SIVON heeft een Data Protection Impact Assessment (DPIA) uitgevoerd op de digitale leeromgeving Bingel van uitgeverij Malmberg. Uit de DPIA blijkt dat scholen Bingel veilig kunnen gebruiken wanneer de voorgestelde maatregelen door Malmberg en de schoolbesturen worden uitgevoerd. Malmberg heeft toegezegd verschillende verbeteringen het komend jaar door te voeren, waaronder die op het gebied van de inhoud en beschikbaarheid van de logging.
Bingel is de digitale leeromgeving van Malmberg voor het primair onderwijs. Via het platform hebben leerlingen en leerkrachten toegang tot digitale lesmethodes en aanvullend lesmateriaal, onder andere voor rekenen, taal, lezen en wereldoriëntatie. Volgens Malmberg maken ongeveer 800.000 leerlingen gebruik van digitale leermiddelen via Bingel.
Risico’s en benodigde maatregelen
Tijdens de DPIA zijn mogelijke privacy- en beveiligingsrisico’s onderzocht. Ook is beoordeeld welke maatregelen nodig zijn om deze risico’s te beperken.
Malmberg heeft tijdens het DPIA-proces actief meegewerkt en verschillende verbeteringen voorgesteld. Deze zijn opgenomen in de ontwikkelagenda. Het gaat onder andere om:
- Uitbreiding logging van exports en downloads, zodat inzichtelijk wordt welke gebruikers (persoons)gegevens uit Bingel hebben geëxporteerd of gedownload.
- Betere beschikbaarheid van de logginggegevens, zodat schoolbesturen zelfstandig het gebruik van de applicatie kunnen monitoren.
- Actualiseren van de verwerkersovereenkomst, zodat afspraken over onder meer verwerkingsdoeleinden, bewaartermijnen, subverwerkers en metadata actueel en volledig zijn.
Deze maatregelen beperken de risico’s voor leerlingen en andere betrokkenen en stellen schoolbesturen beter in staat hun verantwoordelijkheid voor de bescherming van persoonsgegevens uit te oefenen.
Wat schoolbesturen zelf moeten doen
Naast de verbeteringen door Malmberg moeten schoolbesturen zelf maatregelen nemen om Bingel veilig te kunnen gebruiken.
Het gaat in ieder geval om:
- afspraken maken over het exporteren, downloaden en gebruiken van persoonsgegevens buiten Bingel, en hier controle op uitoefenen;
- afspraken maken over het controleren van logginggegevens en het signaleren van afwijkend gebruik;
- afspraken maken over notitievelden en andere vrije tekstvelden – deze alleen vullen met strikt noodzakelijke informatie en geen bijzondere persoonsgegevens opnemen;
- de nieuwe verwerkersovereenkomst invoeren zodra deze beschikbaar is.
Scholen blijven verantwoordelijk voor een lokale DPIA
De centrale DPIA helpt schoolbesturen om invulling te geven aan hun verplichtingen vanuit de Algemene Verordening Gegevensbescherming (AVG). Schoolbesturen blijven zelf verantwoordelijk voor het uitvoeren van een lokale DPIA. Daarin beoordelen zij de risico’s die samenhangen met het gebruik van Bingel binnen hun eigen organisatie en bepalen zij welke aanvullende maatregelen nodig zijn.
Wanneer Malmberg en de schoolbesturen de voorgestelde maatregelen uitvoeren, kan het gebruik van Bingel volgens de DPIA op een veilige manier plaatsvinden.
- Download het DPIA-rapport (pdf)
- Download het DPIA-rapport (word)
Webinar over DPIA op Bingel
Op 24 november om 10.00 uur organiseren we een webinar over deze DPIA. Tijdens dit webinar lichten we de DPIA toe en is er gelegenheid om vragen te stellen. Meld je aan.