Wat moet je volgens de AVG regelen als je notities over minderjarige leerlingen bewaart?

Een bijlespraktijk verzamelt meer over kinderen dan de meeste begeleiders zich realiseren: een klas, een vak, een cijferlijst en notities waarin staat dat het thuis even niet meezit. Zodra je die notities gebruikt om ouders een verslag te sturen, ben je verwerkingsverantwoordelijke in de zin van de AVG. Hieronder staan de regels die er in de bijles echt toe doen, in de volgorde waarin je ze tegenkomt.

Waar de AVG begint voor een bijlesbureau

De Algemene verordening gegevensbescherming is van toepassing sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. Toezichthouder is de Autoriteit Persoonsgegevens. Voor de wet maakt het niet uit of je een bureau met drie vestigingen runt of in je eentje lesgeeft aan tien leerlingen: zodra je gegevens over herkenbare personen vastlegt, gelden dezelfde spelregels.

Dat klinkt zwaarder dan het is. Een bijlespraktijk verwerkt weinig gegevens en heeft een duidelijk doel, dus het meeste werk zit in opschrijven wat je doet en daarna consequent zijn. De valkuil is niet dat je iets ingewikkelds fout doet, maar dat je nooit hebt bepaald wat je precies bewaart en waarom.

Vier soorten gegevens in een bijlespraktijk

• Contactgegevens van de ouder: naam, e-mailadres, telefoonnummer, factuuradres.
• Basisgegevens van de leerling: voornaam, klas of leerjaar, school, vak of vakken.
• Voortgangsgegevens: sessienotities, behandelde stof, afspraken, cijfers die de ouder doorgeeft.
• Administratieve gegevens: geregistreerde uren, facturen, betalingen.

Die vier bakjes hebben elk een andere houdbaarheid en een ander publiek. Ze door elkaar bewaren in een gedeelde map of in een groepsapp is de meest voorkomende reden dat een praktijk zijn eigen gegevens niet meer onder controle heeft.

Op welke grondslag verwerk je leerlinggegevens

Verwerken mag alleen met een grondslag. Voor het grootste deel van de bijlespraktijk is dat de uitvoering van de overeenkomst die je met de ouder sluit: zonder naam, vak en voortgang kun je geen begeleiding leveren en geen verslag sturen. Voor je facturen en urenregistratie is dat je wettelijke plicht als ondernemer.

Toestemming is voor de kern van je werk juist geen handige grondslag, want toestemming kan altijd worden ingetrokken en dan mag je stoppen met verwerken. Bewaar toestemming voor de dingen die niet nodig zijn voor de begeleiding zelf: een foto van de leerling op je website, een citaat in je nieuwsbrief, het delen van je verslag met de school.

Dat laatste punt wordt vaak vergeten. Een verslag dat je aan de mentor of de school stuurt, gaat naar een partij buiten jullie afspraak. Leg vast dat de ouder daar per keer of per schooljaar mee instemt, en noteer wanneer dat is gebeurd.

Het verwerkingsregister uit artikel 30 AVG

Artikel 30 AVG verplicht organisaties een register van verwerkingsactiviteiten bij te houden. Er bestaat een uitzondering voor organisaties met minder dan 250 medewerkers, maar die vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft. In de praktijk geldt de plicht daardoor bijna altijd, ook voor een zelfstandige tutor: begeleiding van vaste leerlingen is per definitie niet incidenteel.

Het register hoeft geen dik document te zijn. Een tabel met een regel per verwerking volstaat, zolang die regel klopt en actueel blijft.

Verwerking	Doel	Grondslag	Bewaartermijn
Leerlingdossier en sessienotities	Begeleiding en rapportage	Uitvoering overeenkomst	Tot einde traject plus een afgesproken termijn
Maandrapporten aan ouders	Verantwoording naar de ouder	Uitvoering overeenkomst	Zelfde termijn als het dossier
Urenregistratie en facturen	Administratie en belasting	Wettelijke plicht	7 jaar
Aanvragen via het contactformulier	Reageren op een vraag	Gerechtvaardigd belang	Kort, tenzij er een traject volgt

Neem dit register één keer per jaar door, bijvoorbeeld tegelijk met je jaarafsluiting. Verandert er een tool of een werkwijze, dan verandert er een regel.

Notities over minderjarigen: schrijf voor drie lezers

De gevoeligste gegevens in een bijlespraktijk zitten niet in de cijfers maar in de vrije tekst. "Moeder vertelde dat de scheiding rondkomt" of "kind slikt sinds kort medicatie" belandt zomaar in een sessienotitie, terwijl daar meteen een zwaardere categorie in beeld komt: gezondheidsgegevens vallen onder de bijzondere persoonsgegevens van artikel 9 AVG en verdienen extra terughoudendheid.

De praktische regel die het beste werkt: schrijf elke notitie alsof drie mensen hem later lezen, namelijk je collega, de ouder en de leerling zelf. Wat je in dat gezelschap niet hardop zou zeggen, hoort niet in het systeem.

• Noteer gedrag en werk, niet je vermoedens over de thuissituatie.
• Neem een diagnose alleen op als de ouder die zelf heeft doorgegeven en als je hem nodig hebt voor de aanpak.
• Zet nooit gegevens over broertjes, zusjes of ouders in het dossier van de leerling.
• Gebruik geen groepsapp voor inhoudelijke opmerkingen over een leerling.

Wie hier scherp op is, voorkomt bovendien het pijnlijkste scenario bij een inzageverzoek: een ouder die precies leest wat een tutor ooit in een moe moment heeft opgeschreven. In de zeven fouten die het vertrouwen van ouders kosten komt die situatie terug als een van de duurste.

Wie helpt je verwerken, en waar staan de gegevens

Zodra een leverancier gegevens voor jou opslaat of verstuurt, is dat een verwerker. Denk aan je rapportagesoftware, je mailprovider en je online opslag. Artikel 28 AVG vraagt dan om een verwerkersovereenkomst waarin staat wat de verwerker mag, hoe hij beveiligt en wat er bij beëindiging met de gegevens gebeurt.

Vraag die overeenkomst op bij elke partij waar leerlinggegevens langskomen en bewaar ze bij elkaar. Vraag er ook bij waar de servers staan: gegevens die binnen de Europese Unie blijven, besparen je een hoop uitzoekwerk over doorgifte naar derde landen.

Een data protection impact assessment, geregeld in artikel 35 AVG, is voor een gewone bijlespraktijk meestal niet aan de orde. Ga je grootschalig profielen bouwen of automatisch beslissingen nemen over leerlingen, dan verandert dat beeld en is een beoordeling vooraf wel op zijn plaats.

Bewaren, en vooral opruimen

Voor je administratie geldt een bewaarplicht van 7 jaar: facturen, urenoverzichten en betalingen horen daaronder. Voor sessienotities en rapporten geldt die termijn niet. Die bewaar je zolang je ze nodig hebt voor de begeleiding en voor eventuele vragen achteraf, en daarna niet langer.

Kies daarom een vaste opruimronde. Een praktijk die aan het begin van elk schooljaar de dossiers van gestopte leerlingen doorloopt, houdt het systeem schoon zonder er verder over na te denken. Exporteer wat de ouder mag houden, verwijder de rest, en noteer kort dat je het hebt gedaan.

Als het misgaat: datalekken

Een datalek in de bijles is zelden een hack. Het is een rapport dat naar het verkeerde e-mailadres gaat, een gedeelde map die te ruim openstaat, of een laptop die uit een auto verdwijnt. De regel is streng: een datalek moet binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Alle datalekken, ook de gemelde en de niet-gemelde, moet je intern registreren.

Zorg dus dat iedereen in je team weet bij wie hij zich moet melden en dat er een klein logboek bestaat met datum, wat er gebeurde, wie het betreft en wat je hebt gedaan. Dat logboek kost tien minuten per jaar en is precies wat je nodig hebt als er ooit vragen komen.

De maximale boete onder de AVG is 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dat bedrag is niet bedoeld om een bijlesbureau bang te maken, maar het laat zien in welke categorie de wetgever dit onderwerp plaatst.

Rechten van ouders en leerlingen

Betrokkenen hebben recht op inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar. Een verzoek moet je binnen een maand beantwoorden, met een verlenging van maximaal twee maanden als het echt ingewikkeld is. In de bijles gaat het bijna altijd om inzage of om verwijdering na het stoppen van het traject.

Praktisch betekent dat: je moet alles over één leerling snel bij elkaar kunnen halen. Een praktijk waar de notities verspreid zitten over agenda's, appjes en losse documenten haalt die maand niet. Een praktijk met één dossier per leerling drukt op exporteren en is klaar. Dat is een van de redenen waarom het invoeren van vaste rapportage in vijf stappen ook een privacyverbetering is, en niet alleen een tijdsbesparing.

Een korte reactie die het meestal afdoet

Bevestig het verzoek binnen een paar dagen, zeg welke termijn geldt, lever daarna een overzicht van de gegevens en een uitleg in gewone taal. Wie dit vriendelijk en snel doet, merkt dat de meeste verzoeken helemaal geen conflict zijn maar gewone nieuwsgierigheid.

Twee dingen die er los van staan, maar wel meespelen

Voor je eigen website geldt artikel 11.7a van de Telecommunicatiewet. Functionele cookies en analytische cookies met geringe gevolgen voor de privacy mogen zonder toestemming, voor tracking heb je wel toestemming nodig. Voor een vitrinesite met een contactformulier is dat eenvoudig op orde te brengen.

En hoewel het geen AVG-onderwerp is: veel ouders vragen bij bijles aan huis naar een Verklaring Omtrent het Gedrag. Die wordt afgegeven door Justis. Zet in je informatie voor ouders eerlijk of je ermee werkt en voor wie, dan hoeft niemand ernaar te raden.

Conclusie: privacy is vooral een kwestie van structuur

Het meeste van wat de AVG vraagt, valt samen met wat een goede bijlespraktijk toch al wil: één dossier per leerling, notities die je aan de ouder durft te laten zien, een vaste opruimronde en duidelijke afspraken met je leveranciers. Wie dat op orde heeft, hoeft bij een vraag van een ouder niets te reconstrueren.

Precies daarvoor is de rapportagesoftware van Bijlesrapport gebouwd: sessienotities en maandrapporten in één dossier per leerling, een notitieveld dat waarschuwt voor bijzondere persoonsgegevens, opslag binnen de Europese Unie, een verwerkersovereenkomst zoals artikel 28 AVG die vraagt, en een export waarmee je elk inzageverzoek binnen de termijn afhandelt. Wie erachter zit en hoe er aan gewerkt wordt, lees je op de pagina over de maker van Bijlesrapport. Wil je weten hoe dit in jouw praktijk zou uitpakken, leg je situatie dan voor via het contactformulier, dan krijg je binnen twee werkdagen een persoonlijk antwoord.