De Autoriteit Persoonsgegevens ontving in 2025 ruim 13.500 klachten en tips over mogelijke privacyschendingen — 75 procent meer dan een jaar eerder. Dat zegt minder over organisaties die het slechter zijn gaan doen, dan over burgers die hun rechten kennen en ze gebruiken. Voor scholen betekent dat vooral één ding: de kans dat een ouder, leerling of medewerker bij ú aanklopt, is fors groter geworden.
Waar de klachten over gingen:
- Onvoldoende informatie. Organisaties leggen niet uit welke persoonsgegevens zij gebruiken en waarom. Voor u gaat het om uw privacyverklaring en om wat u ouders vertelt over het leerlingvolgsysteem en de digitale leermiddelen.
- Inzageverzoeken die blijven liggen. De grootste categorie. De AVG geeft u in beginsel één maand — daarna bent u simpelweg te laat.
- Gegevens die niet verwijderd worden. Oud-leerlingen, vertrokken medewerkers, foto’s op de schoolwebsite: het recht op vergetelheid stopt niet bij de uitschrijving.
- Datalekken. Veel meldingen, met een zwaartepunt in de zorg — maar het onderwijs kent dezelfde afhankelijkheid van een handvol leveranciers.
- Cameratoezicht en cookies. Twee onderwerpen die op scholen structureel onderschat worden: de camera’s in en om het gebouw, en de trackers op uw website.
De AP is uitgesproken over het inzagerecht. Begin 2026 onderzocht de toezichthouder hoe goed organisaties dat recht naleven; deze zomer beoordeelt de AP of boetes nodig zijn om het inzagerecht duurzaam te verbeteren. In de rapportage staat ook een sprekend voorbeeld: een organisatie die betrokkenen liet betalen om hun eigen gegevens in te zien, kreeg een officiële waarschuwing.
En precies daar is het onderwijs kwetsbaar. Niet omdat scholen onwillig zijn, maar omdat een inzageverzoek zelden bij één systeem blijft: het leerlingdossier, de mailbox van de mentor, het LVS, de zorgcoördinator, de leverancier. Zonder vaste route is die ene maand zo voorbij. En anders dan bij een commerciële dienst kan een ouder niet uitwijken naar een andere aanbieder — klachten over publieke organisaties noemt de AP daarom extra zorgelijk.
Hoe wij dat voor u regelen.
Wij leggen de afhandeling van privacyrechten vast als werkend proces, niet als paragraaf in een beleidsstuk: een vaste route voor inzage-, correctie- en verwijderverzoeken, met termijnbewaking en een dossier dat u achteraf kunt laten zien. Ons systeem houdt bij welke gegevens waar staan — in uw eigen systemen én bij uw leveranciers — zodat een verzoek niet elke keer een zoektocht wordt. Uw vaste Privacy/Security Officer handelt de lastige verzoeken met u af, toetst uw privacyverklaring, cookiebanner en cameratoezicht, en zorgt dat uw medewerkers een verzoek herkennen op het moment dat het binnenkomt.
