Recht op informatie (artikel 13 en 14 AVG)
De school (schoolbestuur) is verplicht om de betrokkenen (ouders, leerlingen, medewerkers en ook leden van het College van Bestuur en Raad van Toezicht) te informeren over de verwerking van hun gegevensverwerkingen. Betrokkenen hebben het recht om te weten wat er met hun persoonsgegevens gebeurt, waarom, hoe hun privacy beschermd wordt en hoe zij hun privacy rechten kunnen uitoefenen.
Het recht op inzage (artikel 15 AVG)
Dit is het recht van betrokkenen om onder meer een kopie en informatie te ontvangen van hun persoonsgegevens die verwerkt worden. Er hoeft geen reden voor te worden gegeven en dit recht mag vaker worden ingeroepen (wel met redelijke tussenpozen). De betrokkene krijgt een kopie van de opgenomen persoonsgegevens of de betrokkene krijgt live inzage in de gegevens. Hier mag de school geen vergoeding voor vragen.
Hoe ver strekt het recht op inzage?
Wil een betrokkene inzage in alle persoonsgegevens die jouw organisatie van de betrokkene verwerkt, dan heeft hij daar in principe recht op. Ook persoonsgegevens uit e-mails, opgenomen telefoongesprekken en correspondentie die met derden is gevoerd . Dit lijkt vergaand, maar dit is recent bepaald in een uitspraak van het Gerechtshof Den Haag. Belangrijk is wel dat organisaties zelf een afweging moeten maken of het recht om een kopie van de persoonsgegevens te krijgen geen afbreuk doet aan de rechten en vrijheden van anderen. Denk hierbij aam de privacy van iemand die ook in de kopie is opgenomen, bijv. een medewerker (artikel 15 lid 4 AVG). Delen van documenten kunnen in zo’n geval zwart worden gemaakt of op een andere manier worden geanonimiseerd.
Recht op rectificatie en aanvulling (artikel 16 AVG)
De organisatie moet ervoor zorgen dat de gegevens correct zijn en blijven. Wanneer de persoonsgegevens niet meer kloppen, dan heeft de betrokkene het recht om deze gegevens te laten rectificeren of aanvullen. Eventuele correcties moeten vervolgens ook worden doorgegeven aan bijvoorbeeld verwerkers, tenzij dit onevenredig veel inspanning vergt.
In het geval van discussies over de juistheid van de gegevens, neem je als school een beslissing die uitgaat van de feiten. Soms is een rectificatie van persoonsgegevens niet mogelijk, denk hierbij aan bijvoorbeeld het geslacht van de betrokkene. Als school moet je het geslacht aanhouden dat is opgenomen in de officiële registers. Er kan dan wel een verklaring worden toegevoegd als aanvulling.
Recht op vergetelheid en gegevenswissing (artikel 17 AVG)
Betrokkenen mogen een school vragen om persoonsgegevens te verwijderen. Dit recht is niet absoluut. Leerlingendossiers vormen hierop vaak een uitzondering, omdat je als school rekening moet houden met wettelijke bewaartermijnen, en het basisselectiedocument waarin is opgenomen welke persoonsgegevens bewaard moeten worden in het kader van de Archiefwet.
Recht op beperking van de verwerking (artikel 18 AVG)
Het recht op beperking van verwerking houdt in dat betrokkenen in een beperkt aantal gevallen tijdelijk de verwerking van hun persoonsgegevens stil kunnen laten zetten. De verwerking mag dan alleen nog maar in bepaalde gevallen. Dit kan voorkomen als iemand het niet eens is met het gebruik van bepaalde gegevens en een beroep heeft gedaan op correctie van die gegevens. Totdat daarover is beslist worden die betwiste gegevens niet gebruikt door de school.
Recht op overdraagbaarheid / dataportabiliteit (artikel 20 AVG)
Het recht op dataportabiliteit houdt in dat een betrokkene zijn digitale persoonsgegevens mee mag nemen of laten overdragen aan een andere school (schoolbestuur). Het recht op dataportabiliteit geldt voor een deel van de digitale leerlinggegevens (en niet voor een papieren dossier). Het doel van dit recht is om de zeggenschap over en uitwisseling van de betrokkenen over hun persoonsgegevens te vergroten. De betrokkene heeft recht op een kopie in een gangbare en machine leesbare vorm (bijvoorbeeld CSV, JSON en XML). Daarmee kan een betrokkene gemakkelijk naar een andere school om zijn gegevens in te laten lezen. Dit kan in bepaalde gevallen ook via de Overstapservice.
Recht van bezwaar (artikel 21 AVG)
Een betrokkene mag in bepaalde gevallen bezwaar maken tegen het (verder) verwerken van persoonsgegevens. Er moet dan sprake zijn van bijzondere persoonlijke omstandigheden die zwaarder wegen dan het belang van de school om die persoonsgegevens van de betrokkene toch te gebruiken. Totdat deze afweging door de school is gemaakt, mag de school (schoolbestuur) geen gebruik maken van de persoonsgegevens van de betrokkene.
Recht niet te worden onderworpen aan geautomatiseerde individuele besluitvorming / profilering (artikel 22 AVG)
Soms worden persoonsgegevens geautomatiseerd verwerkt en wordt op basis daarvan besluiten genomen. Het is dan niet een persoon die het besluit neemt, maar een computer. Betrokkenen mogen dit weigeren wanneer dit rechtsgevolgen heeft of het hen op een andere wijze in aanzienlijke mate treft. Denk hierbij aan een automatische afwijzing van een leningsaanvraag, of een geautomatiseerde afwijzing bij een selectieprocedure.
