Scholen hebben te maken met persoonsgegevens van leerlingen. Denk hierbij aan adresgegevens, verzuimgegevens, cijferlijsten en diploma’s. Omdat deze informatie privacygevoelig is, moeten scholen zich houden aan bewaartermijnen in de sectorwetten voor onderwijs en de Algemene Verordening Gegevensbescherming (AVG). Ook hebben scholen met de Archiefwet te maken. Of een school persoonsgegevens na een bewaartermijn vernietigt of archiveert, hangt af van de selectielijst en of een school volledig of gedeeltelijk onder de Archiefwet valt.
Leerlinggegevens privacygevoelig
Scholen houden een leerlingdossier bij. Hierin staat administratieve informatie, zoals de naam, de geboortedatum en verzuimgegevens. Maar er staan ook schoolresultaten in, verslagen van oudergesprekken en soms gegevens over de sociaal-emotionele ontwikkeling van een leerling. Daarom is een leerlingdossier privacygevoelig en gelden er voor leerlinggegevens bepaalde wetten en regelingen, zoals een bewaartermijn.
Wetten voor leerlinggegevens en bewaartermijn
Het schoolbestuur is er verantwoordelijk voor dat persoonsgegevens van leerlingen na de bewaartermijn worden vernietigd of gearchiveerd. In principe bewaart een school alleen persoonsgegevens als die nodig zijn voor het doel waarvoor het de gegevens heeft gekregen en gebruikt. Maar soms moet een school persoonsgegevens langer bewaren, omdat dit in de wet is vastgelegd.
In de volgende wetten en besluiten staan bepalingen voor persoonsgegevens waar scholen zich aan moeten houden:
Sectorwetten voor onderwijs (bijvoorbeeld de Wet op Primair Onderwijs en het Uitvoeringsbesluit WVO 2020;
Algemene Verordening Gegevensbescherming (AVG);
De Archiefwet.
Sectorwetten voor onderwijs: bewaartermijn leerlinggegevens in principe twee jaar
In principe geldt voor leerlinggegevens een bewaartermijn van twee jaar nadat de leerling de (voor)school heeft verlaten. Maar er zijn ook bepalingen in de onderwijswet- en regelgeving die een kortere of langere bewaartermijn voorschrijven. Zo moet een school:
gegevens over een leerling die naar een school voor speciaal onderwijs of speciaal basisonderwijs is doorverwezen tot drie jaar na vertrek bewaren (Art. 18a lid 13 WPO);
gegevens over absentie en in- en uitschrijving vijf jaar bewaren nadat de leerling is uitgeschreven (Art. 9 lid 1 Besluit bekostiging WPO) en (Art. 6 Besluit bekostiging VO);
het onderwijskundig rapport vijf jaar bewaren (basisschool) (Art. 7a Besluit uitwisseling leer- en begeleidingsgegevens);
het centraal examen, inclusief de cijferlijsten, minstens zes maanden bewaren (art. 3.31 lid 2 Uitvoeringsbesluit WVO 2020)
Na de bewaartermijn moet de school, afhankelijk van de Archiefwet en selectielijst, de gegevens vernietigen of archiveren.
Volgens de huidige Archiefwet mogen scholen adresgegevens van (oud)leerlingen bewaren voor het organiseren van reünies. Mits de leerlingen hiervoor toestemming hebben gegeven. Bovendien mag de school de adresgegevens alleen voor dit doel gebruiken (Bron: Autoriteit Persoonsgegevens).
Algemene Verordening Gegevensbescherming (AVG)
De Algemene Verordening Gegevensbescherming geldt in de hele Europese Unie (EU). In de AVG staat de algemene bepaling dat een organisatie gegevens alleen bewaart als dit nodig is. Daarnaast moet een organisatie duidelijk maken hoe lang het persoonsgegevens bewaart.
In de AVG staan geen bewaartermijnen. Die bepalen schoolbesturen zelf. Hierbij houden zij uiteraard rekening met de wettelijke, minimale bewaartermijnen in de sectorwetten voor onderwijs en de bepalingen uit de Archiefwet. Als gegevens niet direct of indirect herleid kunnen worden tot personen, dan is de AVG niet meer van toepassing.
Daarnaast staan in de AVG (Art. 5 lid 1 AVG) bepalingen voor de verwerking van persoonsgegevens, die ook gelden voor leerlinggegevens. Een organisatie, zoals een school:
mag alleen gegevens verwerken voor zover dat noodzakelijk is voor het doel;
moet gegevens verwerken die juist zijn;
moet een DPIA (Data Protection Impasct Assessment) uitvoeren als er een hoog privacyrisico is;
heeft de toegang tot de gegevens goed beveiligd;
kan aantonen dat het bij het gebruik van leerlingdossiers de regels van de AVG naleeft. Dit heet de verantwoordingsplicht;
zorgt ervoor dat leerlingen (of hun ouders) hun privacyrechten kunnen uitoefenen, zoals recht op inzage.
De Archiefwet
Scholen die in stand worden gehouden door een gemeente of een ander openbaar lichaam vallen voor hun volledige archiefbeheer onder de Archiefwet. Scholen die daarentegen in stand worden gehouden door een stichting, vallen alleen onder de Archiefwet voor twee openbaar gezagstaken, namelijk:
het afgeven van getuigschriften door het bevoegd gezag (diploma’s en cijferlijsten);
het besluiten tot het verlenen van vrijstelling op grond van de Leerplichtwet.
De Archiefwet schrijft voor dat scholen archiefstukken in goede, geordende en toegankelijke staat bewaren. De school mag een archiefstuk alleen vernietigen als dit in een selectielijst staat. In een selectielijst staat ook welke archiefstukken blijvend moeten worden bewaard in een gemeentearchief of regionaal historisch centrum.
De Archiefwet heeft bij de bewaring en vernietiging van persoonsgegevens voorrang op de sectorwetten voor onderwijs. In het Examenbesluit VO staat bijvoorbeeld dat een middelbare school het centraal examen, inclusief de cijferlijsten, minstens zes maanden moet bewaren (art. 3.31 lid 2 Uitvoeringsbesluit WVO 2020).
Maar als op de selectielijst van een middelbare school staat dat de school het centraal examen twee jaar moet bewaren en daarna moet archiveren, dan moet de school zich aan deze bepaling houden. De bepaling in de selectielijst heeft dan voorrang op het examenbesluit.
Momenteel moeten schoolbesturen zelf selectielijsten opstellen. Maar in vermoedelijk 2027 treedt er een nieuwe Archiefwet in werking. En deze vernieuwde wet maakt het mogelijk dat de PO-raad en VO-raad selectielijsten op kunnen stellen voor de hele sector. De verwachting is dat deze selectielijst in 2026 klaar is (Bron: PO-Raad).
Gegevens bewaren of vernietigen?
Of een school gegevens na de bewaartermijn vernietigt of archiveert hangt van twee dingen af, namelijk:
Wat staat er in de selectielijst? Het ene schoolbestuur bepaalt dat de school het centraal examen na twee jaar vernietigt, terwijl een ander schoolbestuur bepaalt dat een school het centraal examen na een jaar archiveert;
Valt de school voor het volledige of gedeeltelijke archiefbeheer onder de Archiefwet? Een school die voor het volledige archiefbeheer onder de Archiefwet valt moet in principe alle persoonsgegeven archiveren, tenzij in de selectielijst iets anders staat. Voor eens school die gedeeltelijk onder de Archiefwet valt geldt dit alleen voor openbaar gezagtaken.
Wil je meer informatie over de wet- en regelgeving over persoonsgegevens in het onderwijs? Lees dan:
PO-raad, VO-raad en Kennisnet, ‘Samenvatting bewaartermijnen’ (2020);
Inspectie Overheidsinformatie en Erfgoed, ‘Informatieblad: Archiefbeheer bij scholen’ (2019).
