Schoolbesturen willen graag weten wanneer een centrale Data Protection Impact Assessment (DPIA) klaar is zodat zij rekening kunnen houden met eventuele risico’s. Helaas is het voor SIVON niet mogelijk om vooraf een vaste opleverdatum te noemen.
Het uitvoeren van de centrale DPIA’s door SIVON vergt vaak een lange doorlooptijd, omdat wij grondig juridisch en technisch onderzoeken of de gebruikte persoonsgegevens veilig, volgens de wettelijke vereisten worden gebruikt (verwerkt). Dat onderzoek gebeurt gefaseerd en gestructureerd, zodat goed onderbouwd alle risico’s en maatregelen inzichtelijk zijn voor de schoolbesturen.
Klik op de afbeelding om alle fases in het DPIA-proces te bekijken.
Zoals in de afbeelding te zien is, zijn er afhankelijkheden tijdens het DPIA-proces die de doorlooptijd bepalen en waar SIVON niet altijd invloed op heeft. Zo zijn er meerdere afstemmingssessies nodig met zowel schoolbesturen als leveranciers, waarbij veel mensen betrokken zijn. Bij schoolbesturen gaat het bijvoorbeeld om leerkrachten/docenten, applicatiebeheerders en administratiemedewerkers, en bij leveranciers zijn dat meestal ontwikkelaars, product owners en privacy officers. Het plannen van de sessies met al deze mensen blijkt in de praktijk vaak agenda-technisch een uitdaging te zijn.
Bovendien komt het regelmatig voor dat gedurende het traject er veranderingen in de onderzochte applicatie worden doorgevoerd door de leverancier. Dat is meestal het gevolg van bevindingen die tijdens het onderzoek aan het licht komen. Het voordeel hiervan is dat dit vaak al risico’s wegneemt, maar tegelijkertijd levert het ook een vertraging op, omdat de nieuwe feiten ook onderzocht en beschreven moeten worden. Ook externe ontwikkelingen, zoals verandering van wet- en regelgeving of richtlijnen, heeft soms tot gevolg dat er nieuwe (juridische) toetsing nodig is van onderdelen in het DPIA-onderzoek.
We noemen daarom alleen een verwachte opleverperiode waarvan we denken dat die realistisch en haalbaar is. Als de planning wijzigt, dan geven we dit aan in de nieuwsbrief en op de website. Het voortgangsoverzicht wordt regelmatig geactualiseerd.
Waar volg je de voortgang?
Op sivon.nl/dpia vind je de actuele stand van zaken van de centrale DPIA’s. Daar zie je welke onderzoeken lopen en welke DPIA’s zijn afgerond.
Wat onderzoekt SIVON met een centrale DPIA?
Met een centrale DPIA onderzoekt SIVON de verwerking van persoonsgegevens in applicaties die door veel schoolbesturen ingezet worden. SIVON gebruikt hiervoor een gestructureerde en gefaseerde aanpak. Het resultaat is een gedegen onderbouwde en gedocumenteerde DPIA, waardoor niet ieder schoolbestuur afzonderlijk hetzelfde complexe onderzoek hoeft uit te voeren.
Een centrale DPIA neemt echter niet al het werk uit handen. Schoolbesturen blijven zelf verantwoordelijk voor de manier waarop zij de toepassing inrichten en gebruiken. Na oplevering van een centrale DPIA is daarom altijd nog een lokale toetsing nodig, bijvoorbeeld van (beveiligings)instellingen, bewaartermijnen, autorisaties etc. Bovendien moet opgenomen worden hoe lokaal wordt omgegaan met de geconstateerde risico’s in de centrale DPIA.
Door het uitvoeren van centrale DPIA’s hebben leveranciers één aanspreekpunt, voorkomen we dubbel werk en zorgen we voor standaardisatie (‘level playing field’). Een praktische ondersteuning voor schoolbesturen, om te zorgen dat er veilig gewerkt wordt met digitale leer- en onderwijsmiddelen.
De DPIA’s zijn ook geschikt voor samenwerkingsverbanden passend onderwijs.