Een DPIA is in het onderwijs verplicht wanneer een voorgenomen verwerking waarschijnlijk een hoog privacyrisico oplevert voor leerlingen, ouders of medewerkers. Denk aan grootschalige leerlinggegevens, profilering, systematische monitoring, bijzondere persoonsgegevens of nieuwe technologie zoals AI en biometrie. Voer de beoordeling uit vóór aanschaf of ingebruikname, vraag advies aan de FG en vertaal ieder geaccepteerd risico naar een maatregel, eigenaar en herbeoordelingsdatum.
Wanneer is een DPIA verplicht?
Artikel 35 AVG gebruikt als criterium: een verwerking die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De context telt. Minderjarigen zijn kwetsbare betrokkenen, scholen verwerken veel gegevens en digitale leermiddelen kunnen gedrag en prestaties langdurig volgen.
Beoordelen of voorspellen
Profilering, learning analytics, adaptieve software of algoritmen die leerlingen indelen of adviseren.
Gevoelige gegevens
Zorginformatie, ondersteuningsbehoeften, gedrag, gezondheid of andere bijzondere persoonsgegevens.
Grote schaal of lange duur
Een systeem voor alle leerlingen, meerdere scholen of een structurele verwerking over meerdere jaren.
Nieuwe techniek of monitoring
AI, biometrie, cameratoezicht, proctoring of voortdurende observatie van digitaal gedrag.
Pre-DPIA: beslis vóór je inkoopt
Doorloop deze vragen met de proceseigenaar, privacy, informatiebeveiliging en inkoop.
1. Worden persoonsgegevens verwerkt?
2. Is sprake van kwetsbare betrokkenen, gevoelige gegevens of systematische beoordeling?
3. Is de verwerking grootschalig, langdurig, gekoppeld of technisch nieuw?
4. Bestaat er al een sector-DPIA?
Sector-DPIA gebruiken zonder verantwoordelijkheid weg te schuiven
SIVON en SURF hebben onderzoek laten uitvoeren naar veelgebruikte onderwijsdiensten, waaronder Microsoft 365, Google Workspace, ParnasSys en andere toepassingen. Dat bespaart dubbel werk en geeft scholen sectorbrede onderhandelingskracht. De lokale organisatie moet nog steeds vastleggen welke onderdelen zij gebruikt, welke instellingen gelden, welke contractafspraken zijn aanvaard en of er aanvullende risico's bestaan.
Neem de sector-DPIA als bron, maak een lokale addendum-beoordeling en koppel iedere aanbevolen maatregel aan een concrete taak. Alleen verwijzen naar het centrale rapport is geen aantoonbare lokale opvolging.
De DPIA in zes uitvoeringsstappen
- Beschrijf de verwerking. Doel, gegevens, betrokkenen, systemen, ontvangers, bewaartermijnen, doorgiften en verantwoordelijken.
- Toets noodzaak en proportionaliteit. Kan hetzelfde onderwijsdoel met minder gegevens, kortere bewaring of minder ingrijpende techniek?
- Analyseer risico's voor mensen. Beschrijf gevolgen zoals uitsluiting, onjuiste beslissingen, verlies van vertrouwelijkheid of langdurige profilering.
- Kies maatregelen. Combineer technische maatregelen met afspraken, instructies, contracten, toegangsbeheer en controle.
- Vraag advies aan de FG. Leg advies, besluit en gemotiveerde afwijkingen vast.
- Besluit en volg op. Start pas verantwoord, bewaak maatregelen en plan herbeoordeling.
Voorbeeld: AI-leeshulp voor leerlingen
| Onderdeel | Beoordeling | Voorbeeldmaatregel |
|---|---|---|
| Gegevens | Leesniveau, opdrachten, voortgang en accountgegevens. | Geen vrije invoer van medische of zorginformatie; dataminimalisatie. |
| Risico | Onjuist profiel beïnvloedt aanbod of verwachtingen van een leerling. | Geen volledig geautomatiseerd besluit; docent blijft verantwoordelijk. |
| Leverancier | Mogelijk hergebruik voor modeltraining of subverwerkers buiten de EU. | Contractueel uitsluiten, doorgifte beoordelen en logging inschakelen. |
| Gebruik | Leerlingen en ouders begrijpen mogelijk niet hoe aanbevelingen ontstaan. | Heldere uitleg, bezwaarroute en periodieke controle op uitkomsten. |
Een DPIA is een proces, geen einddocument
Koppel de uitkomst aan het verwerkingsregister, leveranciersbeheer, risicoregister en taken. Herbeoordeel bij een nieuw doel, andere gegevens, grote update, nieuwe AI-functie, gewijzigde contractvoorwaarden of incident. Leg ook vast wanneer géén wijziging nodig bleek.
Bronnen en actualiteit
Deze gids is inhoudelijk gecontroleerd op 21 juli 2026. Wetgeving, sectorafspraken en deadlines kunnen wijzigen; controleer bij besluiten altijd de primaire bron.
Verder lezen binnen dit onderwerp
Veelgestelde vragen
Wanneer is een DPIA verplicht in het onderwijs?
Moet een school zelf een DPIA uitvoeren als SIVON al onderzoek deed?
Wanneer voer je de DPIA uit?
Is toestemming van ouders een alternatief voor een DPIA?
Wie moet de DPIA goedkeuren?
Heeft deze verwerking waarschijnlijk een DPIA nodig?
Beoordeel negen erkende hoog-risicocriteria in drie minuten. De uitkomst verschijnt direct en je hoeft geen persoonsgegevens of e-mailadres in te vullen.