Bloggers

Slaan we binnen het onderwijs niet door bij het toepassen van de AVG?

Als ik tijdens (online) sessies toepassingen laat zien van, bijvoorbeeld, Padlet dan wordt regelmatig de opmerking gemaakt: “Die mogen wij niet gebruiken, want deze is niet AVG-proof”. Ook op Twitter zie je regelmatig tweets langskomen waarin gevraagd wordt naar goede alternatieven voor een bepaalde applicatie omdat deze vanwege de AVG niet gebruikt zouden mogen worden. Volgens mij is de Algemene Verordening Gegevensbescherming niet de reden dat we dergelijke applicaties niet mogen gebruiken, maar komt dat door de wijze waarop wij omgaan met zaken als privacy.

Over het algemeen ben ik best blij met de AVG. Technologiebedrijven blijken zonder wet- en regelgeving niet bereid en in staat om de privacy van burgers te waarborgen. Deze wet draagt daartoe bij. Als instelling moet je kritisch kijken hoe technologiebedrijven omgaan met data, en moet je afspraken maken over de verwerking. Je moet ook naar je gebruikers verantwoorden met welk doel je data verzamelt en verwerkt. En in bepaalde gevallen moet de gebruiker daarmee instemmen.

Logisch dat we e.e.a. goed (moeten) regelen bij applicaties zoals digitale leeromgevingen of proctoringtools. Je moet daar als instelling zeer zorgvuldig in zijn, en niet alleen omdat dit wettelijk verplicht is. Privacy officers hebben hier een belangrijke taak en verantwoordelijkheid in. Wel vraag ik me af of het altijd noodzakelijk is om een eigen verwerkersovereenkomst te hanteren. Het is met name voor kleinere technologiebedrijven een behoorlijke last om al die specifieke verwerkersovereenkomsten van instellingen te laten screenen.

Verder snap ik ook dat organisaties keuzes moeten maken ten aanzien van applicaties die men kan ondersteunen en waarvoor men contracten en verwerkersovereenkomsten af wil sluiten. Ik begrijp ook dat organisaties aan medewerkers vragen om applicaties te gebruiken die ondersteund worden.

Tegelijkertijd moeten we ons realiseren dat digitale leeromgevingen en andere ondersteunde applicaties niet alle behoeften van gebruikers bevredigen. Als gebruiker kunnen we vandaag de dag beschikken over tal van applicaties die specifieke taken beter en/of gebruikersvriendelijker kunnen uitvoeren dan een digitale leeromgeving of kantoorapplicatie dat doen. Je hebt als docent bovendien behoefte aan autonomie om ook zelf te bepalen wat voor activiteiten je wilt toepassen, en op welke manier. Je kunt uiteraard verzoeken om deze applicaties in het portfolio van de instelling op te nemen. Dit is echter om tal van redenen niet altijd haalbaar (zeer veel applicaties, applicaties die snel opkomen en weer verdwijnen, etc).

Ik heb dus de indruk dat instellingen het docenten steeds vaker ontraden en verbieden om dergelijke applicaties te gebruiken. Soms zonder veel toelichting (“niet AVG-proof”), maar ook wel met een toelichting. Een mooi voorbeeld is het overzicht van tools van de TU Delft. De samenstellers maken een onderscheid tussen

• applicaties die positief geadviseerd worden (en ondersteund worden),
• applicaties die onder bepaalde condities worden gebruikt (maar liever niet),
• applicaties die negatief worden geadviseerd,
• en applicaties die nog niet zijn gescreend.

Als je echter kijkt naar invulling, dan valt op dat men erg streng is. Over Padlet schrijft men bijvoorbeeld dat de gratis/basic variant eigenlijk niet gebruikt zou moeten worden. Padlet zou overmatig veel persoonlijke data verzamelen en verwerken, “including the use of behavioural tracking and analytics”. De Pro-versie kan worden gebruikt afhankelijk van de manier waarop beveiliging en privacy is geregeld. Er moet een verwerkersovereenkomst worden getekend en privacyvriendelijke instellingen zouden standaard gebruikt moeten worden.

Als docent moet je persoonsgegevens inderdaad registeren bij Padlet. Die keuze maak jij echter zelf. En ben jij niet eigenaar van jouw data? Verder kun je als lerende Padlet gebruiken zonder te hoeven inloggen. Degene die een Padlet maakt, stelt dat in. Padlet registreert wel het IP-adres, maar o.a. alleen om Padlet in de juiste taal te presenteren. Ze registreren verder op welke pagina’s je klikt na ingelogd te zijn. Padlet is transparant in hoe men omgaat met privacy. De content die gebruikers hier normaliter plaatsen, is verder ook vrij onschuldig.

Ik vraag me dus af waar het oordeel “overmatig gebruik van data” vandaan komt. Hoe ernstig is het dat Padlet registreert op welke pagina een anonieme gebruiker klikt?

Is de AVG wel van toepassing als een docent er zelf voor kiest om persoonsgegevens te registeren en als lerenden een applicatie anoniem kunnen gebruiken  (het IP-adres uitgezonderd). Of passen we de AVG hier te streng toe?

Ik snap dat het voor een privacy officer ondoenlijk is om elke applicatie zeer genuanceerd te beschrijven. Volgens mij kun je gebruikers ook beter helpen door hen bewust te maken van risico’s en goede keuzes te maken.

Realiseer je daarbij ook dat docenten, ICT-ers en privacy officers aparte taken en verantwoordelijkheden hebben, die op gespannen voet met elkaar kunnen staan. Docenten willen hun onderwijs naar eigen inzicht organiseren, verbeteren en innoveren. Zij hebben geen behoefte aan veel ‘gedoe’. ICT-ers en privacy officers zijn daarentegen verantwoordelijk voor stabiliteit, betrouwbaarheid, veiligheid en voor het beheersen van risico’s. Het lijkt er weleens op dat ICT-ers van Mars en docenten van Venus komen!

Ga daarom het gesprek met elkaar aan over elkaars taken en verantwoordelijkheden. Bespreek behoeften aan leertechnologie, praat met elkaar over privacy en veiligheid (en bijbehorende risico’s). Wellicht beschikt de organisatie bijvoorbeeld al over een passende tool.

Stel ook algemene regels op over applicaties die zonder overeenkomst gebruikt kunnen worden, bijvoorbeeld:

• Kunnen lerenden de applicatie anoniem of met een nepnaam gebruiken? Nee: dan is een overeenkomst en verwerkersovereenkomst nodig.
• Leggen lerenden gevoelige informatie vast (zoals persoonsgegevens)? Ja: dan is een overeenkomst en verwerkersovereenkomst nodig.
• Leggen lerenden informatie vast die valt onder de wettelijke bewaarplicht? Ja: dan is een overeenkomst en verwerkersovereenkomst nodig.

Durf daarbij ook eens berekenende risico’s te nemen. Dat is vaak noodzakelijk voor innovaties. Vertrouw in elkaars professionaliteit. Maak het niet groter dan het is.

Vertrouw er dus ook op dat docenten applicaties verstandig zullen gebruiken, advies vragen over applicaties die niet worden ondersteund en geen persoonsgegevens of andere gevoelige gegevens zo maar gaan verwerken, als zij goed geïnformeerd zijn over regels en risico’s.

 

 

 

 

 

The post Slaan we binnen het onderwijs niet door bij het toepassen van de AVG? first appeared on WilfredRubens.com over leren en ICT.
Lees het hele artikel