Privacy in de praktijk: Balans tussen gebruikersgemak en privacy

Sinds 25 mei 2018 doen scholen al ervaring op met de praktische uitvoering van de privacywet Algemene Verordening Gegevensbescherming (AVG). Hoe kijken vier bovenschoolse ICT-coördinatoren, ook na een jaar ervaring met thuisonderwijs, aan tegen ‘privacy in de praktijk’? We vroegen het de bovenschoolse ICT-coördinatoren (BIC’ers) Hans Miegielsen, Maikel Beumer, Wytze Niezen en Mariejelle Boom. 

Als het gaat om wat privacy inhoudt, omschrijft Mariejelle Boom het treffend: “Je wilt dat het goed geregeld is, dat er geen nare situaties ontstaan.” Mariejelle Boom geeft zelf nog drie dagen per week les en ondervindt de risico’s bij thuisonderwijs iedere dag: “Je kijkt in huiskamers van mensen en ziet en hoort soms dingen die niet voor jou bestemd zijn. Dat kan gewoon een moeder zijn die boos wordt op een kind, maar normaal krijg je dat in je klas niet mee.” Daarom maakte Mariejelle aan het begin van de COVID-19-pandemie met de kinderen de afspraak om geen opnames of foto’s te maken. “We wilden dat kinderen zich zo veilig voelden, dat ze in beeld blijven. Anders kijk je alleen maar tegen digitale afbeeldingen aan.” Ook andersom kan het gebeuren, merkt Hans Miegielsen: “Soms kijken ouders mee met de les en gaan ze zich ermee bemoeien. Ook dat gebeurt niet als hun kinderen op school zijn.”

Wytze Niezen staat wat verder bij het dagelijkse thuisonderwijs vandaan en kijkt naar privacy binnen de school: “Het gaat om de bewustwording dat je in het onderwijs op gigantische bakken met data zit van een hele grote groep ‘kwetsbare gebruikers’ volgens de wet: leerlingen. En die bak data kan potentieel in handen vallen van grote bedrijven. Dat bewustzijn is er niet altijd binnen het onderwijs. Directies zijn niet altijd kritisch op de overeenkomst en weten niet welke data bedrijven hebben van hun leerlingen, doordat zij de software van die bedrijven op school gebruiken.”

Alleen met verwerkersovereenkomst

Hans merkt dat directies wel degelijk kritisch zijn: “Het heeft ook te maken met hoe je het hebt ingericht. De bestuurder sluit de verwerkersovereenkomst af, maar wij checken welke gegevens bepaalde pakketten gebruiken. We hebben op scholen te maken met een groot applicatielandschap dat zich alleen maar verder uitbreidt. Onze 1200 medewerkers staan allemaal in de ‘privacy-bewuste’ stand, om te voorkomen dat gegevens alle kanten op gaan. Wat wij wel merken is dat er steeds meer pakketten komen die complementair zijn aan bijvoorbeeld ParnasSys. In ieder van die pakketten worden weer gegevens van leerlingen opgeslagen. ParnasSys wordt alleen gebruikt door administratieve krachten die zijn geïnstrueerd. Maar met die andere pakketten gaan weer collega’s aan de slag en ook die moet ik privacy-bewust maken. Als je niet uitkijkt, krijg je een onbeheersbare stroom aan data. Daarom is bij ons het devies: zo weinig mogelijk pakketten erbij, behalve als het echt complementair is. En ook alleen maar met een verwerkersovereenkomst en instructies!”

Wietze kreeg ook wel de vraag ‘mag ik nou wel of niet Zoom gebruiken’? Daar kan hij eigenlijk geen antwoord op geven. “Qua techniek kan het misschien wel, maar het gaat ook om het gedrag van de mensen die er gebruik van maken. Als een leerkracht nog steeds een post-it met zijn wachtwoord op zijn laptop plakt, dan zijn al je beveiligingsmaatregelen voor niets.” Maikel pakt privacy samen op met zijn bestuurder en gebruikt de FG als vraagbaak. “Die controleert mij en de bestuurder. Aan het begin van de AVG concludeerden we dat we nog niet aan alle regels voldeden. Wij zijn gestart met werken aan de bewustwording bij medewerkers; daarmee konden we het meeste bereiken. Toen iedereen thuis kwam te zitten vanwege de coronacrisis, kwam er een ontzettende run op Teams. Het gedrag dat we op WhatsApp wilden voorkomen, verplaatste zich naar Teams: er ontstonden veel scheldkanonnades. Doordat alle mailadressen eindigen op @kansenkleur.nl, konden leerlingen elkaar makkelijk bereiken. We begonnen daarom met het ‘opvoeden’ van leerlingen wat betreft digitale omgangsvormen. Verder is het bij ons de regel dat je software alleen kunt gebruiken als er een verwerkersovereenkomst is.”

Om het privacy-bewustzijn bij zijn collega’s te verhogen, gebruikte Hans in een bewustwordingsronde in de beginfase YouTube-filmpjes, die hij op alle scholen liet zien. “Door het humoristische en informatieve karakter van de filmpjes konden we het onderwerp in een ontspannen sfeer ter sprake brengen. Toch waren er veel medewerkers die zich rot schrokken. Ze komen nu sneller naar mij met hun vragen.”

Maikel gebruikt een veiligheidsmonitor waarbij hij iedere directeur op een aantal onderwerpen bevraagt. Met iedere school bespreekt hij ieder jaar minstens één keer een onderwerp uit het privacybeleid. Vaak gebruikt hij een Kahoot-quiz om de discussie op gang te brengen.

Onderwijs op afstand: veilig faciliteren

In de dagelijkse thuisonderwijspraktijk neemt Mariejelle de nodige maatregelen om de les op afstand goed te laten verlopen. “Wij werken met Google Meet. De link zet ik ’s ochtends pas in Classroom, als ik zelf al in de les zit. Daardoor kunnen de leerlingen de les niet opnemen vanaf hun laptop.” Hans prijst de snelheid waarmee Google en Microsoft vanaf het begin van de coronacrisis functies hebben toegevoegd aan Meet en Teams. Functionaliteiten die je als leerkracht meer de regie over je les geven. “Je kunt als beheerder allerlei vinkjes aan- en uitzetten, bijvoorbeeld om te voorkomen dat een Meet-sessie open blijft staan als de leraar er al uit is gegaan. Je kunt nu namelijk als leraar de gehele Meet-sessie afsluiten voor alle deelnemers tegelijk.”

Beumer merkte dat op zijn school de leerlingen de les al startten terwijl de leerkracht er nog niet was. “Dan moet je als leerkracht eerst het nodige oplossen, voordat je kunt beginnen met lesgeven. Net als wanneer je bij fysiek onderwijs na de pauze te laat je klaslokaal binnenkomt. Gelukkig hebben partijen als Google en Microsoft dat snel opgelost. Zoom was dan wel negatief in het nieuws qua privacy, maar qua technische mogelijkheden lagen ze in het begin wel ver voor.” Nieuwe functies gebruikt Miegielsen het liefst pas als ze in Google Meet verwerkt zijn. “Vaak kun je in de store al apps van externe makers downloaden met functionaliteit die Google zelf aan het ontwikkelen is. Bijvoorbeeld de breakout rooms. Die waren er wel al in de store, maar we hebben gewacht tot Google ze zelf inbouwde. En nog een tip: als je in een toepassing geen persoonsgegevens hoeft in te voeren, doe het dan ook niet. En als het wel moet, kies dan een pseudoniem, bijvoorbeeld een inlognummer in plaats van een inlognaam.”

Beumer koos wel voor extra apps, maar alleen als het ook Microsoft-apps waren. “Ook hebben we de beveiliging opgeschroefd van apparaten die niet in het beheer zijn van de school. Veel medewerkers hadden nog geen pincode op hun mobiele telefoon. Daardoor kon je direct hun OneDrive openen. We hebben nu de afspraak dat als je geen wachtwoord op je telefoon hebt, dan kun je geen bedrijfsapplicaties gebruiken. Eigenlijk gaat het in mijn werk voortdurend om het vinden van een balans tussen privacy en gebruikersgemak. Dat mensen nu zelf fanatiek aan de slag gaan met ICT, kan ik alleen maar toejuichen, maar het mag niet ten koste gaan van de privacy.”

Wat als het mis gaat?

Als het mis gaat op scholen, deel je dat dan ook met anderen? “Absoluut”, antwoordt Miegielsen. “Dat zijn juist de momenten om bewustwording te creëren en vergroten. Een datalek op een school is vaak een wake-up call voor andere scholen.” De andere aanwezigen denken daar hetzelfde over. “Alleen vind ik het soms jammer, dat je er veel tijd aan kwijt bent om gegevens door te geven aan autoriteiten, en je hoort er niets meer van. Dat zou beter moeten,” aldus Beumer. Miegielsen beaamt dat. “De autoriteit voelt geen verplichting om je op de hoogte te brengen. Ook zou het fijn zijn als er meer kwalificaties van datalekken waren. Je hebt ernstige kwesties, maar ook randgevallen: moet je die wel melden? Het zou fijn zijn als er een database zou zijn waarin per datalek vermeld staat of je er actie op moet ondernemen. Sommige scholen melden incidenten als datalek, die bij ons niet meer gemeld worden. Terwijl, het is een hele heisa om een datalek te melden.”