Let op: dit artikel bevat updates. Lees het gehele artikel voor de meest actuele informatie.
Nee, volgens de AVG mag dit op dit moment niet. Informatie over de (mogelijke) besmetting van een leerling of personeelslid is gevoelige informatie, omdat het iets vertelt over de gezondheid van een leerling of personeelslid. De AVG bepaalt dat gezondheidsinformatie bijzondere persoonsgegevens zijn, en dat er op basis van artikel 9 AVG een verbod bestaat op de verwerking van dergelijke bijzondere persoonsgegevens. Dit betekent dus in principe dat men geen bijzondere persoonsgegevens mag verwerken, tenzij er een uitzonderingsgrond van toepassing is. Een uitzonderingsgrond kan zijn wanneer er uitdrukkelijke toestemming voor de verwerking gegeven is door de betrokkene of wanneer er een wettelijke plicht bestaat die deze verwerking rechtvaardigt.
In dit geval is het praktisch niet mogelijk om toestemming te vragen van de leerling of personeelslid, omdat deze mogelijk niet vrijelijk gegeven kan worden. Dit laatste is wel vereist vanuit de AVG. . Verder bestaat er geen wettelijke plicht die de verwerking van bijzondere persoonsgegevens toestaat. Weliswaar bestaan er protocollen van de sectorraden (PO-Raad en VO Raad) en een servicedocument van het Ministerie die adviseren om de besmettingen zo goed mogelijk te monitoren, maar dit zijn – in juridische zin – geen algemeen verbindende voorschriften en kennen dus geen legitieme wettelijke grondslag.
Hierdoor wordt niet voldaan aan een uitzonderingsgrond uit de AVG en mag op basis hiervan door de school volgens de AVG niet geregistreerd worden dat een leerling/personeelslid besmet is met corona.
Wij achten het van belang om als FG scholen er op te wijzen dat de protocollen en het servicedocument niet in overeenstemming zijn met de AVG, zodat scholen dit standpunt kunnen meewegen in de besluitvorming over hoe zij omgaan met de registratie van coronabesmettingen.
UPDATE – Bericht PO-/VO-Raad d.d. 04-02-2021:
Met betrekking tot deze vraag heeft de PO-Raad op 4 februari 2021 op haar website de volgende update gepubliceerd:
“Het voorlopige resultaat is dat scholen besmettingen mogen registreren mits er expliciet individuele toestemming is gegeven door de medewerker of de leerling én zijn of haar ouders als de leerling jonger is dan 16 jaar. Ook dient de school aan te kunnen tonen dat er toestemming gegeven is en voldoet aan de voorwaarden: in vrijheid, expliciet en specifiek. Op korte termijn zal de Autoriteit Persoonsgegevens de veelgestelde vragen en antwoorden op hun website actualiseren. Op de achtergrond werkt de PO-Raad aan een handreiking privacy en het coronavirus. Deze publiceren wij zodra de AP haar website heeft geactualiseerd. “
Met betrekking tot deze vraag heeft de VO-Raad op 4 februari 2021 op haar website de volgende update gepubliceerd:
“Scholen zijn verplicht om te zorgen voor een veilige leer- en werkomgeving voor leerlingen en leraren. In het geval van een ziekmelding willen zij daarom weten of er sprake is van een besmetting met het coronavirus. De huidige privacywetgeving (AVG) verbiedt dit: scholen alleen registeren dat iemand ziek is maar niet wat die persoon mankeert. Ook niet als de leerling of medewerker het uit zichzelf deelt.
Die regels zijn niet werkbaar in het kader van covid-19. De VO-raad is hierover in gesprek met de Autoriteit Persoonsgegevens (AP) en het ministerie van OCW, met als voorlopig resultaat dat de school covid-19 besmettingen mag registreren als er expliciet individuele toestemming is gegeven door de medewerker of de leerling én zijn of haar ouders als de leerling jonger is dan 16 jaar. Ook moet de school kunnen aantonen dat die toestemming is gegeven en voldoet aan de voorwaarden: in vrijheid, expliciet en specifiek (zie ook regels toestemming op Aanpak IBP).
De VO-raad werkt aan een handreiking over privacy en registratie van covid-19 en publiceert deze handreiking zodra de Q&A Onderwijs tijdens corona van de AP is geactualiseerd. De verwachting is dat de AP dat op korte termijn gaat doen.”
UPDATE – Gewijzigde zienswijze Autoriteit Persoonsgegevens (AP) d.d. 12-02-2021
Naar aanleiding van diverse vragen over de registratie van besmettingen van leerlingen/studenten door onderwijsinstellingen en het overleg met de PO-/VO-raad heeft de AP haar website bijgewerkt. Samenvattend zegt de AP hierover het volgende:
- Het is niet de taak van de school/het schoolbestuur om coronabesmettingen te registreren, maar de taak van de GGD.
- Bent u bekend met een corona-uitbraak, dan geeft u alleen het aantal besmettingen door aan de GGD. Niet om wie het gaat. Dat weet de GGD namelijk al.
- Het is sterk af te raden om coronabesmettingen te registreren op grond van toestemming. Zelfs als u een goede reden zou hebben, kan dit namelijk niet zomaar. En loopt u al snel het risico de privacywetgeving te overtreden.
Meer hierover is terug te lezen op de website van de AP. Let op: deze gaan alléén over leerlingen en studenten, niet over het personeel. Voor het onderwijspersoneel zijn (nog steeds) de eerdere Q&A’s van de AP over Corona op de werkvloer van toepassing.
UPDATE – Handreiking ‘Privacy en registratie van COVID-19’ d.d. 16-02-2021
De sectorraden hebben aangegeven hun eerder aangekondigde Handreiking ‘Privacy en registratie van COVID-19’. Naast de handreiking hebben de sectorraden ook een model toestemmingsformulier voor het gebruik van persoonsgegevens m.b.t. corona van leerlingen. De handreiking geeft richtlijnen voor de volgende vragen:
- Mag de school vragen aan een leerling of deze corona heeft?
- Mag de school vragen aan een medewerker of deze corona heeft?
- Mag de school gegevens uitwisselen met de GGD?
- Mag de school bijhouden welke leerling of medewerker corona heeft?
- Mag de school communiceren welke leerling of medewerker corona heeft?
De handreiking is te downloaden via de website van de PO-Raad of via de website van de VO-Raad.
Zienswijze Lumen Group
Lumen Group heeft naar aanleiding van de publicatie van de handreiking contact gehad met zowel de AP als de sectorraden. Omdat er naar onze mening een verschil zat in de Q&A van de AP en de handreiking van de sectorraden. Daarbij is vooral de nadruk gelegd op het vereiste dat toestemming vrijelijk gegeven moet zijn.
Hoewel wij begrip hebben voor het feit dat de scholen via het aangeboden toestemmingsformulier hieraan een praktische invulling willen geven, blijven wij bij ons eerdere standpunt dat het niet voor de hand ligt dat uitdrukkelijke toestemming door leerlingen of ouders op deze wijze toch vrijelijk gegeven kan worden. Dit wordt niet op deze manier vermeld in de handreiking van de sectorraden, maar in overleg met de AP aangegeven dat hun Q&A leidend is en niet de handreiking van de sectorraden. Dit betekent dat ons advies – zoals dat hierboven eerder is gegeven – in stand blijft.
Scholen zullen dus zelf de afweging moeten maken en kunnen aantonen dat de toestemming hierdoor vrij is gegeven, dat ouders en leerlingen niet onder druk staan om toestemming te geven en dat het geen nadelige gevolgen heeft als ze weigeren (wel/geen toegang tot de school). Neem in die afweging ook mee of, en in welke mate, ouders en leerlingen actief worden opgeroepen om het toestemmingsformulier in te vullen.
