Veel scholen vragen zich af of zij mogen registreren wie van hun leerlingen of studenten besmet is met corona. Bijvoorbeeld in verband met maatregelen van het kabinet om groepen kinderen voor een aantal dagen naar huis te sturen als er een besmetting is. Of omdat de scholen zich zorgen maken over de veiligheid op school.
Als Autoriteit Persoonsgegevens (AP) begrijpen wij dat u zich zorgen maakt. En dat het misschien makkelijk lijkt om voor de zekerheid bij te houden wie er besmet is. Maar u loopt dan grote kans de privacywetgeving te overtreden. Daarom geeft de AP hierbij uitleg over wat wel en niet mag.
Allereerst: het is de taak van de GGD om een coronabesmetting op individueel niveau te registreren wanneer iemand positief getest is. En vervolgens bron- en contactonderzoek te doen om contacten te identificeren en informeren.
De GGD bepaalt hoe nauwe contacten van een leerling of student met een coronabesmetting worden geïnformeerd. Als school hoeft u hier meestal geen actieve rol in te spelen.
Het kan zijn dat de GGD, een ouder/leerling of student u vraagt om andere leerlingen of personeel over een besmetting op school te informeren. Dat mag. In dit geval is het niet nodig om de naam van de besmette leerling/student te delen.
Het RIVM heeft voorbeeldbrieven beschikbaar gesteld die u kunnen helpen om leerlingen, studenten, ouders en/of medewerkers te informeren.
Als school in het (speciaal) basisonderwijs bent u wettelijk verplicht het te melden aan de GGD zodra u bekend bent met een corona-uitbraak. Dit staat in de Wet publieke gezondheid (Wpg).
Maar daarbij hoeft u alleen het aantal besmettingen aan de GGD door te geven, niet om wie het gaat. De GGD is namelijk al op de hoogte van een besmetting. U hoeft dus ook niet te registreren wie precies corona heeft.
Meldt een ouder of leerling/student uit zichzelf bij u dat (het kind van) deze persoon corona heeft? Dat is geen probleem. U mag de naam van de leerling of student echter niet zomaar vastleggen of delen. Maar natuurlijk mag u wel een luisterend oor bieden.
Voor het informeren van klasgenoten e.d. is het voldoende slechts te melden dat er een besmetting is. En dus niet wie er besmet is. Over het algemeen informeert de GGD, waar nodig, de contacten van een besmette persoon. Zodat zij passende maatregelen kunnen nemen.
U hoeft dus voor de GGD niet te registeren wie besmet is met corona. Maar misschien wilt u dit voor uzelf toch graag bijhouden. Alleen is dit meestal niet toegestaan, omdat het gevoelige gegevens betreft.
Dat zit zo: of iemand besmet is met corona, is een gegeven over de gezondheid van die persoon. En gezondheidsgegevens zijn extra beschermd in de AVG, omdat het zulke gevoelige gegevens zijn. Concreet houdt dit in dat u deze gegevens alleen bij hoge uitzondering mag verwerken.
Een van die uitzonderingen is uitdrukkelijke toestemming van degene om wie het gaat (of bij kinderen onder de 16 jaar: een van de ouders). Maar in de praktijk zitten hier veel haken en ogen aan. Dus het is niet aan te raden om op die manier toch te registreren wie corona heeft. Hieronder leggen wij uit waarom.
Wilt u coronabesmettingen vastleggen of delen op grond van toestemming? Dan moet u in ieder geval aan de volgende eisen voldoen:
Het doel moet specifiek genoeg zijn, zodat duidelijk is voor (ouders van) leerlingen en studenten waarvoor zij precies toestemming geven. U mag dus alleen registreren of iemand corona heeft als u daarmee een duidelijk doel dient dat ook bekend is.
Vraagt u zich dus eerst af: wat voegt het toe als u ook besmettingen zou registreren? Welk probleem verwacht u hiermee op te lossen? Kunt u niet volstaan met het vastleggen van aantallen besmettingen?
Let op:
Algemene doelen als ‘de verspreiding van het virus tegengaan’ zijn niet specifiek genoeg.
Het is niet uw taak maar die van de GGD om coronabesmettingen op individueel niveau te monitoren.
Wilt u besmettingen registreren voor meerdere doelen? Dan moet u voor elk doel apart toestemming vragen.
In de AVG staat een aantal eisen waaraan toestemming moet voldoen. In ieder geval moet u als school kunnen aantonen dat toestemming vrij is gegeven. Dat betekent dat ouders, leerlingen en studenten niet onder druk mogen staan om toestemming te geven. En dat het geen nadelige gevolgen heeft als ze weigeren.
Studenten, leerlingen en hun ouders zijn in zekere mate afhankelijk van de school. Door deze afhankelijkheidsrelatie en de huidige omstandigheden (bijvoorbeeld door de thuissituatie) zullen zij doorgaans al snel druk voelen om toestemming te geven.
Het is daarom sterk af te raden om actief vanuit de school studenten of ouders op te roepen om het bij u te melden als een student of kind corona heeft, omdat u dit wilt registreren.
Daarnaast moet u als school kunnen aantonen dat ouders/leerlingen en studenten een vrije keuze hebben om toestemming te weigeren zonder dat dit nadelige gevolgen heeft. Zo’n nadelig gevolg is bijvoorbeeld dat een leerling of student niet wordt toegelaten tot de school.
Het is aan u als school om aan te tonen dat toestemming daadwerkelijk vrijelijk is gegeven. Blijkt dat (achteraf) niet het geval te zijn? Dan is de toestemming niet geldig en overtreedt u de AVG.
Daarnaast gelden er nog andere eisen waaraan u moet voldoen om rechtsgeldig toestemming te mogen vragen voor het registreren van een besmetting, waaronder:
De toestemming moet via een uitdrukkelijke verklaring zijn gegeven.
(De ouders van) leerlingen en studenten moeten hun toestemming op elk moment weer eenvoudig kunnen intrekken. Dat betekent dat u vanaf dat moment die gegevens niet meer mag verwerken.
U moet vooraf melden aan ouders/leerlingen en studenten dat ze het recht hebben om hun toestemming weer in te trekken.
Zie voor de andere eisen aan toestemming: Wanneer mag u zich baseren op de grondslag toestemming?
Ook moet u aan de andere verplichtingen uit de AVG voldoen. Zo moet u de geregistreerde gegevens goed beveiligen en weggooien zodra deze niet meer nodig zijn. U mag de gegevens ook niet zomaar gebruiken voor andere doelen dan waarvoor u deze heeft gekregen.
Het is niet uw taak om coronabesmettingen te registreren, maar de taak van de GGD.
Bent u bekend met een corona-uitbraak, dan geeft u alleen het aantal besmettingen door aan de GGD. Niet om wie het gaat. Dat weet de GGD namelijk al.
Het is sterk af te raden om coronabesmettingen te registreren op grond van toestemming. Zelfs als u een goede reden zou hebben, kan dit namelijk niet zomaar. En loopt u al snel het risico de privacywetgeving te overtreden.
