AVG in het onderwijs: de regels op een rij

Kennisbank · Privacy & AVG · leestijd ± 7 min

De AVG geldt sinds 2018, maar in de praktijk leven bij scholen nog steeds dezelfde vragen: mogen we foto's van leerlingen delen, is een FG verplicht, wat moet er in het verwerkingsregister en wanneer meld je een datalek? Deze gids zet de AVG-regels voor het onderwijs op een rij — nuchter en praktisch.

De AVG in het kort

De Algemene verordening gegevensbescherming (AVG) stelt regels voor elke organisatie die persoonsgegevens verwerkt. Voor scholen betekent dat: vrijwel alles wat je met leerling-, ouder- en personeelsgegevens doet valt eronder — van de leerlingadministratie en het LVS tot de klassenapp en de smoelenboekfoto. De kern: verwerk alleen wat nodig is, met een geldige grondslag, beveilig het goed en wees er transparant over.

Grondslagen: waarom toestemming meestal niet de basis is

Een veelgemaakte denkfout is dat scholen overal toestemming voor nodig hebben. Voor het gewone onderwijsproces — inschrijving, cijferregistratie, verzuim — is de grondslag de wettelijke taak of het publieke belang van de school. Toestemming is wél nodig waar de verwerking niet noodzakelijk is voor het onderwijs, met als bekendste voorbeeld beeldmateriaal: foto's en video's voor de website, sociale media of de nieuwsbrief vragen expliciete (en intrekbare) toestemming van ouders, en vanaf 16 jaar van de leerling zelf.

De zes belangrijkste verplichtingen voor schoolbesturen

1. Functionaris gegevensbescherming (FG). Verplicht voor elk schoolbestuur. De FG houdt onafhankelijk toezicht en is aanspreekpunt voor de Autoriteit Persoonsgegevens.
2. Verwerkingsregister. Verplicht overzicht van alle verwerkingen van persoonsgegevens. Zie onze praktische gids voor het verwerkingsregister.
3. Verwerkersovereenkomsten. Elke leverancier die leerlinggegevens verwerkt (LVS, educatieve apps, cloudopslag) heeft er een nodig — het Privacyconvenant Onderwijs maakt dit een stuk eenvoudiger.
4. Meldplicht datalekken. Een datalek met risico voor betrokkenen meld je binnen 72 uur bij de AP. Houd het 72-uurs stappenplan bij de hand.
5. DPIA bij hoog risico. Voor verwerkingen met een waarschijnlijk hoog privacyrisico — een nieuw LVS, AI-tools, leerlingvolgsystemen — doe je vooraf een DPIA.
6. Rechten van betrokkenen. Ouders en (oudere) leerlingen hebben recht op inzage, correctie en soms verwijdering. Richt een herkenbaar loket in en reageer binnen een maand.

AVG-bewustzijn: regels werken alleen met getrainde mensen

De meeste datalekken op scholen ontstaan niet door hackers maar door kleine menselijke fouten: een verkeerde bijlage, een cc in plaats van bcc, een onvergrendelde laptop. AVG-training voor onderwijspersoneel is daarom geen luxe maar een kernmaatregel — en het Normenkader IBP vraagt expliciet om jaarlijkse aandacht voor bewustwording. Korte, herhaalde werkvormen (kennisbytes, phishing-simulaties, een onboarding-flow voor nieuwe medewerkers) werken aantoonbaar beter dan een jaarlijkse studiedag. Ook veilig AI-gebruik hoort inmiddels in dat rijtje.

AVG en het Normenkader IBP

De AVG is de wet; het Normenkader IBP is de onderwijsvertaling die concreet maakt wát je moet regelen. De 25 privacynormen uit het kader dekken de AVG-verplichtingen af, van register tot rechten van betrokkenen. Werk je aan het normenkader, dan werk je dus automatisch aan AVG-compliance — met 1 januari 2027 (zelftoets + plan) en 1 januari 2030 (niveau 3) als mijlpalen.

Veelgestelde vragen

Mogen ouders foto's maken op het schoolplein? Voor eigen gebruik valt dat buiten de AVG; de school kan er wel huisregels over afspreken voor het delen op sociale media.

Mag een leraar cijfers mailen naar een privéadres? Nee — leerlinggegevens horen in de beveiligde schoolomgeving, niet in privémail of privécloud.

Is een AVG-cursus verplicht? Niet letterlijk, maar het bestuur moet passende maatregelen kunnen aantonen — en aantoonbare training van medewerkers is daar in de praktijk onmisbaar voor.