De Autoriteit Persoonsgegevens (AP) vaardigt geregeld nieuwe beleidsregels uit waarin wordt uitgelegd hoe de AP de privacywetgeving interpreteert en handhaaft. In de brief van 23 augustus 2017 gaat de AP in op de vraag onder welke voorwaarden een onderwijsinstelling foto’s en video’s waarop leerlingen herkenbaar in beeld zijn gebracht, online mag publiceren.

Wettelijk kader
Op grond van de Wet bescherming persoonsgegevens (Wbp) en de vanaf 25 mei 2018 geldende Algemene Verordening Gegevensbescherming (AVG) geldt dat beeldmateriaal van leerlingen moet worden aangemerkt als persoonsgegevens.

Voor alle persoonsgegevens geldt dat zij slechts mogen worden verwerkt indien sprake is van een wettelijke grondslag. Van het publiceren van beeldmateriaal kan niet worden gezegd dat deze persoonsgegevens worden verwerkt in het kader van de primaire taak van de onderwijsinstelling, namelijk het verzorgen van onderwijs. Juridisch gezegd valt het publiceren van beeldmateriaal niet onder het uitvoeren van een overeenkomst of het uitvoeren van een wettelijke verplichting.

Toestemming
Het publiceren van foto’s en video’s mag enkel geschieden op basis van toestemming. De toestemming is aan een aantal strikte eisen gebonden:

• in vrijheid: zonder dat bijvoorbeeld de inschrijving van de leerling in gevaar komt;
• ondubbelzinnig: actieve handeling waaruit de toestemming blijkt, zoals bijvoorbeeld ondertekening van een formulier;
• aantoonbaar: de onderwijsinstelling moet het formulier goed bewaren;
• specifiek: de toestemming moet expliciet zien op specifiek gebruik van het beeldmateriaal, bijvoorbeeld voor plaatsing op de website, intranet, nieuwsbrief of sociale media.

Zowel de wetgeving als de beleidsregels van de AP zijn niet duidelijk over de ‘houdbaarheid’ van de toestemming. Uit het systeem van de wet leiden wij af dat toestemming bij inschrijving op de onderwijsinstelling, niet zonder meer de hele onderwijstijd geldig is. Het is daarom aan te bevelen om in ieder geval aan het begin van ieder schooljaar opnieuw om toestemming te vragen.

Als een school foto’s of video’s van leerlingen gebruikt, dan is daar altijd toestemming van ouders voor nodig. Enkel indien de leerling 16 jaar of ouder is, mag de leerling daar zelf toestemming voor geven.

Van belang is dat de leerling of diens ouders te allen tijde de toestemming weer kunnen intrekken. Derhalve dient de onderwijsinstelling bij iedere foto of video na te gaan welke leerlingen herkenbaar in beeld zijn gebracht en of dat zij allen toestemming hebben gegeven voor het publiceren van het beeldmateriaal.

Beveiliging
De AP besteedt in de brief tevens aandacht aan de vereiste beveiligingsmaatregelen. Indien scholen beeldmateriaal van leerlingen verwerken, moeten zij zorgen voor een passend beschermingsniveau. In ieder geval moet de onderwijsinstelling er voor zorgen dat maatregelen worden genomen die verlies of onrechtmatige verwerking van het beeldmateriaal tegengaan. Als voorbeeld noemt de AP dat beeldmateriaal enkel openbaar wordt gemaakt op een portal waar men kan inloggen en dan ook enkel het beeldmateriaal kan zien waarop de betreffende leerling zelf ook herkenbaar in beeld is gebracht.

Tevens wijst de AP er op dat vanaf inwerkingtreding van de AVG op 25 mei 2018, de onderwijsinstelling moet kunnen aantonen dat is voldaan aan het vereiste van het nemen van passende technische en organisatorische maatregelen. Derhalve is het van belang om tijdig in kaart te brengen welk beeldmateriaal door de onderwijsinstelling openbaar wordt gemaakt en op welke wijze, zodat tijdig passende beveiligingsmaatregelen kunnen worden getroffen. Dit geldt overigens niet enkel voor beeldmateriaal maar voor alle persoonsgegevens die de onderwijsinstelling verwerkt.

Voor vragen over het verwerken van persoonsgegevens binnen het onderwijs kunt u terecht bij ons team Onderwijs en team Gegevensbescherming & privacy.

September 2017