Autoriteit Persoonsgegevens: onderwijs mag sociale media alleen inzetten met duidelijke afspraken

'Onderwijsinstellingen mogen sociale media alleen inzetten als zij duidelijke afspraken maken met socialemediabedrijven over wat er met de gegevens van studenten en docenten gebeurt. Lukt het niet om zulke afspraken te maken? Dan kan een onderwijsinstelling het betreffende sociale medium beter niet gebruiken', aldus de Autoriteit Persoonsgegevens (AP).

Dat schrijft de AP in een advies aan een onderwijsinstelling die een bepaald socialemediaplatform wilde inzetten. De onderwijsinstelling wilde onder meer met toestemming van studenten en docenten hun foto’s en verhalen posten op het sociale medium. Bijvoorbeeld om nieuwe studenten te trekken en te communiceren met de huidige studenten.

Risico’s

De AP constateert in het advies dat er flinke risico’s kunnen zijn. AP-voorzitter Aleid Wolfsen: "Sociale media zijn bedrijven met eigen belangen. Bijvoorbeeld het verkopen van advertenties gebaseerd op nauwkeurige profielen van mensen. Wellicht inclusief gegevens over hun gezondheid, politieke voorkeur en andere zeer persoonlijke zaken. Weet jij zeker wat dat bedrijf doet met de data van jouw studenten en docenten? En weet je zeker dat die dat oké vinden? Dat moet duidelijk zijn. Zo niet: begin er dan niet aan of stop er direct mee. Want er is een grote kans dat je de wet overtreedt."

Verantwoordelijkheid

Zo moet duidelijk zijn welke partij verantwoordelijk is voor de naleving van de Algemene verordening gegevensbescherming (AVG). Wie verwijdert een foto zodra een student dat wil? Wie zorgt ervoor dat de foto niet voor iets anders wordt gebruikt? Wolfsen: "Je moet weten waar je aan kunt kloppen als jij je recht wil halen. Is dat bij je school of universiteit? Of is dat bij het socialemediabedrijf? Dat moet duidelijk zijn."

Veilig bewaren

Ook is het belangrijk dat het platform de persoonsgegevens veilig bewaart. Is dat buiten de Europese Economische Ruimte, dan moet het niveau van gegevensbescherming vergelijkbaar zijn met dat van de AVG. Er zijn verschillende manieren om te zorgen dat persoonsgegevens veilig zijn, ook in landen die geen wet als de AVG kennen. Vaak houdt dit in dat de onderwijsinstelling afspraken moet maken met het platform, maar soms is ook dat niet genoeg. Dan is het verboden om het platform te gebruiken. In landen waar de rechtsstaat niet goed gewaarborgd is, is het zeer de vraag of zulke afspraken stand houden. Het is dan ook zeer twijfelachtig of het rechtmatig is daar persoonsgegevens van mensen in de EU op te slaan.

Toestemming vragen

Tot slot is het belangrijk dat een onderwijsinstelling studenten en docenten op de juiste manier toestemming vraagt voor het gebruik van hun persoonsgegevens. Dat betekent onder meer dat mensen precies moeten weten waarvoor ze toestemming geven. "Dus óók wat het socialemediabedrijf allemaal doet met jouw gegevens. Maakt het bedrijf een profiel van jou om dat te verkopen aan adverteerders? Dat moet zwart-op-wit staan. En mensen moeten per punt kunnen kiezen of zij daar wel of geen toestemming voor geven. Anders is de toestemming ongeldig."

Advies geldt voor iedereen

De AP adviseert alle onderwijsinstellingen in Nederland hun socialemediagebruik tegen het licht te houden. En waar nodig afspraken te maken met de platforms die ze gebruiken. Wolfsen: "Dat is eerder gelukt in het onderwijs, met het gebruik van software van Google. Maar lukt dat niet, denk dan aan de veiligheid van de gegevens van je studenten en personeel. Neem je verantwoordelijkheid."