Veiligheid in scholen vraagt soms om moeilijke keuzes

Bij Check Privacy worden we regelmatig getriggerd door situaties waarin veiligheid, privacy en gezag samenkomen. Niet omdat we tegen veiligheidsmaatregelen zijn, integendeel, maar juist omdat we zien hoe belangrijk het is dat die maatregelen zuiver worden ingericht. Onlangs werden we daarop opnieuw gewezen, toen we kennisnamen van een lockercontrole op een school. Niet de maatregel zelf riep vragen op, maar de manier waarop deze was vormgegeven en gecommuniceerd.
 
Ook noodzakelijke preventie vraagt om verantwoordelijkheid
Laat één ding helder zijn: preventie is noodzakelijk. Scholen hebben de verantwoordelijkheid om te zorgen voor een veilig leerklimaat. Dat vraagt soms om ingrijpende maatregelen. Veiligheid is geen vrijblijvende keuze, maar een publieke taak. Tegelijkertijd geldt: hoe zwaarder de maatregel, hoe groter de plicht om die maatregel zorgvuldig, transparant en toetsbaar in te richten. Juist daar raakt veiligheid aan privacy en bestuurlijke integriteit.
 
Het normenkader IBP dient als fundament voor scholen
Het normenkader voor informatiebeveiliging en privacy in het onderwijs is daarvoor bedoeld. Niet als extra bureaucratische laag, maar als fundament onder professioneel en zuiver handelen. Het normenkader helpt scholen om te laten zien dat besluiten niet alleen goed bedoeld zijn, maar ook goed zijn doordacht, onderbouwd en vastgelegd. Dat is waar gezag geloofwaardig wordt.
 
Wat ging er mis?
In deze situatie viel vooral op dat betrokkenen pas achteraf werden geïnformeerd over de lockercontrole. Daarmee ontstaat een spanning. Niet omdat er per definitie iets fout is gedaan, maar omdat echte transparantie vooraf begint. Pas wanneer leerlingen en ouders vooraf weten wat er gebeurt, waarom het gebeurt en op basis waarvan, ontstaat er ruimte voor begrip en vertrouwen. Transparantie achteraf is uitleg; transparantie vooraf is rechtstatelijk handelen.
 
Het controleren van een locker valt ook onder verwerking van persoonsgegevens
Uit navraag bleek dat er geen DPIA was uitgevoerd, omdat er volgens de school geen sprake was van het verwerken van persoonsgegevens. Er zouden immers geen gegevens zijn vastgelegd of opgeslagen. Dat is een gedachte die we vaker tegenkomen, maar die juridisch en inhoudelijk niet klopt. Verwerking in de zin van de AVG begint niet bij opslag. Ook het openen, bekijken en beoordelen van een locker die aan een specifieke leerling is gekoppeld, is al een vorm van verwerking. Het enkele moment van inzage is voldoende om van persoonsgegevensverwerking te spreken.
 
Zet een DPIA in als instrument om je te helpen
Juist daarom is een DPIA (Data Protection Impact Assessment) geen formaliteit. Het is het instrument waarmee een organisatie zichzelf dwingt om vooraf de juiste vragen te stellen. Is deze maatregel noodzakelijk? Is hij proportioneel? Zijn er minder ingrijpende alternatieven? Wat betekent dit voor de positie en het gevoel van veiligheid van de leerling? En kunnen we later, als iemand ons hierop bevraagt, zuiver uitleggen waarom we dit zo hebben ingericht?
 
Goede intenties vs zuiver bestuur
Wat hier zichtbaar wordt, is het verschil tussen goede intenties en zuiver bestuur. Inhoudelijk zien we zorg, verantwoordelijkheid en de wens om problemen te voorkomen. Daar staat niemand afwijzend tegenover. Maar zuiverheid zit niet alleen in wat je wilt bereiken, het zit ook in hoe je dat organiseert. In de manier waarop je afwegingen vastlegt. In de bereidheid om vooraf transparant te zijn. In het aantoonbaar maken dat je macht niet lichtvaardig gebruikt.
 
Organisatorische volwassenheid
Het normenkader vraagt daarom niet alleen om technische beveiliging, maar vooral om organisatorische volwassenheid. Om beleid, om besluitvorming die vastligt, om communicatie die vooraf plaatsvindt, en om verantwoordelijkheid die zichtbaar wordt genomen. Niet omdat scholen het niet goed zouden bedoelen, maar omdat kinderen recht hebben op bescherming die niet alleen goed bedoeld is, maar ook zuiver is ingericht.
 
Laat zien waar je als organisatie voor staat
In het onderwijs leren kinderen wat gezag is. Ze leren hoe macht wordt uitgeoefend. Als we willen dat zij begrijpen dat gezag altijd samengaat met verantwoordelijkheid, dan moeten we dat zelf laten zien. Door niet alleen te handelen, maar ook te verantwoorden. Juist wanneer het over kinderen en veiligheid gaat, moet zuiverheid zichtbaar zijn. Vooral wanneer het schuurt, laat je zien waar je als organisatie werkelijk voor staat.
 
Zoals we in het begin al zeiden; veiligheid in scholen vraagt soms om moeilijke keuzes. Met onze kennis van het onderwijs en IT-expertise denken we graag mee hoe je als school die veiligheid op een goede en juridisch juiste manier inricht.