling INSZ-nummer Dit gegeven is ndig m de leerlingen die dubbel ingeschreven zijn te identificeren binnen het eigen sftwarepakket. De leerlingen krijgen pas na de eerste inschrijving in de schl een unieke identificatr. 7

8 Gegevens inschrijving in de nieuwe schl: instellingsnummer van de nieuwe schl, schljaar waar de inschrijving betrekking p heeft, peride inschrijving binnen het schljaar (begin- en einddatum inschrijving) Gegevens inschrijving in de uitschrijvende schl: instellingsnummer van de uitschrijvende schl, schljaar waar de uitschrijving betrekking p heeft, peride inschrijving binnen het schljaar (begin- en einddatum inschrijving) De identificatie van de nieuwe schl is ndzakelijk m de uitschrijvende schl in staat te stellen cntact te leggen met de nieuwe schl. De peride waarp de inschrijving in de nieuwe schl betrekking heeft is relevant vr de uitschrijvende schl m te weten p welk mment de infrmatie-uitwisseling / ndersteuning en pvlging van een gewezen anderstalige nieuwkmer zich aandient. De identificatie van de uitschrijvende schl is ndzakelijk m de nieuwe schl in staat te stellen cntact te leggen met de uitschrijvende schl. De peride waarp de inschrijving in de nieuwe schl betrekking heeft is relevant vr de uitschrijvende schl m te weten p welk mment de infrmatie-uitwisseling zich aandient. 41. Aan de hand van het unieke identificatienummer van het Rijksregister en Bisregister 3 kan een persn precies geïdentificeerd wrden. 42. Op basis van de hierbven geanalyseerde elementen kunnen de gegevens wrden beschuwd als relevant, evenredig en niet buitensprig vr de deleinden, vermeld in randnummer 29 e.v. B.2.2. Bewaringstermijn van de gegevens 43. Artikel 4, 1, 5, WVP vrziet dat persnsgegevens niet langer mgen wrden bewaard dan ndzakelijk is vr de verwezenlijking van de deleinden waarvr zij wrden verkregen f verder wrden verwerkt. 44. De aanvraag verduidelijkt dat de gegevens wrden bewaard tt 31 augustus van het schljaar dat vlgt p het schljaar waarin de leerling de schl verlaten heeft (mzendbrieven bewaartermijnen leerlinggebnden dcumenten BaO/2005/03 en SO/2003/02). 45. De VTC kan akkrd gaan met deze bewaringstermijnen. 3 Gebruik van het Bis-nummer is vrij. 8

9 B.2.3. Frequentie van de tegang en de duur van de machtiging 46. De gegevens zullen permanent wrden pgevraagd: leerlingen veranderen het vaakst van schl naar aanleiding van de start van een nieuw schljaar p 1 september. Maar aangezien k schlveranderingen tijdens het schljaar mgelijk zijn, is een permanente raadpleging ndzakelijk. 47. De machtiging wrdt gevraagd vr nbepaalde duur. 48. De VTC gaat hiermee akkrd. B.2.4. Bestemmelingen en/f derden waaraan gegevens wrden meegedeeld 49. De gegevens wrden ter beschikking gesteld aan minstens één medewerker vr elk van de erkende en gefinancierde f gesubsidieerde basis- en secundaire schlen die de administratieve pvlging verzrgt van de inschrijvingen in de schl. 50. De VTC stelt vast dat redelijk veel persnen tegang hebben tt deze gegevens. De VTC wijst erp dat ervr gezrgd met wrden dat de tegang tt de gegevens maar kan binnen het kader van schlveranderingen, en slechts dr de werknemers die deze gegevens ndig hebben ter uitvering van hun tegewezen taken. Een beleid, bewustmaking van de persneelsleden en cncrete technische en rganisatrische maatregelen hiermtrent zijn nntbeerlijk. B.3. TRANSPARANTIEBEGINSEL (artikelen 4, 1, 1, en 9 tt 15bis, WVP) 51. Artikel 9 WVP vrziet in een verplichting tt infrmatie van de betrkken persnen van wie persnsgegevens wrden gebruikt. 52. Indien de verantwrdelijke vr de verwerking de gegevens niet rechtstreeks bij de betrkkene heeft verkregen, kan evenwel p deze infrmatieverplichting een uitzndering wrden gemaakt indien de registratie f de verstrekking van de persnsgegevens verricht wrdt met het g p de tepassing van een bepaling vrgeschreven dr f krachtens een wet, een decreet f een rdnnantie. Op grnd van artikel 9, 2, 2e lid, b), WVP is in een dergelijke situatie een vrijstelling van infrmatieplicht van kracht. Deze vrijstelling neemt echter niet weg dat de VTC er zich kan van vergewissen f er passende waarbrgen wrden vrzien vr de bescherming van de rechten van de betrkkenen. 9

10 53. De nderwijsinstellingen infrmeren uders, leerlingen en studenten van deze mededeling via het schlreglement. De uders f de meerderjarige leerling ndertekenen het schlreglement vrafgaand aan de inschrijving. Als de schl het reglement wijzigt, met zij het pnieuw ter ndertekening vrleggen. 54. AgODi cmmuniceert elke wijziging via de geijkte kanalen (website, schldirect, Mijn Onderwijs, ). 55. Alle infrmatie i.v.m. Discimus en een gedetailleerde beschrijving van alle gegevens die wrden uitgewisseld is te raadplegen p Tensltte deelt Onderwijs en Vrming alle inf i.v.m. machtigingen en gegevensstrmen d.m.v. een beperkte beschrijving, een link naar extra inf en een vermelding van de cntactpersn p de publieke website De VTC gaat akkrd met deze geplande vrmen van infrmatieverstrekking. B.4 EXTERNE VERWERKER 58. DXC is externe verwerker vr AgODi. 59. De nderwijsinstellingen werken met een beperkt aantal dienstenleveranciers. 60. De VTC herinnert er aan dat ingeval van nderaanneming, de privacywet aan iedere verantwrdelijke vr de verwerking plegt m zijn relatie met externe verwerker te mkaderen met een vereenkmst die vldet aan de vrschriften van artikel 16, 1, WVP. B.5. BEVEILIGING 61. Het veiligheidsbeginsel vr de verwerkingen van persnsgegevens, bepaald in artikel 16 WVP, verplicht de verantwrdelijke vr de verwerking tt het nemen van de passende technische en rganisatrische maatregelen m de gegevens die hij verwerkt te beschermen en zich te wapenen tegen afwijkingen van het deleinde. Het passend karakter van deze veiligheidsmaatregelen hangt enerzijds af van de stand van de techniek en de hiermee gepaard gaande ksten, en anderzijds van de aard van de te beschermen gegevens en de ptentiële risic s. 62. Schlen werken met een leerlingenadministratiepakket waarin zij de gegevens van hun leerlingen bijhuden. De web services van Discimus zrgen ervr dat de infrmatie die AgODi ndig heeft autmatisch naar de databank van AgODi wrden verznden. In het kader van deze machtigingsaanvraag betreft het de gegevens van de schlen 10

11 waar een leerling een inschrijving realiseert. De gegevens van de nieuwe schl vleien dr middel van web services terug naar de uitschrijvende basis- f secundaire schl. Andersm krijgt k de nieuwe schl de gegevens van de uitschrijvende schl. Het is k mgelijk m de webservices aan te bieden via Mijn Onderwijs, het platfrm waarp AgODi in de vrm van rapprten privacygevelige infrmatie aan de schlen terug kan kppelen. 63. De verdracht van de gegevens gebeurt p basis van web services die wrden beveiligd in vereenstemming met de vrziene veiligheidsprtcllen van de Vlaamse Overheid. De web services wrden p verschillende niveaus beveiligd. Op transprtniveau is steeds een SSL/TLS-verbinding vereist. Op berichtniveau gebeurt de authenticatie van de service cnsumer p basis van X.509-certificaten. De certificaten wrden na kwalitatieve registratie aangemaakt en uitgereikt via het platfrm vr digitaal certificatenbeheer van de Vlaamse Overheid. B.5.1. Onderwijsinstellingen van het basis- en secundair nderwijs 64. Wat betreft de infrmatieveiligheid van de nderwijsinstellingen van het basis- en secundair nderwijs stelt de VTC een psitieve evlutie p het terrein vast. Echter dienen ng heel wat stappen gezet, zeker in het kader van de Algemene Verrdening Gegevensbescherming die van tepassing wrdt p 25 mei 2018 en die k geldt vr de nderwijsinstellingen. Iedere nderwijsinstelling is dus verantwrdelijk m tegen die datum de ndige maatregelen rnd infrmatieveiligheid en bescherming van persnsgegevens uit te werken. 65. De VTC bepaalt dat de nderwijsinstellingen de ndige veiligheidsmaatregelen uitwerken cnfrm de Algemene Verrdening Gegevensbescherming tegen 25 mei De VTC verwijst hier naar het engagement van de nderwijskepels en het GO! m dit te realiseren. B.5.2. AgODi 66. De veiligheidscnsulent van het Beleidsdmein Onderwijs en Vrming en is gekend bij het Sectraal Cmité van de Sciale Zekerheid en van de Gezndheid en bij de VTC. Uit de meegedeelde stukken blijkt dat zij beschikt ver een veiligheidsplan en een veiligheidsbeleid. Dit werd laatst geactualiseerd p 29 januari

12 IV. BESLUIT 67. De VTC machtigt AgODi, de persnsgegevens, vermeld in randnummer 40, mee te delen aan de nderwijsinstellingen vr de deleinden en nder de vrwaarden vermeld in deze machtiging. De VTC staat hierbij het gebruik van het rijksregisternummer te. 68. De VTC wijst p de vereisten in randnummer De VTC bepaalt dat de nderwijsinstellingen verantwrdelijke zijn vr het uitwerken van de ndige veiligheidsmaatregelen cnfrm de Algemene Verrdening Gegevensbescherming tegen 25 mei De Vrzitter, Willem Debeuckelaere 12