Guimardstraat BRUSSEL. Toelichting. Inleiding

Transcriptie

1 Guimardstraat BRUSSEL Toelichting Dienst Bestuur & Ondersteuning Opleiding Aanspreekpunt Informatieveiligheid Sjabloon voor het register van verwerkingsactiviteiten: Voor het vrij gesubsidieerde net (KathOndVla), met meldingen voor IVP-gerelateerde incidenten: Inleiding Volgend op de leernetwerkdagen die er regionaal gehouden werden in november december 2018, presenteren we hier een meer praktische, zo eenvoudig mogelijk uitgelegde, tips en tricks om het vooraf ingevulde registersjabloon, zoals het te vinden is op bovenvermelde website(s), schooleigen te maken. De tips en tricks in dit document zijn gebaseerd op het gebruik van dit sjabloon.

2 Algemene info Tip : wat als onze onderwijsinstelling (school of centrum) administratief meer dan één instellingsnummer gebruikt? Vermeld dit als dus danig. Binnen die administratieve nummers kunnen persoonsgegevens immers overgezet worden, zelfs in de loop van een begonnen schooljaar, zonder problemen. Dit doe je door de desbetreffende instellingsnummers bij (2) op te sommen. Gebruik voor de naam van de onderwijsinstelling in (1) de algemeen gebruikte naam en adres e.a. zoals vermeld in het school/centrumreglement. Van zodra persoonsgegevens overgaan naar een ander instellingsnummer dan in het register opgesomd, dan gaat het om een doorgifte van deze gegevens naar een andere onderwijsinstelling (die als dus danig moet verantwoord worden en gedocumenteerd in het register). Tip : moet er voor elke school een afzonderlijk bestand (aparte kopie) bijgehouden worden? De vraag die men zich moet stellen is: hoe veel verschillen de onderwijsinstellingen in kwestie van elkaar, wat betreft de verwerkingen van persoonsgegevens. De praktijk leert ons dat er vaak, ook beleidsmatig, wel verschillen zijn (ook wat regelgeving en rechtsposities betreft) tussen basis en secundair onderwijs en tussen gewoon en buitengewoon onderwijs. Indien een schoolbestuur verschillende instellingen (onderwijsniveau s/vormen) onder het gezag heeft, lijkt het aangewezen om die sowieso wel als dus danig op te splitsen in verschillende bestanden. Een andere belangrijke parameter, naast onderwijsniveau/vorm, is de mate van doorgiftes. Misschien zijn er onderwijsinstellingen die veel meer informatie doorgeven of uitwisselen dan sommige andere. Als de verschillen hierin groot zijn, kan men ook beter opteren voor verschillende bestanden om de verwerkingsactiviteiten van deze onderwijsinstellingen te documenteren. Een laatste belangrijk verschil kan in de gebruikte verwerkers zitten. Indien bepaalde onderwijsinstellingen compleet andere platformen/systemen gebruiken, dan is het opnieuw beter om te opteren voor verschillende bestanden. Als uit de voorgaande vragen blijkt dat er (weinig tot) geen verschil is tussen bepaalde onderwijsinstellingen, dan is het mogelijk om deze samen te documenteren in één registerbestand. Concreet: vul het werkblad Algemene info (3) in met de gegevens van de eerste onderwijsinstelling, verander de naam onderaan, maak een kopie en vul deze in met de gegevens van de tweede onderwijsinstelling, enz. Fictieve Case: Schoolbestuur vzw Ambitieus Genereus telt 5 basisscholen en 1 secundaire school. Register bestand 1 Register bestand 3 secundaire school basisscholen (met onderling nagenoeg Register bestand 2 zelfde verwerkingsactiviteiten)

3 1 2 3 Trick : Het werkblad Algemene info kopiëren Indien meerdere onderwijsinstellingen volgens het schoolbestuur en AIV( s) in eenzelfde (kopie van het) registerbestand kunnen gedocumenteerd worden, dan vult men het Algemene info werkblad best in voor de eerste onderwijsinstelling om er vervolgens een kopie van te nemen voor de tweede onderwijsinstelling, enz. Op die manier kan men, althans wat het registerbestand betreft, onderwijsinstellingen die voldoende gelijkenis vertonen op het vlak van verwerkingsactiviteiten voor persoonsgegevens, groeperen binnen het schoolbestuur. 1 1 Mogelijks kan een gelijkaardige parallel dan ook doorgetrokken worden wat het IVP-beleid voor die onderwijsinstellingen betreft.

4 Tip : wat als de scholengemeenschap de registers aanlegt voor verschillende schoolbesturen (die deel uitmaken van die scholengemeenschap)? De identificatie van de verwerkingsverantwoordelijke dient uiteraard uniek te zijn. In feite dient de scholengemeenschap per bestuur de registerverplichting uit te werken. Voor elk schoolbestuur kan een hierboven beschreven groepering uiteraard wel toegepast worden. Trick : wat als een aantal onderwijsinstellingen van de scholengemeenschap, die behoren tot verschillende schoolbesturen, veel (tot volledige) gelijkenissen vertonen wat betreft verwerkingsactiviteiten? Laat ons aannemen dat bv. onderwijsinstelling A, B en C behoren tot bestuur I maar in feite qua register hetzelfde kunnen gedocumenteerd worden als onderwijsinstelling X, Y en Z van bestuur II. Stel dan een registerbestand op voor A, B, C en kopieer vervolgens dit bestand. Pas in de kopie de nodige identificatiegegevens aan, voor X, Y, Z en met bestuur II als verwerkingsverantwoordelijke, zoals beschreven in het voorgaande. Tip : wat betekent gezamenlijke verwerkingsverantwoordelijken? Dit houdt in dat twee afzonderlijke verwerkingsverantwoordelijken (vzw s) samen de middelen en het doel voor de verwerkingen van persoonsgegevens bepalen. Zij delen dan ook de verantwoordelijkheden en in het bijzonder de verantwoordingsplicht die de AVG hen oplegt. (Artikel 26 AVG) Dit komt bv. voor indien het schoolbestuur een bepaalde vzw onder de hoede heeft, maar deze heeft dan een eigen identificatie én raad van bestuur e.d. (ook al bestaat dit in de praktijk misschien (nagenoeg) uit dezelfde personen). Dit kan bv. het geval zijn bij een afzonderlijke vzw om facilitair personeel (onderhoud, poets, keuken, ) in dienst te nemen. Die vzw werkt dan onder de verantwoordelijkheid van het schoolbestuur, maar is voor de AVG ook een verwerkingsverantwoordelijke voor de personeelsadministratie en het personeelsbeheer. Een ander voorbeeld zou een afzonderlijk (in een vzw georganiseerd) oudercomité kunnen zijn.

5 Trick : registerbestand voor gezamenlijke verwerkingsverantwoordelijken Identificeer de tweede verwerkingsverantwoordelijke (de vzw die a.h.w. opereert onder de vzw van het schoolbestuur) in het respectievelijke onderdeel van het werkblad Algemene info. Voeg de passende werkbladen toe voor de verwerkingen onder het gezag van die tweede verwerkingsverantwoordelijke (kopieer hiertoe de desbetreffende werkbladen die reeds voorzien zijn) en vermeld, zowel in de naamgeving als in de opmerkingen/toelichtingen, duidelijk dat het over de specifieke verwerkingsactiviteiten gaat die onder de gezamenlijke verantwoordelijkheid vallen. Werkbladen per doeleinde Tip : wat is de betekenis van de verschillende werkbladen? Elk werkblad geeft de verwerkingsactiviteiten weer per verwerkingsdoeleinde. Standaard voorziet het sjabloon in de volgende werkbladen: Leerlingenadministratie Leerlingenbegeleiding Toezicht telecom activiteiten Personeelsadministratie Personeelsbeheer Communicatie (als direct marketing) Camerabewaking Plus een blanco werkblad Het werkblad setup bevat de gegevens die voorkomen in al de keuzelijsten. Elk werkblad bevat de volgende elementen: Naam verwerkingsactiviteit Doeleinde(n) van de verwerkingsactiviteit (Categorie van) persoonsgegevens Rechtmatigheid voor verwerking = grondslag (per categorie van persoonsgegevens) Gegevensverzameling door profilering: ja-nee Betreft gevoelige gegevens (artikel 9 of 10): ja-nee (Categorie van) betrokkenen Verwerkers (en stavaza verwerkersovereenkomst) Ontvangers andere dan de verwerkers (categorieën) Ontvangers buiten de Europese Economische Ruimte Technische en organisatorische maatregelen ter beveiliging van de gegevens Hoe is de betrokkene geïnformeerd (gegevens die rechtstreeks bij hem verkregen zijn)? Hoe is de betrokkene geïnformeerd (gegevens die niet rechtstreeks bij hem verkregen zijn)? Bewaartermijnen (per categorie van persoonsgegevens) Rood gemarkeerd: verplicht in te vullen Oranje gemarkeerd: indien mogelijk, in te vullen (Artikel 30 AVG)

6 Trick : verwijderen van een werkblad Indien een in het sjabloon standaard aanwezig verwerkingsdoeleinde, zoals bv. camerabewaking, in de onderwijsinstelling(en) niet voorkomt, dan kan men het desbetreffende werkblad verwijderen. Trick : toevoegen van een werkblad Indien een bepaald verwerkingsdoeleinde in het sjabloon standaard niet aanwezig is, of niet volledig vervat kan worden in een in het sjabloon aanwezig verwerkingsdoeleinde, dan kan het aangewezen zijn om er een werkblad voor toe te voegen. Het beste is dat men een gelijkaardig werkblad (dat al aangepast is) hiervoor kopieert. Men kan ook het blanco werkblad hiervoor nemen; neem er dan wel eerst een kopie van zodat er steeds een blanco exemplaar in het registerbestand blijft. Tip : hoe geeft men een verwerker in? Vermeld de firma in het daarvoor voorziene onderdeel van het werkblad. Merk op dat er meerdere verwerkers voor de resp. verwerkingen kunnen zijn (bv. administratieve leerlingengegevens komen voor in het leerlingadministratiesysteem en waarschijnlijk ook in het leerlingvolgsysteem). Ga op of de-deelnemers/ na of de firma in kwestie een intentieverklaring onderschrijft of niet. Indien dit zo is, vermeld dan alvast intentieverklaring ja (of iets dergelijks). Neem contact op met de firma i.v.m. een vooraf ingevulde exemplaar van het model verwerkersovereenkomst, ter ondertekening. Indien er een verwerkersovereenkomst tussen het schoolbestuur en de firma in kwestie getekend is, geef dan aan overeenkomst ja (of iets dergelijks). Dit moet voor alle mogelijke verwerkers uitgevoerd worden (zie ook eerdere tips).