Privacyreglement Studielink

Transcriptie

1 Privacyreglement Studielink 5 juni 2018 Dit reglement is vastgesteld door het Bestuur van Stichting Studielink op 5 juni Toelichting Contractueel is tussen Stichting Studielink, de onderwijsinstellingen voor Hoger Onderwijs en DUO vastgelegd dat Studielink verwerker is voor de persoonsgegevens zoals bedoeld in de Algemene verordening gegevensbescherming (AVG). In eerst instantie dragen de verwerkingsverantwoordelijken zorg voor het opstellen van een privacyreglement. Gezien de rol en betekenis van Studielink voor de inschrijving in het Hoger onderwijs en de wens om transparantie en eenduidigheid van de bescherming van de persoonsgegevens naar studenten te bevorderen heeft Studielink namens de instellingen dit voorliggend privacyreglement vastgesteld. Inhoudsopgave PARAGRAAF 1 BEGRIPSBEPALINGEN... 2 Artikel 1 Begripsbepalingen... 2 PARAGRAAF 2 REIKWIJDTE EN DOELSTELLING REGLEMENT... 3 Artikel 2 Reikwijdte... 3 Artikel 3 Doelstelling reglement... 3 Artikel 4 Doel van de gegevensverwerking... 3 PARAGRAAF 3 BETROKKENEN: VAN WIE WORDEN PERSOONSGEGEVEN VERWERKT... 4 Artikel 5 Categorieën van personen... 4 PARAGRAAF 4 SOORTEN GEGEVENS: WELKE PERSOONSGEGEVENS WORDEN VERWERKT... 4 Artikel 6 Soorten gegevens... 4 Artikel 7 De wijze waarop gegevens worden verkregen... 5 PARAGRAAF 5 VERSTREKKEN VAN GEGEVENS: AAN WIE WORDEN PERSOONSGEGEVENS VERSTREKT... 5 Artikel 8 Verstrekken van gegevens... 5 PARAGRAAF 6 RECHTEN BETROKKENEN... 5 Artikel 9 Rechten betrokkenen: informatie, correctie, inzage, verwijdering, beperking... 5 PARAGRAAF 7 TOEGANG TOT BESTANDEN, BEHEER EN BEVEILIGING... 6 Artikel 10 Rechtstreekse toegang tot de persoonsgegevens... 6 Artikel 11 Verantwoordelijkheid... 6 Artikel 12 Geheimhouding en beveiliging... 7 Artikel 13 Bewaren, anonimiseren en vernietigen van gegevens... 7 PARAGRAAF 8 SLOT- EN INVOERINGSBEPALINGEN... 7 Artikel 14 Overgangs- en slotbepalingen

2 Artikel 15 Inwerkingtreding en citeertitel... 7 Artikel 16 Inzage reglement... 7 PARAGRAAF 1 BEGRIPSBEPALINGEN Artikel 1 Begripsbepalingen In dit reglement wordt in aansluiting en aanvulling op de Algemene verordening gegevensbescherming verstaan onder: 1. Studielink: de brokerapplicatie waar studenten zich kunnen inschrijven bij een Onderwijsinstelling en het geheel aan uitwisselingsmethoden die door Stichting Studielink is ontwikkeld en wordt beheerd. 2. AVG: de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de Verwerking van Persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming); 3. Whw: Wet op het hoger onderwijs en wetenschappelijk onderzoek; 4. Onderwijsinstelling: de onderwijsinstellingen voor hoger onderwijs; 5. DUO: Dienst Uitvoering Onderwijs; 6. VSNU: Vereniging van universiteiten, is de belangen- en werkgeversvereniging van de veertien Nederlandse Universiteiten; 7. Vereniging Hogescholen: is de belangen- en werkgeversvereniging van de door de overheid bekostigde Nederlandse hogescholen; 8. Stichting Studielink: opgericht door Onderwijsinstellingen en wordt bestuurd door afgevaardigden namens de VSNU en de Vereniging Hogescholen; 9. Persoonsgegeven: alle informatie over een Betrokkene; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon, zoals bedoeld in artikel 4 onder 1) AVG; 10. Verwerking van persoonsgegevens: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens, zoals bedoeld in artikel 4 onder 2) AVG; 11. Bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen; 12. Verwerkingsverantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, in casu de Colleges van Bestuur van de aangesloten Onderwijsinstellingen op Studielink en de hoofddirectie van DUO; 13. Verwerker: degene die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt zonder aan zijn rechtstreeks gezag te zijn onderworpen, in casu Stichting Studielink; 14. Sub-verwerker: degene die in contract met verwerker de verwerking van de persoonsgegevens in de praktijk uitvoert; 15. Beheerder: de functionaris die in opdracht van de verwerkingsverantwoordelijke zorg draagt voor de verwerking van de persoonsgegevens, in casu functionarissen belast met beheer bij Studielink en bij de sub-verwerker; 2

3 16. Functioneel beheerder: degene die de toegang tot de bestanden beheert; 17. Gebruiker: degene die onder verantwoordelijkheid van de verwerkingsverantwoordelijke bij Onderwijsinstelling of DUO bevoegd is persoonsgegevens in te voeren, te wijzigen en/of te verwijderen, dan wel van enigerlei uitvoer van de verwerking kennis te nemen; 18. Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon op wie de Persoonsgegevens betrekking hebben, zoals bedoeld in artikel 4 onder 1) AVG, in casu studenten en aspirant studenten; 19. BRON-HO: Basis Register Onderwijs (BRON) Hoger Onderwijs. BRON HO is een ketenproces waarbij de inschrijvingen en diploma s van studenten in het Hoger Onderwijs worden vastgelegd in registers bij DUO. Deze inschrijvingen en behaalde diploma s zijn de basis voor de bekostiging van de hoger onderwijsinstellingen. PARAGRAAF 2 REIKWIJDTE EN DOELSTELLING REGLEMENT Artikel 2 Reikwijdte 1. Dit reglement is van toepassing op alle persoonsgegevens van betrokkenen, zoals vermeld in artikel 6, die door de verwerkingsverantwoordelijke of in diens opdracht worden verwerkt, voor zover de gegevens eenvoudig kunnen worden herleid tot individuele personen en voor zover de persoonsgegevens via Studielink worden verzameld en/of uitgewisseld. 2. Dit reglement is niet van toepassing op persoonsgegevens die binnen een Onderwijsinstelling of DUO worden verwerkt en die niet via de keten in Studielink worden uitgewisseld. 3. De persoonsgegevens opgenomen in Studielink, bedoeld in het eerste lid, zijn in beginsel vertrouwelijk en dienen ook als zodanig behandeld te worden. 4. Voor zover gegevens uit Studielink aan derden verstrekt worden, kan dat alleen geschieden met toestemming van de betrokkene, dan wel op basis van een bevoegdheid of plicht opgenomen in een wettelijke regeling of dit reglement. Artikel 3 Doelstelling reglement Dit reglement heeft tot doel: 1. De persoonlijke levenssfeer van ieder van wie persoonsgegevens worden verwerkt te beschermen tegen misbruik van die gegevens en tegen het verwerken van onjuiste gegevens; 2. Te voorkomen dat persoonsgegevens worden verwerkt voor een ander doel dan het doel waarvoor ze verzameld zijn; 3. De rechten van de betrokkenen te waarborgen. Artikel 4 Doel van de gegevensverwerking De gegevensverwerking heeft tot doel: 1. het verwerken van gegevens en behoeve van de ondersteuning van het inschrijfproces bij Onderwijsinstellingen, DUO en betrokkene, onderscheidenlijk het uitvoering geven aan wettelijke taken; 2. het uitwisselen van gegevens tussen Studielink en DUO ten behoeve van de registratie bij DUO voor het verstrekken van studiefinanciering van betrokkene; 3. het uitwisselen van gegevens tussen de Onderwijsinstellingen en DUO in het kader van de wettelijke registratie van inschrijvingen in het BRON-HO. 3

4 PARAGRAAF 3 BETROKKENEN: VAN WIE WORDEN PERSOONSGEGEVEN VERWERKT Artikel 5 Categorieën van personen Over de volgende categorieën van personen kunnen gegevens worden verwerkt. Student Aspirant-studenten Studenten Extranei Cursisten Contractstudenten Betaler Personen die namens de student het collegegeld voldoen PARAGRAAF 4 SOORTEN GEGEVENS: WELKE PERSOONSGEGEVENS WORDEN VERWERKT Artikel 6 Soorten gegevens 1. De volgende soorten van persoonsgegevens kunnen worden verwerkt: a. Naam, voornamen, voorletters, roepnaam, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer(s), een adres dat betrokkene zelf verstrekt en soortgelijke voor communicatie benodigde gegevens, alsmede banknummer van de betrokkene en eventueel overlijdensdatum; b. Een administratienummer dat geen andere informatie bevat dan gedoeld onder a) waaronder het Studielinknummer, het studentnummer bij de Onderwijsinstelling en het persoonsgebonden nummer (BSN of zolang dat onbekend is het onderwijsnummer conform de Whw); c. Nationaliteit en geboorteplaats; d. Gegevens die noodzakelijk zijn met het oog op de gezondheid of het welzijn van de betrokkene; e. Gegevens betreffende de godsdienst of levensovertuiging van de betrokkene, voor zover die noodzakelijk zijn voor het onderwijs; f. Gegevens betreffende de verblijfstatus in Nederland; g. Gegevens betreffende de aard (voltijd, deeltijd, duaal, contractonderwijs) van het onderwijs; beëindiging inschrijving, data behaalde getuigschriften,; h. Gegevens met het oog op het berekenen, vastleggen en innen van inschrijvingsgelden, collegegelden, school- en lesgelden; i. school van herkomst van betrokkene, diploma vooropleiding; j. Andere dan de onder a t/m e bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet, waaronder toekenning profileringsfonds; De gegevens, bedoeld in het eerste lid, zijn niet limitatief. Als gevolg van onder andere wijzigingen in de (onderwijs)organisatie of in wetgeving kunnen er veranderingen optreden. Artikel 7 Bijzondere persoonsgegevens 1. De verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden, tenzij de verwerking geschiedt met uitdrukkelijke toestemming van de betrokkene. Hetzelfde geldt voor strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag. 4

5 Artikel 8 De wijze waarop gegevens worden verkregen 1. De gegevens genoemd in artikel 6 worden door betrokkene voor zover mogelijk bij het proces tot inschrijving verstrekt aan Studielink, dan wel door de Onderwijsinstellingen verzameld, dan wel door DUO verstrekt, in het bestand opgenomen en actueel gehouden. 2. De betrokkene is in de gelegenheid om tijdig de benodigde gegevens aan te kunnen leveren en te kunnen controleren. De betrokkene is verantwoordelijk voor het tijdig aanleveren en de controle van gegevens voor de registratie van de juiste naam-, adres- en woonplaatsgegevens van zowel het woonadres als het correspondentieadres. PARAGRAAF 5 VERSTREKKEN VAN GEGEVENS: AAN WIE WORDEN PERSOONSGEGEVENS VERSTREKT Artikel 9 Verstrekken van gegevens 1. Met uitzondering van de gevallen genoemd in het tweede lid van dit artikel worden zonder schriftelijke toestemming van de betrokkene door of namens de verwerkingsverantwoordelijke geen geregistreerde persoonsgegevens verstrekt aan derden, schriftelijk noch mondeling. 2. Tot individuele personen herleidbare persoonsgegevens worden verstrekt aan: a. De Onderwijsinstelling waar de betrokkene een studie volgt dan wel wil gaan volgen; b. DUO; c. Derden voor zover verstrekking voortvloeit uit het doel van de gegevensverwerking, wordt vereist ingevolge een wettelijk voorschrift of noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is; d. 3. Niet tot individuele personen herleidbare persoonsgegevens van verzoeken tot inschrijving worden t.b.v. statistische analyse verstrekt aan a. Onderwijsinstellingen; b. VSNU; c. Vereniging Hogescholen; d. DUO; e. OCW. PARAGRAAF 6 RECHTEN BETROKKENEN Artikel 10 Rechten betrokkenen: informatie, correctie, inzage, verwijdering, beperking Elke betrokkene heeft: 1. het recht op informatie over de verwerkingen: deze informatie beschreven in dit Privacyreglement van Stichting Studielink beschikbaar. In een andere vorm is deze informatie ook beschikbaar in het document omgaan met persoonsgegevens Stichting Studielink ; 2. het recht op inzage in zijn gegevens. Dit dient geuit te worden aan de verwerkingsverantwoordelijke, die binnen een maand na ontvangst van dit verzoek hieraan voldoet. Dit verzoek kan door de verwerkingsverantwoordelijke gestuurd worden aan de beheerder. Aan een verzoek om inzage worden geen kosten verbonden door verwerkingsverantwoordelijke of beheerder, tenzij het gaat om ongegronde of buitensporige verzoeken (die ook geweigerd mogen worden); 3. het recht op correctie van de gegevens als deze niet kloppen. In de Studielink applicatie zijn de gegevens van de student zichtbaar voor de student. De eigen ingevulde gegevens kunnen door de student zelf worden aangepast. Indien de betrokkene bij de verwerkingsverantwoordelijke aantoont dat bepaalde van hem/haar opgenomen gegevens 5

6 onjuist c.q. onvolledig zijn, dan wel gezien de doelstelling van het systeem niet ter zake doen, dan wel strijdig zijn met dit reglement, draagt de verwerkingsverantwoordelijke de zorg voor verbetering, aanvulling of verwijdering. Indien de gegevens niet door de verwerkingsverantwoordelijke kan worden aangepast maar alleen door de beheerder, zorgt de beheerder binnen een maand nadat betrokkene de onjuistheid c.q. onvolledigheid heeft aangetoond, voor verbetering, aanvulling of verwijdering. Indien de gegevens niet door de verwerkingsverantwoordelijke kan worden aangepast én niet door de beheerder zoals bijvoorbeeld gegevens afkomstig uit de BRP, dan draagt betrokkene zelf de verantwoording voor aanpassing van de gegevens; 4. het recht op verwijdering van de gegevens en het recht om vergeten te worden : Dit dient geuit te worden aan de verwerkingsverantwoordelijke, die binnen een maand na ontvangst van dit verzoek hieraan voldoet. Dit verzoek kan door de verwerkingsverantwoordelijke gestuurd worden aan de beheerder. Het recht op verwijdering en het recht om vergeten te worden zijn niet van toepassing wanneer de verwerking nodig is voor het uitvoeren van een wettelijke verwerkingsverplichting volgens de doelstelling in artikel 4; 5. het recht op beperking van de gegevensverwerking: betrokkenen hebben de mogelijkheid om de verwerking van hun persoonsgegevens tijdelijk stil te laten zetten. Dit dient geuit te worden aan de verwerkingsverantwoordelijke, die binnen een maand na ontvangst van dit verzoek hieraan voldoet. voor deze vraag kan de student bij de onderwijsinstelling terecht. Dit verzoek kan door de verwerkingsverantwoordelijke gestuurd worden aan de beheerder. Indien de verwerkingsverantwoordelijke twijfelt aan de identiteit van de verzoeker, dan vraagt hij zo spoedig mogelijk aan de verzoeker schriftelijk nadere gegevens inzake zijn identiteit te verstrekken of een geldig identiteitsbewijs te overleggen. Door dit verzoek van de verwerkingsverantwoordelijke wordt de termijn opgeschort tot het tijdstip dat het gevraagde bewijs is geleverd. De betrokkene kan klachten over de toepassing van dit reglement kenbaar maken bij de verwerkingsverantwoordelijke van de Onderwijsinstelling waar betrokkene is ingeschreven dan wel een inschrijvingsverzoek heeft ingediend. Indien de student nooit is ingeschreven bij een Onderwijsinstelling en alleen een account op de Studielinkapplicatie heeft aangemaakt, dan kan de klacht worden ingediend bij Stichting Studielink door een bericht te sturen naar privacy@studielink.nl. PARAGRAAF 7 TOEGANG TOT BESTANDEN, BEHEER EN BEVEILIGING Artikel 11 Rechtstreekse toegang tot de persoonsgegevens 1. Toegang tot de persoonsgegevens van betrokkene hebben: a. De verwerkingsverantwoordelijke; b. De gebruiker; c. De beheerder; d. De door de beheerder aangewezen verwerkers voor de persoonsgegevens; e. De functioneel beheerders. 2. De functioneel beheerder zal via een codering- en wachtwoordbeveiliging de verschillende functionarissen, bedoeld in het eerste lid, toegang geven tot bepaalde gedeelten van de persoonsgegevens of tot alle persoonsgegevens al naar gelang hun werkzaamheden dit vereisen. Artikel 12 Verantwoordelijkheid 6

7 Het College van Bestuur van de Onderwijsinstelling is de verwerkingsverantwoordelijke voor de persoonsgegevens die verwerkt worden volgens de doelstelling in artikel 4 onderdeel a). Het College van Bestuur draagt zorg voor de naleving van het reglement alsmede voor de juistheid van de verzamelde gegevens tenzij anders is bepaald. De hoofddirectie van DUO is de verwerkingsverantwoordelijke voor de persoonsgegevens die verwerkt worden volgens de doelstelling in artikel 4 onderdeel b) en c). De hoofddirectie draagt zorg voor de naleving van het reglement alsmede voor de juistheid van de verzamelde gegevens tenzij anders is bepaald. Artikel 13 Geheimhouding en beveiliging 1. De verwerkingsverantwoordelijke draagt zorg voor passende technische en organisatorische maatregelen ter voorkoming van verlies of onrechtmatige verwerking van persoonsgegevens. Deze maatregelen garanderen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau, gelet op de risico s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen. De verwerking die Studielink doet is ingeschaald op het niveau verhoogd risico. 2. Gelijke plicht rust op de verwerker en sub-verwerker. 3. Functionarissen die uit hoofde van hun functie kennis nemen van persoonsgegevens uit het bestand, zijn gehouden deze gegevens niet anders te gebruiken dan voor de uitoefening van hun functie nodig is en vertrouwelijk te behandelen. Artikel 14 Bewaren, anonimiseren en vernietigen van gegevens De persoonsgegevens worden in ieder geval niet verwijderd gedurende de looptijd van het onderwijs op grond waarvan de verwerkingen van gegevens van personen als bedoeld in artikel 5 plaatsvinden, en worden na afloop daarvan bewaard c.q. gearchiveerd voor een periode van twee jaar en daarna uit Studielink verwijderd. Indien de desbetreffende gegevens zodanig zijn bewerkt, dat herleiding tot individuele personen redelijkerwijs onmogelijk is, kunnen zij in geanonimiseerde vorm bewaard blijven. Persoonsgegevens van betrokkene die niet bij een Onderwijsinstelling wordt ingeschreven worden uiterlijk twee jaar na het tot stand komen van de persoonsgegevens uit Studielink verwijderd. PARAGRAAF 8 SLOT- EN INVOERINGSBEPALINGEN Artikel 15 Overgangs- en slotbepalingen 1. Onverminderd eventuele wettelijke bepalingen is dit reglement van kracht gedurende de gehele looptijd van de verwerking van de persoonsgegevens. 2. In geval van overdracht of overgang van de bestanden naar een andere verwerkingsverantwoordelijke dient de betrokkene van dit feit in kennis te worden gesteld, opdat tegen overdracht of overgang van op hun persoon betrekking hebbende gegevens bezwaar kan worden gemaakt. Artikel 16 Inwerkingtreding en citeertitel Dit reglement treedt in werking op 25 mei 2018 en kan aangehaald worden als Privacyreglement Studielink. Artikel 17 Inzage reglement Dit reglement is te raadplegen via de website van Studielink. 7