Wordt de privacy in het onderwijs goed beschermd?

Laat ik voorop stellen dat ik niet alle feiten ken en ook geen privacy expert ben. Vanuit die relatieve lekenstatus concludeer ik echter toch wel dat er sprake is van een negatieve hype rondom de privacy van leerlingen en studenten in het onderwijs.

In april komt Price Waterhouse Cooper (PWC) met een nulmeting over hoe het gesteld is met de privacy van leerlingen in het PO en VO. Enkele conclusies in de samenvatting:

• De scholen in het onderzoek passen de Wet Bescherming Persoonsgegevens en hun beleidsmaatregelen toe op basis van “gezond verstand”
• De markt voor Leerlingvolgsystemen en Digitale Leermiddelen is in handen van een klein aantal leveranciers. De scholen hebben niet voldoende gewicht om tegenwicht aan leveranciers te bieden en eisen te stellen t.a.v. privacy en beveiliging. Zij accepteren de door de leveranciers gestelde voorwaarden.
• De leveranciers van Leerlingvolgsystemen en Digitale Leermiddelen verwerken gegevens over bijvoorbeeld leerlingen en docenten. Het is onduidelijk hoe deze gegevens gebruikt worden, met welke partijen deze gegevens worden gedeeld en hoe deze gegevens adequaat worden beschermd. De beschikbare documentatie zoals privacystatements laten hiertoe ruimte. Er kan worden gesteld dat er een commercieel belang is om breder gebruik te maken van data.

Wat ik er niet in lees: leveranciers gaan aan de haal met de gegevens van leerlingen en verdienen daar geld aan.

RTL-nieuws besteedt er -overigens een paar maanden later- aandacht aan. Dat levert allerlei protesten op, zoals op die site staat te lezen. Kern van het verhaal is dat scholen gedwongen zijn om gegevens door te spelen omdat die kinderen anders niet met het materiaal kunnen werken.

Met name Basispoort van een aantal educatieve uitgevers moet het ontgelden. Basispoort is een dienst waarmee leerlingen met één toegangscode bij het lesmateriaal kunnen dat de uitgevers digitaal aanbieden.

Er is zeker ruimte voor verbetering. Met name het feit, dat er geen toestemming wordt gevraagd aan de ouders om de gegevens te delen met uitgevers is een belangrijk aandachtspunt. De uitgevers geven aan, dat toestemming vragen aan individuele ouders lastig is. De school heeft immers besloten om gebruik te maken van het lesmateriaal. Wanneer individuele ouders bezwaar maken, wordt dat lastig. De uitgevers stellen dan ook dat toestemming niet nodig is omdat het gaat om een gerechtvaardigd belang: het onderwijs aan de leerling. Dit kan wel wat sterker.
Ze zijn bezig om te bekijken hoe een en ander beter aangepakt kan worden, bijvoorbeeld door te werken met een pseudoniem van de leerling. Daar moet technisch best iets op te bedenken zijn zodat de gegevens in het systeem bij de uitgevers geanonimiseerd zijn.

Natuurlijk mag een Siebe Sietsma of een Aleid Truiens moord en brand schreeuwen. (Siebe mag dan zijn huiswerk wel overdoen. Als hij beweert dat de uitgevers een en ander hadden moeten melden bij het College bescherming Persoonsgegevens, heeft hij duidelijk niet gekeken naar het Vrijstellingsbesluit bij de Wet Bescherming Persoonsgegevens).

Als we nu met zijn allen stellen, dat wat hier gebeurt absoluut niet door de beugel kan, hebben we natuurlijk wel een flinke klont boter op het hoofd. Dan gaan we terug naar bord en krijt en schaffen we alle computers en tablets in het onderwijs af. nou ja, in elk geval internet. Dan moeten we ook alle leerlingadministratiesystemen afschaffen en weer terug gaan naar een papieren administratie want ook Parnassys, Magister en SOM registreren leerlinggevens zonder toestemming van de ouders.

Misschien kunnen we beter met allen constateren, dat ict veel mogelijkheden biedt, dat de ontwikkelingen sneller gaan dan we met zijn allen kunnen bijbenen en dat we serieus aandacht moeten besteden aan het aanpakken van deze problemen, die daaruit voortkomen. Maar achter de negatieve hype aanlopen betekent niets anders dan dat we het kind met het badwater weggooien. Dan gaan we weer naar de tijd dat kinderen thuis van alles doen met computer en tablet en op school komen om te zien hoe het vroeger was...

Privacy in het onderwijs op #cviov

Privacy is een belangrijk thema waar tegelijkertijd nog maar beperkt aandacht voor is binnen onderwijsinstellingen. Op de conferentie Onderwijsvernieuwing en ICT geven Job Vos en Erwin Bomas van Kennisnet er een presentatie over.

In 454 is de eed van Hippocratus ontstaan. In de eed belooft een arts dat hij de gegevens van zijn patiënt geheim houdt. Privacy is ook opgenomen in artikel 12 van de Universele Verklaring van de rechten van de mens. In 1983 is privacy pas in de Grondwet opgenomen. En de Wet op de Bescherming Persoonsgegevens dateert pas van 2001. In de kern komt privacy neer op 'your right to be left alone and to be in control of information about you'.

Bij privacy gaat het om gegevens die herleidbaar zijn tot een natuurlijk persoon. Privacybescherming geldt voor stelselmatig verwerken van gegevens, een studentadministratie bijvoorbeeld. Er is een belangrijke rol weggelegd voor de 'betrokkene' (data-subject), en tot en met 16 ook de ouders. Daarnaast is er de 'verantwoordelijke' voor de gegevensverwerking (directeur of CvB). Ook een leverancier van digitale systeem speelt een rol. Die moet bijvoorbeeld zorgen voor een goede beveiliging, al blijft de verantwoordelijkheid bij de verantwoordelijke. 

Een aantal vuistregels voor het hanteren van privacy:

• Er moet een doel zijn voor de gegevensverwerking, bijvoorbeeld het verzorgen van onderwijs. 
• De verwerking van gegevens moet in overeenstemming zijn met het doel. Je mag dus geen extra gegevens verzamelen, die niet bijdragen aan het doel. 
• Je mag de gegevens niet voor iets anders gebruiken. Je mag geen namenlijst doorgeven aan een bedrijf zodat die aanbiedingen kan doen aan leerlingen. 
• Er moet toestemming zijn. Voor veel zaken, zoals het leveren van gegevens aan DUO levert de wet al toestemming. In andere gevallen moeten studenten/ouders toestemming geven. 
• Er mogen niet meer gegevens opgeslagen worden dan nodig: data-minimalisatie. 
• Er moet sprake zijn van transparantie, er is een informatieplicht 

Deze maand besteedt Kennisnet extra aandacht aan privacy en internet. Er komt ook een privacyscan, een HoeZo over Recht en internet. 

Europese regelgeving

Vanuit Europa komt er een algemene verordening gegevensbescherming. Daarin wordt aandacht besteed aan de snelle technologische ontwikkelingen. Daarmee ontstaat een Europese bescherming: 'one continent, one law'.
Daarin staat onder andere dat er een 'clear affirmative action' van de betrokkene nodig is. Geen verborgen tekstjes of kleine lettertjes waar je met een vinkje toestemming voor geeft, zonder dat je daadwerkelijk weet waarvoor je eigenlijk toestemming geeft.
Het gaat er om dat de burger in control is. Hij krijgt dan ook het recht op het wissen van gegevens. Dat is wel betrekkelijk, als een student vraagt om zijn geboortedatum uit het administratiesysteem te verwijderen kan dat niet omdat de wet verplicht dat de geboortedatum moet worden geregistreerd. Als school heb je dat gegeven dus nodig. Andere gegevens moeten op verzoek dus verwijderd kunnen worden. Het verwijderen heeft ook betrekking op gegevens die aan derden zijn doorgegeven, ook op backups. Het recht van de burger kan dus veel consequenties hebben.

De regeling kent zware sancties, die kunnen oplopen tot 2% van de jaaromzet, voor bedrijven als Google of Facebook kan dat behoorlijk in de papieren lopen. 

Wat betekent dat voor scholen?
Scholen registreren en verwerken 'stelselmatig' gegevens. Daarbij moet je goed nadenken wat je daar verder mee doet. Eigenlijk mag je niet zomaar (zonder teostemming) een schoolgids uitbrengen met de namen van de kinderen in de klas. Een telefoonboom is ook niet vanzelfsprekend. Een namenlijst doorgeven aan een boekenhuis voor het leveren van leermiddelen kan weer wel (immers in belang van het verzorgen van onderwijs).

Erwin Bomas gaat in op 'privacy by design'.
Hij begint met een voorbeeld. Als je een fles drank koopt moet je je legitimeren om te laten zien dat je boven de 18 bent. Het tonen van een rijbewijs geeft echter veel meer informatie dan nodig. In feite is het tonen van een rijbewijs op zich al voldoende omdat je die alleen maar kunt hebben als je 18 bent. Daarom krijg je daar tegenwoordig vaak een beschermhoesje die bepaalde gegevens afschermt, als je je legitimeert.

In het onderwijs zijn er steeds meer datagedreven processen (cloud, big data, learning analytics). Daarnaast is er sprake van meer gepersonificeerd onderwijs. tegelijkertijd wordt er meer verantwoording gevraagd van de instelling. Die dingen botsen. 

Daarvoor is het Privacy by design opgezet op basis van een zevental uitgangspunten. 

Erwin neemt ons mee in een casestudie waarin via een portaal aan de leerling en ouder duidelijk maakt, welke gegevens door wie worden gebruikt. Zo zie je in een overzicht dat een uitgever over bepaalde gegevens beschikt. Als de ouder het kind naar een huiswerkbegeleider stuurt, kan die via het portaal toestemming vragen om bepaalde resultaten in te zien uit het leerling volgsysteem. Het is een projectie van de regelgeving op wat een school wellicht nodig zal hebben om het naar de studenten en ouders goed te regelen.

De discussie na de presentatie laat zien, dat er nog veel uitdagingen liggen voor instellingen om zaken goed te regelen. Sambo-ict / Kennisnet staat een online leergang over privacy in het onderwijs. 

Het makkelijke van internet

In een paar dagen tijd loop ik weer tegen allerlei voorbeelden aan van dingen die vroeg niet konden of in elk geval niet zo makkelijk waren maar nu door internet algemeen beschikbaar zijn.

• Ik heb jarenlang mijn meterstanden bijgehouden. Dat deed ik in Excel met allerlei formules en grafieken om zicht te houden op het verbruik van gas, water en elektriciteit. Ik kon uit de grafieken achteraf allerlei gegevens aflezen. De vakantieperiodes, bijvoorbeeld. Maar ook het groter worden van mijn kinderen en hun behoefte aan eigen apparatuur, nog los van het aantal was- en droogbeurten die zo'n opgroeiend stel nodig heeft. Ook de sprong in het verbruik na een flinke verbouwing en de gestage jaarlijkse daling doordat kinderen langzaam maar zeker zelfstandig werden.
  
  Het bijhouden van die mneterstanden was niet echt iets dat ik graag deed, het was een automatisme: elke zondag even naar de meterkast en vervolgens de meterstanden registreren. Mijn Excel raakte van slag als ik een week oversloeg.
  Prognoses berekenen of gasverbruik relateren aan buitentemperaturen was er niet bij. Voor dat laatste vond je vroeger overzichten in de krant. Daaruit kon je aflezen wat je verbruik zou moeten zijn afhankelijk van de buitentemperatuur. De laatste jaren heb ik die overzichten niet meer gevonden.
  
  Nu heb ik de EnergieManagerOnline gevonden. Daar kun je een account aanmaken en je verbruiksgegevens regelmatig invullen. Deze registratie heeft veel voordelen ten opzichte van mijn eigen Excellijstjes.
• Je hoeft het niet elke week te doen, het programma berekent het verbruik per dag, voor gas ook gecorrigeerd naar buitentemperatuur.
•  Je krijgt een overzicht te zien ten opzichte van je streefverbruik.
• Je kunt benchmarken met andere vergelijkbare woningen.

• Ik ben al een hele tijd een regelmatige hardloper. Niet te fanatiek maar als ik zonder al te veel extra moeite af en toe een halve marathon kan lopen, ben ik tevreden. Na een blessure vorig jaar heb ik een tijdje helemaal niet kunnen hardlopen. Nu kost het me best wel weer moeite om mezelf te motiveren weer aan de slag te gaan.
  Nu had ik wel eens gelezen over een iPhone-app, die met GPS je route en snelheid bijhoudt. Vorige week kwam ik er achter dat er ook zoiets voor mijn (Android) HTC bestaat: Runkeeper. Voor velen oud nieuws maar ik vind het geweldig. Niet meer zelf klokken en achteraf mijn route uittekenen in Google Maps. De app gewoon aanzetten als je begint en uitzetten als je stopt. Tussentijds word je op de hoogte gehouden over tijd, afstand en gemiddelde snelheid. Achteraf zie je op Google Maps je route uitgetekend. Prachtig!

• Deze week zat ik naar een televisieprogramma te kijken waar op de achtergrond een prachtig stuk muziek te horen was. Hoe kom je er nu achter welke muziek dat was?
  Toen ik dat vroeg aan mijn jongste dochter, grinnikte die even om me een kleine tien minuten later te vertellen welke muziek dat het was geweest. Simpel, Uitzending gemist en even Shazam op haar mobieltje erbij gehouden en vervolgens krijg je alle informatie over die muziek.
  Wellicht oud nieuws voor velen, ik vind het een uitkomst.

Onze wereld, ons leven raakt meer en meer doordrongen van informatie en informatiediensten. Natuurlijk kun je je afvragen of het allemaal even belangrijk is en of er geen addertjes onder het gras zitten. Denk aan de steeds terugkerende privacydiscussie. Ik ben in elk geval steeds weer gefascineerd door de vindingrijkheid die in die tools opgesloten zit en de mogelijkheden die internet steeds weer biedt, dag in, dag uit.

Internet: Is 'meer' gelijk aan 'beter'?

In een van mijn vorige blogs ging al in op het effect van internetgebruik op de hersenen (Nicholas Carr). Ik zei al, het boek heeft me aan het denken gezet. Ik heb een paar van die gedachten op een rijtje gezet rondom de vraag of er sprake is (of zou moeten zijn?) van een zeker optimum aan wat technologische ontwikkelingen de mens(heid) te bieden hebben.
Dat is me nogal een uitspraak die ik wat nader moet uitleggen en relativeren. Iedereen kent het verschijnsel van een optimumkromme: het effect als een proces door twee (of meer) tegengestelde factoren wordt beïnvloed (denk aan de invloed van de temperatuur op de werking van een enzym: bij een hogere temperartuur werkt het enzym steeds sneller, vanaf een bepaalde temperatuur wordt het enzym echter ook afgebroken wat weer vertragend werkt op het verloop van het proces).
De mogelijkheden van internet nemen almaar verder toe. Van een enorm aanbod van informatie (web1.0), via een interactief internet (web2.0, social media) en een semantisch web (combineren van bronnen) naar het 'internet der dingen'.
Van nature ben ik heel optimistisch over allerlei mogelijkheden, zie ik vooral de kansen en wat minder naar de bedreigingen. Met name als het gaat over privacy heb ik lang gedacht (en velen met mij): 'ik heb toch niets te verbergen."
Dat valt tegen. Zo blijkt het mogelijk te zijn om uit de opslag van telecomgegevens je doen en laten te reconstrueren, zoals Malte Spitz, een Duits politicus aantoonde. Het hangt er vanaf wie over die gegevens kan beschikken en wat die er mee gaat doen. En een goed privacy-reglement is niet voldoende, zoals de hack bij Sony al aantoonde.
Een paar jaar geleden waarschuwde Vincent Icke in een interview bij de Wereld draait door voor het Elektronisch Patientendossier (EPD), eigenlijk meer tegen het aan elkaar knopen van allerlei gegevensbanken die het mogelijk maken om allerlei dingen te weten te komen over mensen. Wat kan er nu op tegen zijn om medische gegevens beschikbaar te stellen op de plek waar ze nodig zijn zodat artsen tijdig geïnformeerd zijn over allerlei relevente medische gegevens van een patiënt? Maar ja, als die gegevens nu ook beschikbaar zijn voor een zorgverzekeraar?
Maar het gaat meer dan privacy.
Social media zijn leuk, hebben zelfs een emergent effect doordat ze bijvoorbeeld leiden tot communities, 'wisdom of the crowd' mogelijk maken, de markt een stuk transparanter maken enzovoorts. Maar ook dat heeft een aantal keerzijden. Privacy is er ééntje van (Google, Facebook), verslaving is er ook eentje. En in het verlengde ligt de marketing op de loer. Wat bedrijven al niet kunnen opmaken uit wat mensen op internet zetten ('I like this').
En we staan pas aan het begin. Het 'Internet der Dingen' (Internet of Things, IoT) is in aantocht. Elk apparaat een eigen internetverbinding, een eigen IP-adres en een heel klein beetje ingebouwde 'intelligentie'. De koelkast die boodschappen besteld, je schoenen die 's avonds, als je op de bank ploft, nog even een signaaltje geven dat je je dagelijkse portie beweging nog niet hebt gehad, een chip onder je huid om af te rekenen. Voor een belangrijk deel gebaseerd op de techniek van de RFID-chips (hier een goede technology scout van Kennisnet). Daar zitten ongelooflijk veel mogelijkheden in. Maar of ik op die waarschuwende schoenen zit te wachten, in het algemeen, op die dingen die allerlei verantwoordelijkheden van mij gaan overnemen en daarmee enorme afhankelijkheid creëren?
Natuurlijk, je bent er zelf bij, je kunt zelf kiezen of je meetwittert, een account neemt op Facebook of LinkedIn, een mobieltje aanschaft ... of niet? Formeel: ja, dat heb je zelf in de hand. Maar wees nou eerlijk. Een mobieltje is inmiddels veel meer dan een ding waarmee je draadloos kunt bellen. Een mobieltje betekent bereikbaarheid, connectiviteit, bijblijven, een verlengstuk van jezelf. Als iedereen er eentje heeft, kun je vanzelf niet meer zonder, al is het alleen maar om er straks geen draadtelefoons meer te krijgen zijn...  Op die manier gaan ontwikkelingen door, als een emergent proces, waar je uiteindelijk in meegezogen wordt. En dus afhankelijk en steeds afhankelijker wordt.
Heb ik een oplossing? Een verzoek? Nee, eigenlijk niet. Ik sta er bij en ik kijk er naar, denk er over na, doe met sommige dingen wel en met sommige dingen niet mee, benieuwd naar waar het het toe leidt.