School verantwoordelijk voor beschermen persoonsgegevens in e-mails

Voor de gevolgen van een datalek is de school immers verantwoordelijk. Dat stelt de AVG (Algemene Verordening Gegevensbescherming). Als persoonsgegevens of medisch dossiers onverhoopt toch bij de verkeerde persoon terechtkomen, moet de school het datalek melden bij de Autoriteit Persoonsgegevens (AP). Ook moet zij de ouders informeren en is zij verantwoordelijk voor de gevolgen. De AP onderzoekt dan wat er precies is gebeurd. Had de school het kunnen voorkomen? Hebben ze leerkrachten voldoende uitleg gegeven? Het kan gebeuren dat de AP het bestuur van de school een boete geeft.

Mailen van medische gegevens

Interne begeleiders krijgen vaak te maken met het versturen van medische gegevens en dus met extra strenge regels met betrekking tot mailbeveiliging. Als een of meer leerlingen zorgfinanciering ontvangen van de gemeente, moet de school daar periodiek over rapporteren aan de geldverstrekker of artsen. Ze zijn dan verplicht om hiervoor een mailoplossing te gebruiken die voldoet aan de NTA7516-norm*. “Er zijn dan strengere eisen aan het versleutelen en beveiligen van mail. Bij het versturen van medische gegevens moet je als schoolbestuur voldoen aan de beveiligingseisen, die zijn beschreven in de NTA7516-norm.” Dit geldt ook voor gegevens die betrekking hebben op godsdienst of leerontwikkelingen. 

*In de toekomst wordt deze huidige NTA7516-norm omgezet naar een verplichte NEN-norm.

Zo moet de identiteit van de ontvanger worden gecontroleerd. Is degene die de mail krijgt ook echt degene die hij zegt te zijn? De inhoud wordt versleuteld, dus als de mail bij de verkeerde terechtkomt, kan die er niets mee. Mails kunnen worden teruggetrokken of een beperkte geldigheidstermijn hebben. “In de praktijk werkt het zo dat ouders een mail ontvangen met een link naar een portaal. Hier voeren ze een wachtwoord in om het bericht te kunnen lezen. Op die manier is geformaliseerd en beveiligd een mail met medisch dossier verzonden. Dan mag je er vanuit gaan dat je het goed gedaan hebt. Als ouders deze mail downloaden en laten rondslingeren, dan is de school niet meer verantwoordelijk.”

Verantwoordelijk

Naast veilig mailen en bijlages versleutelen vraagt de AVG ook van schoolbesturen om hun medewerkers goed ‘op te voeden’ en het bewustzijn bij hen te vergroten. Naast het risico van een boete, loopt een school immers ook het risico van imagoschade. “De drijfveer voor de school moet echter zijn dat je je leerlingen wilt beschermen’’, aldus Theo.

Theo: ‘’Zorg er daarom voor dat medewerkers goed nadenken over zaken. Zal ik dit wel per mail versturen, of kan het ook anders? Moet ik het bestand beveiligen? Dat kun je niet altijd vangen in regels. Het gaat erom dat collega’s nadenken voor ze op ‘verzenden’ drukken en de mailadressen altijd checken op tikfouten. Ook moeten zij altijd extra uitkijken bij het mailen naar meerdere mensen tegelijk. Zet alle e-mailadressen dan altijd in de BCC, niet in de CC. Niet alle ouders stellen het bijvoorbeeld op prijs dat hun e-mailadres bekend wordt bij andere ouders of bij hun ex-partner… En stuur je bijlages mee naar meerdere ouders, bijvoorbeeld de klassenlijst? Doe dit dan via een veilige oudercommunicatie-app of ouderportaal.”

Hoe zit het dan met de verantwoordelijkheid van leerkrachten als zij een fout maken? Stel, zij sturen per ongeluk een mail naar de verkeerde persoon? Dan moet de medewerker dat melden bij de Functionaris Gegevensbescherming (FG) en de leidinggevende. Vervolgens moet het ook worden gemeld bij de persoon van wie de gegevens gelekt zijn. De schade moet zo klein mogelijk blijven. Zo kan de medewerker bijvoorbeeld nog proberen het mailtje terug te trekken of mensen te vragen het weg te gooien. De FG meldt het dan bij de AP.

Zekerheid met een veilige mailoplossing

Voor het extra beveiligd mailen bestaat er software als Bastion 365 en Zivver. Deze oplossingen hebben allerlei handige functies om onveilig mailen te voorkomen. Bijvoorbeeld een attendering met ‘klopt het e-mailadres?’ of een melding met ‘je stuurt nu een mail naar vijf ontvangers; klopt dat?’. “Die bewustwordingscomponent zit er geautomatiseerd in”, aldus Theo.

In een aantal situaties, onder andere bij het verzenden van medische gegevens, is het inzetten van een gecertificeerde veilige mailoplossing verplicht. Het advies van Theo is om zo’n oplossing in ieder geval breed in te zetten binnen het schoolbestuur, en daarbij kritisch te kijken of de mailfunctionaliteiten van Microsoft of Google wel of niet volstaan voor de overige medewerkers. Met Microsoft en Google kun je namelijk ook datalekken verminderen en voorkomen.