Wetten voor verwerken persoonsgegevens op mbo-instellingen onduidelijk

Mbo-instellingen mogen alleen persoonsgegevens van studenten verwerken als ze daarbij rekening houden met onderwijs- én privacywetgeving. Maar die wetten zijn soms met elkaar in conflict, blijkt uit het promotieonderzoek van Maud van Erp. "Mbo-instellingen doen hartstikke hun best om aan alle regels te voldoen, maar lopen het risico om door de hond of de kat te worden gebeten."

Stel, een zestienof zeventienjarige mbo’er zit een paar dagen ziek thuis en mist daardoor lessen, geeft Van Erp als voorbeeld. "Volgens de leerplichtwet moet die student zeggen wat hem of haar mankeert, de griep, een gebroken been of een psychische stoornis, om niet vervolgd te worden door de leerplichtambtenaar." Maar, vervolgt Van Erp, het registreren van de aard van de ziekte is in het mbo in deze gevallen in strijd met de privacywet. "Bovendien moeten we ons afvragen of het Überhaupt wenselijk is dat een onderwijsinstelling bij korte afwezigheid vraagt naar de aard van de ziekte, terwijl we dat als werknemer van een werkgever onwenselijk vinden."

Van Erp analyseerde de huidige onderwijswetten in het mbo en legde die naast de AVG. Ze keek daarbij naar de gegevensverwerking rond onder meer inschrijving en het volgen van onderwijs door studenten. Aanleiding was een casus bij een mbo-instelling. Die vroeg zich af of ze een voortgangsrapport over een student mocht delen met de ouders, of dat dat in strijd is met de privacywet AVG.

Uit Van Erps onderzoek blijkt dat wetgeving op verschillende punten onduidelijk is. Dat kan leiden tot willekeur: gegevens worden misschien anders verwerkt in Groningen dan in Nijmegen. "Dat je als instelling mogelijk in strijd handelt met een wet, is geen leuke boodschap", aldus Van Erp. "Maar de regelgeving is (te) ingewikkeld. Verouderde onderwijswetten moeten eens kritisch tegen het licht worden gehouden, in relatie tot de strenge privacywet." Van Erp ontwikkelde een stappenplan voor mbo-instellingen om ze te helpen te beoordelen wanneer ze gegevens mogen registreren en delen.