Ja, hiervoor is inderdaad toestemming vereist. Vanuit diverse klanten hebben wij vernomen dat het CJP (Stichting Cultureel Jongeren Paspoort) heeft gekozen voor een nieuwe werkwijze waarbij ze de scholen vragen de gegevens van hun leerlingen digitaal bij hen aan te leveren, zodat zij op basis daarvan de CJP-passen aan de leerlingen kunnen verstrekken. Ook levert het CJP hierbij een verwerkersovereenkomst.
Echter, voor deze overdracht van persoonsgegevens is aanvullende toestemming nodig. CJP is namelijk geen verwerker (en dus is er ook geen verwerkersovereenkomst nodig) ten opzichte van de school/het schoolbestuur, maar zij zijn namelijk zelfstandig verwerkingsverantwoordelijke. Zij (CJP) bepaalt het doel (leerlingen aanmelden bij CJP) en de middelen (website, systemen, processen, beleid, etc.) voor deze verwerking. CJP werkt niet in opdracht en onder verantwoordelijkheid van de school/het schoolbestuur ten aanzien van de wettelijke onderwijsverplichtingen (of en ander verwerkingsdoel), maar juist voor haar eigen doeleinden (zoveel mogelijk leden bij CJP). Dat betekent dus dat persoonsgegevens worden overgedragen van de ene verwerkingsverantwoordelijke (de school/het schoolbestuur) naar de andere verwerkingsverantwoordelijke (CJP). En voor deze overdracht is een grondslag nodig. Het is aan te raden om de reguliere regels voor het vragen van toestemming aan te houden.
UPDATE D.D. 30-09-2021 – Advies Lumen Group n.a.v. uitleg CJP over de AVG
Het CJP heeft onderzoek gedaan naar de conformiteit van hun nieuwe werkwijze met de AVG. Op grond van de bevindingen die voortvloeien uit dit onderzoek heeft het CJP hun interpretatie omtrent deze conformiteit gepubliceerd in een notitie. Lumen Group deelt deze visie van het CJP echter niet vanwege de volgende redenen:
Allereerst stelt het CJP dat de grondslag voor hun nieuwe werkwijze met betrekking tot het verstrekken van leerlinggegevens door scholen is gelegen in de wettelijke taak van scholen om cultuuronderwijs te stimuleren. Scholen hebben inderdaad een wettelijke taak tot het stimuleren van cultuuronderwijs, maar dit omvat niet het proactief verstrekken van persoonsgegevens van (alle) leerlingen aan het CJP. Het is voor die wettelijke taak voldoende als de school leerlingen (herhaaldelijk) wijst op de mogelijkheden vanuit het CJP. De verwerkingsgrondslag die het CJP aanhaalt in de notitie gaat dus niet op.
Stel dat de voornoemde grondslag wél geldig zou zijn, dan zal de verwerking in deze vorm naar onze mening alsnog niet in lijn zijn met de AVG. Opmerkelijk is namelijk dat het CJP in de notitie aangeeft dat ze volgens hun nieuwe werkwijze niets doen met de door scholen aangeleverde gegevens. Dit betekent dat het proactief verstrekken van de persoonsgegevens van (alle) leerlingen kennelijk niet noodzakelijk is voor de verwerking, waardoor daarmee dan ook niet is voldaan aan het noodzakelijkheidsvereiste van de AVG. Bovendien ligt er een minder ingrijpende methode voor de hand, namelijk dat de leerlingen (herhaaldelijk) een bericht krijgen vanuit de school over de mogelijkheid tot het aanvragen van een CJP-pas. Deze werkwijze werd voorheen toegepast door het CJP, maar nergens maken ze duidelijk waarom dit geen optie meer is. Aan het proportionaliteitsvereiste van de AVG is daarom ook niet voldaan.
De nieuwe werkwijze van het CJP met betrekking tot verwerking van leerlinggegevens voldoet niet aan de vereisten van de AVG. Naar onze mening is en blijft toestemming dus vereist voor het proactief verstrekken van persoonsgegevens door scholen.
