Pseudonimisering onderwijs: sommetjes maken onder schuilnaam

In het kader van versoepeling van het gebruik van digitale leermiddelen en met de privacy van de leerlingen in gedachten heeft de minister van Onderwijs recentelijk een wetsvoorstel geïntroduceerd om het mogelijk te maken leerlinggegevens in die digitale leeromgevingen te pseudonimiseren (klik hier voor het wetsvoorstel). Het pseudoniem van een leerling of deelnemer aan de digitale leermiddelen zou gebaseerd worden op het persoonsgebonden nummer (PSN), welke over het algemeen gelijk is aan het Burgerservicenummer (BSN). Aan het gebruik van het BSN zijn strenge regels verbonden, omdat het BSN ook buiten het onderwijs gebruikt wordt en zo in meerdere systemen bekend is. Door er als het ware een pseudoniem “tussen te plaatsen” moet het lastiger worden om andere gegevens naar de leerlingen te herleiden.

Door de pseudonimisering zouden alleen de gegevens die nodig zijn voor de digitale leermiddelen worden gedeeld. Dit moet leiden tot dataminimalisatie. Dat betekent dat alleen de gegevens verwerkt mogen worden die noodzakelijk zijn voor het doel van de verwerking. De Autoriteit Persoonsgegevens (AP) vraagt zich echter af of die pseudonimisering wel noodzakelijk is en hoe dat precies leidt tot dataminimalisatie (klik hier voor de reactie van het AP).

Het pseudoniem zou immers nog steeds gekoppeld zijn aan het BSN, koppeling van verschillende bestanden zou aanzienlijk vergemakkelijkt kunnen worden en daarmee zou het pseudoniem een extra bedreiging voor de persoonlijke levenssfeer vormen. Een voornaam en groep van de onderwijsdeelnemer kunnen volgens de AP ook al voldoende zijn om een digitaal leermiddel aan een leerling te koppelen. Het pseudoniem maakt volgens de minister echter de overgang van een leerling tussen verschillende instellingen en doorlopende leerlijnen makkelijker.

Een bijzonder persoonsgegeven, zoals het BSN, mag alleen gebruikt worden als het doel van die toepassing in de wet opgenomen is. Voordat er iets gebeurt zal dus eerst de wet gewijzigd moeten worden. De AP heeft de minister geadviseerd eerst in het wetsvoorstel te motiveren waarom een pseudoniem noodzakelijk is en op welke wijze een pseudoniem dan tot dataminimalisatie leidt. Daarnaast wil de AP ook dat duidelijk gemaakt wordt door wie, wanneer en op welke wijze pseudoniemen aan elkaar kunnen worden gekoppeld. Totdat met die zorgen rekening is gehouden adviseert de AP nog niet tot indiening van het voorstel over te gaan.

Natascha van Duuren, Advocaat IT, Privacy & Cybersecurity.

Heeft u nog vragen, neemt u dan contact op met Natascha van Duuren, Advocaat & partner IT, Privacy & Cybersecurity.