SIVON heeft een Data Protection Impact Assessment (DPIA) uitgevoerd op het leerlingadministratie- en leerlingvolgsysteem ESIS van leverancier Rovict. Uit de DPIA blijkt dat scholen ESIS veilig kunnen gebruiken wanneer de voorgestelde maatregelen door Rovict en de schoolbesturen worden uitgevoerd. Rovict heeft tijdens het DPIA-proces al verschillende verbeteringen doorgevoerd en afspraken gemaakt over aanvullende maatregelen.
ESIS wordt gebruikt door ruim 1.000 scholen, ongeveer 15% van het Nederlandse primair onderwijs. Het systeem ondersteunt scholen bij het administreren van leerlinggegevens en het volgen van de ontwikkeling en leerprestaties van leerlingen.
Vernieuwde DPIA op ESIS
In 2021 voerden SIVON en Kennisnet al een DPIA uit op ESIS. Daarbij werden verschillende privacy- en beveiligingsrisico’s vastgesteld. Rovict heeft sindsdien maatregelen genomen om deze risico’s te beperken. Deze zijn in 2022 vastgelegd in een afzonderlijk verbeteringsrapport.
Met de nieuwe DPIA heeft SIVON opnieuw onderzocht welke risico’s het gebruik van ESIS met zich meebrengt en welke aanvullende maatregelen nodig zijn.
Risico’s en benodigde maatregelen
De samenwerking met Rovict tijdens het DPIA-proces was positief en constructief. Rovict heeft verschillende verbeterpunten direct opgepakt, waaronder het aanscherpen van beveiligingstesten, het verbeteren van procedures voor het opvolgen van bevindingen en het aanpassen van de opschoning van gegevens. Ook is het standaard tonen van het burgerservicenummer (BSN) van leerlingen verwijderd en zijn onnodige invoervelden geschrapt.
Daarnaast heeft Rovict toegezegd aanvullende maatregelen te treffen. Het gaat onder andere om:
- Beschikbaar maken van loggegevens, zodat wijzigingen door beheerders gecontroleerd kunnen worden.
- Uitbreiding van in te stellen bewaartermijnen, zodat scholen verschillende categorieën persoonsgegevens volgens de daarvoor geldende termijnen kunnen bewaren en verwijderen.
- Aanvullende versleuteling van persoonsgegevens in de database.
- Het uitfaseren van de onbeveiligde mailfunctionaliteit, waarmee nu nog persoonsgegevens als bijlage kunnen worden verzonden vanuit ESIS.
Wat schoolbesturen zelf moeten doen
Naast de maatregelen van Rovict moeten schoolbesturen zelf een aantal maatregelen nemen om ESIS veilig te kunnen gebruiken.
Het gaat onder andere om:
- tweefactorauthenticatie (2FA) verplicht stellen voor gebruikers en beheerders;
- procedure maken voor het controleren van loggegevens, zodra deze beschikbaar komen;
- controleren op en zonodig nog inregelen van de wettelijke bewaartermijnen en beveiligingsmaatregelen.
- afspraken maken dat er geen persoonsgegevens als bijlage worden verstuurd via de bestaande mailfunctionaliteit van ESIS, zolang deze nog beschikbaar is.
Scholen blijven verantwoordelijk voor een lokale DPIA
De centrale DPIA helpt schoolbesturen om invulling te geven aan hun verplichtingen vanuit de Algemene Verordening Gegevensbescherming (AVG). Schoolbesturen blijven zelf verantwoordelijk voor het uitvoeren van een lokale DPIA. Daarin beoordelen zij de organisatiespecifieke risico’s en bepalen zij welke aanvullende maatregelen nodig zijn.
Wanneer Rovict en de onderwijsinstellingen de afgesproken maatregelen uitvoeren, kan het gebruik van ESIS volgens de DPIA op een veilige manier plaatsvinden.
- Download het DPIA-rapport (pdf)
- Download het DPIA-rapport (word)
Webinar over DPIA op ESIS
Op 16 november om 10.00 uur organiseren we een webinar over deze DPIA. Tijdens dit webinar lichten we de DPIA toe en is er gelegenheid om vragen te stellen. Meld je aan.