Beslissing ten gronde 31/2020 van 16 juni 2020
Betreft
Voor het uitvoeren van een enquête bij minderjarige met behulp van smartschool is toestemming van een ouder nodig.
Context
Minderjarigen en GDPR
Rechtsgrond
- Artikel 5.1 GDPR: (beginselen inzake verwerking van persoonsgegevens);
- Artikel 6.1 GDPR: (rechtmatigheidsgronden van de verwerking);
- Artikel 8 GDPR: (voorwaarde voor de toestemming van kinderen met betrekking tot diensten van de informatiemaatschappij);
- Artikel 12.1 GDPR: (passende maatregelen voor het verstrekken van informatie en communicatie in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm);
- Artikel 13 GDPR: (te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld).
Feiten
Via smartschool werd een enquête ‘welbevinden’ afgenomen bij minderjarige leerlingen van Z via het systeem smartschool.
In deze enquête werden gegevens verwerkt van leerlingen, ook jonger dan 13 jaar over andere leerlingen, pesten, en de thuissituatie van de betrokken leerling.
De klager, een vader van een minderjarig kind aan wie de enquête werd voorgelegd stelde dat er een gebrek was aan informatieverstrekking, dat de toestemming van de ouders vereist was voor het uitvoeren van de enquête, en dat er gebruik wordt gemaakt van een dienst van informatiemaatschappij en er meer gegevens werden verwerkt dan noodzakelijk voor de doeleinden waarvoor zij worden verwerkt.
Oorspronkelijk legde de vader een klacht neer tegen de school Z waarvan Y de inrichtende macht is. In de loop van de procedure voerde Z echter aan dat Y de inrichtende macht is boven Z. De Geschillenkamer richt haar beslissing aan Y, als inrichtende macht én verwerkingsverantwoordelijke die als enige het doel en de middelen bepaalt voor wat betreft leerlingen begeleiding.
De Geschillenkamer verduidelijkt in eerste instantie haar rol als waarnemer van de Gegevensbeschermingsautoriteit, alsook op welke wijze de Vlaamse Toezichtcommissie zich verhoudt tot de Gegevensbeschermingsautoriteit. Het lid van de Gegevensbeschermingsautoriteit dat optreedt als waarnemer is ertoe gehouden zich te beperken tot het bijwonen van iedere beraadslaging van de Vlaamse Toezichtcommissie. Dit houdt dus, in tegenstelling tot wat Y vermoedde, geenszins een tussenkomst in het beslissingsproces in en al zeker niet dat de waarnemer op doorslaggevende wijze de beslissing van de Vlaamse Toezichtscommissie zou kunnen beïnvloeden. Voor het toezicht op de naleving van de rechtstreeks toepasselijke bepalingen van de GDPR is enkel de Gegevensbeschermingsautoriteit de bevoegde autoriteit.
Vervolgens is er volgens de Geschillenkamer geen sprake van een rechtmatige verwerking. De wettelijke verplichting waarop Y zich beroept, houdt niet in dat de leerlingen verplicht zijn te antwoorden op de vragen uit de enquête “welbevinden”.
Daarnaast houdt de verplichting tot leerlingenbegeleiding geenszins de verplichting tot het afnemen van een enquête in de vorm zoals deze aan de betrokken leerling jonger dan 13 jaar werd uitgevoerd.
Ook de Codex secundair onderwijs bepaalt echter niet welke persoonsgegevens van de leerlingen moeten of mogen worden verwerkt. Zo wordt nergens vermeld dat de gegevensinzameling moet gebeuren aan de hand van een enquête die de medewerking vereist van alle leerlingen.
De Geschillenkamer besluit dan ook dat gegevensverwerking van leerlingen jonger dan 13 jaar, enkel rechtmatig kan zijn op grond van toestemming. Er vindt dus geen rechtmatige verwerking plaats in de zin van artikel 6.1 GDPR. Daarenboven zijn er strengere regels van toepassing wat betreft de toestemming in geval er sprake is van een kind jonger dan 13 jaar en er een informatiemaatschappij zoals gedefinieerd in art. 5.2, 5) GDPR aanwezig is. In dit geval zal er toestemming van de persoon met ouderlijke verantwoordelijkheid over de leerling moeten worden bekomen.
Vervolgens werd er ook een inbreuk op de beginselen van verwerking van persoonsgegevens vastgesteld. De Geschillenkamer stelt vast dat deze ook op anonieme wijze had kunnen plaatsvinden en de verwerking dus niet beperkt was tot wat noodzakelijk is voor het doeleinde. Ook werd niet voldaan aan de plicht van het verschaffen van transparante informatie in verband met de verwerking aan de betrokkene.
De informatieverstrekking gebeurde in eerste instantie mondeling in de klassen waar de enquête werd aangeboden. Daarnaast werd per brief ook nog informatie verschaft omtrent het doel van de enquête, wie de enquête kan lezen alsook een verduidelijking van de vragen. De informatie van op de brief was niet volledig. Daardoor werd niet voldaan aan de vereisten opgelegd voor de te verwerken informatie in geval persoonsgegevens bij de betrokkene worden verzameld. De brief bevatte geenszins alle elementen die vereist zijn, zodanig dat niet is aangetoond dat de schriftelijke informatieverstrekking op behoorlijke wijze heeft plaatsgevonden. De informatieverstrekking kan ook mondeling gebeuren, maar enkel in geval dit op verzoek is van de betrokkenen, wat in casu niet het geval was.
Daarnaast kan niet van een minderjarige worden verwacht al kennis te hebben genomen van de privacyverklaring en het schoolreglement om zo te rechtvaardigen dat hem/haar deze informatie niet meer zou moeten worden verstrekt. Dit strookt niet met de bedoeling van de GDPR om minderjarige bijzondere bescherming te bieden waardoor de informatie en communicatie aan de minderjarige in een zodanig duidelijke en eenvoudige taal dient te worden gesteld dat het kind deze makkelijk kan begrijpen.
Om deze reden is volgens de Geschillenkamer niet voldaan aan de verplichtingen van de verwerkingsverantwoordelijke in het kader van de GDPR en stelt ze een inbreuk vast op:
- de beginselen inzake verwerking van persoonsgegevens, meer bepaald op de beginselen van rechtmatigheid, behoorlijkheid en transparantie en het beginsel van minimale gegevensverwerking;
- de rechtmatigheid van de verwerking doordat er geen toestemming aanwezig was van een ouder;
- het beginsel van verstrekking van transparante informatie en communicatie.
Uitspraak
Y, de inrichtende macht boven de school Z wordt een boete opgelegd van 2.000 euro en wordt bevolen om de verwerking in overeenstemming te brengen met de geschonden bepalingen, zijnde: art. 5.1, a), c), art. 6.1, art. 8 en art. 12.1 en 13 GDPR.
Onze mening
Volgens ons is dit een terechte beslissing.
Bij een minderjarig kind moeten terecht extra verplichtingen nageleefd worden.
Hier bleek al dat in eerste instantie de basisbeginselen niet correct werden nageleefd. Zo werd bijvoorbeeld het beginsel van minimale verwerking en het verstrekken van transparante communicatie niet gerespecteerd.
Daarnaast werd onvoldoende rekening gehouden met het feit dat het om een kind gaat en werd de informatieverstrekking hier niet aan aangepast.
Definitief?
Tegen deze beslissing kon een beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof. Dit gebeurde niet, waardoor deze beslissing nu definitief is.
Beslissing