Privacy-assessment Paspoort voor Succes: één onderzoek voor de hele sector

Vanuit het programma Cyberveiligheid laten we mbo-brede assessments uitvoeren naar de privacyrisico’s van applicaties die meerdere instellingen gebruiken. Zo hoeft niet elke instelling afzonderlijk hetzelfde onderzoek te laten doen en hoeven leveranciers niet telkens dezelfde vragen te beantwoorden. Paspoort voor Succes is de meest recente van de vijftien veelgebruikte tools die op deze manier zijn onderzocht.

Digitaal overdrachtsformulier

Paspoort voor Succes is een digitaal overdrachtsdocument dat jongeren ondersteunt bij de overstap naar het mbo, vervolgonderwijs of werk. Jongeren leggen erin zelf vast wie ze zijn, wat ze kunnen, wat ze willen en welke ondersteuning ze nodig hebben. Ze kunnen het Paspoort delen met bijvoorbeeld hun mbo-opleiding, gemeente of werkgever. Een mentor kan het gebruiken bij de loopbaanoriëntatie en -begeleiding van de leerling. Bij een overstap helpt de informatie om het intakegesprek beter voor te bereiden.

Het Paspoort is in opdracht van de Doorstroompunt-regio IJssel-Vecht en Doorstroompunt-regio Noord-West Veluwe ontwikkeld door de gemeente Zwolle. Inmiddels maken steeds meer mbo-instellingen, gemeenten en andere instanties buiten deze regio’s gebruik van het overdrachtsdocument.

Twee vinkjes voor een DPIA

Niels Dutij leerde het Paspoort kennen vanuit zijn functie als functionaris gegevensbescherming bij een mbo-school waar hij werkt. Hij zag direct twee redenen om een DPIA te laten uitvoeren. ‘Bij Paspoort voor Succes kun je twee vinkjes zetten’, zegt hij. ‘Het gaat om persoonsgegevens van een grote groep jongeren én om gegevens die gevoelig kunnen zijn. Dan ben je als organisatie verplicht om te onderzoeken of je de persoonsgegevens op de juiste manier en volgens de AVG verwerkt.’

Zo’n onderzoek gebeurt aan de hand van een zogenoemde data protection impact assessment (DPIA). Die brengt de privacyrisico’s van de verwerking van persoonsgegevens in kaart en helpt een school om te bepalen met welke maatregelen ze die risico’s kan verkleinen. Bij Paspoort voor Succes gaat het bijvoorbeeld om informatie over de ondersteuning die een jongere nodig heeft of over persoonlijke omstandigheden.

Eén keer goed onderzoeken

Als privacy-expert bij het programma Cyberveiligheid mbo zag Niels ook direct de voordelen van een mbo-brede DPIA. ‘Ik hoorde dat andere mbo-instellingen en regio’s al met het Paspoort werkten of hierover nadachten. Als elke instelling een eigen DPIA zou laten uitvoeren, zou er veel werk dubbel worden gedaan. Eén mbo-brede DPIA scheelt onze sector dus veel tijd en energie.’

Paspoort voor Succes profiteert eveneens van de sectorbrede aanpak, vertelt programmamanager Daniël Meijerink, die de tool liet ontwikkelen: ‘Zeker nu meer regio’s en scholen willen aanhaken, is het fijn dat we dit intensieve traject niet telkens opnieuw hoeven te doorlopen. Want het kost veel tijd om de vragen te beantwoorden en documenten aan te leveren. Nu hadden we te maken met slechts één onafhankelijke partij, Privacy Company, die de vragen namens alle mbo-instellingen stelde.’

Specialistische kennis

De mbo-brede aanpak zorgt er daarnaast voor dat de beoordelingen worden uitgevoerd met voldoende specialistische kennis en vanuit het gezamenlijke belang van de sector. Niels: ‘Een DPIA laten uitvoeren vereist specifieke kennis en veel tijd. Niet elke instelling beschikt altijd over die kennis of tijd, maar vanuit het programma kunnen we de DPIA inhoudelijk begeleiden. Ook daarom is het logischer om het assessment één keer goed voor de hele sector te laten uitvoeren.’

Projectleider Jannette Klaver vindt de onafhankelijke blik van de specialisten van Privacy Company op Paspoort voor Succes waardevol. ‘Het gaat om jongeren in een kwetsbare fase van hun leven. Ze noteren persoonlijke dingen over zichzelf, maar overzien niet altijd wat er met hun informatie kan gebeuren. Daarom is het prettig dat een onafhankelijke partij meekijkt en controleert of we niets over het hoofd hebben gezien.’

Maatregelen om hoge risico’s te beperken

De mbo-brede DPIA bracht een aantal hoge risico’s aan het licht, bijvoorbeeld op het gebied van informatiebeveiliging. Paspoort voor Succes stelt hiervoor nu verbetermaatregelen op. ‘We leunen deels op de beveiligingsmaatregelen van de ICT-leverancier’, licht Jannette toe. ‘Dat zit technisch goed in elkaar, maar we moeten beter beschrijven hoe we dit doen, hoe we het controleren en hoe we dit in ons beleid borgen.’

Verder zijn er, zoals bij elke privacy-assessment, punten die beter kunnen. ‘Dankzij de DPIA zijn we scherper geworden op documentatie, beleid en het informeren van jongeren’, vertelt Jannette. ‘De werkwijze voor het vastleggen van toegangsrechten was bijvoorbeeld goed geregeld, maar we hadden die niet duidelijk genoeg beschreven. Dat pakken we nu op.’

Mbo-instellingen nu aan zet

De gezamenlijke DPIA neemt de verantwoordelijkheid van afzonderlijke instellingen niet over. Instellingen die het Paspoort gebruiken, moeten de aanbevelingen vertalen naar hun eigen werkwijze. Daniël: ‘Het gaat dan bijvoorbeeld over hoe lang een instelling toegang houdt tot het Paspoort en hoe ze jongeren daarover informeert.’ Hij raadt aan om regionale samenwerkingsovereenkomsten op te stellen. ‘Leg met gemeenten, scholen en werkgevers in de regio duidelijk vast wie welke rol heeft. Klop gerust bij mij aan om te horen hoe we dat in onze regio hebben geregeld.’

Niels heeft nog een andere tip: ‘Wijs binnen je instelling één eigenaar aan, zodat duidelijk is wie verantwoordelijk is. Want bij het Paspoort zijn veel mensen betrokken. Bij een grote mbo-instelling gaat het al snel om meerdere opleidingen en een groot aantal intakers en begeleiders. Je wilt niet het risico lopen dat iedereen denkt dat iemand anders het wel regelt.’

Een DPIA is meer dan een vinkje

Volgens Jannette begint het werk daarom pas nadat bestuurlijk is afgesproken dat een instelling met het Paspoort gaat werken. ‘Al die mensen moeten begrijpen wat de bedoeling is. Een jongere heeft tijd gestoken in de informatie die in het Paspoort staat. Dan moet je als intaker ook weten wat je ermee kunt. Het is geen digitaal lijstje dat je even afvinkt. Onze handleidingen, communicatiemiddelen en trainingen helpen instellingen om het Paspoort goed te implementeren.’

Daniël sluit af: ‘Het gaat er uiteindelijk om dat jongeren op een passende plek terechtkomen en zich goed kunnen ontwikkelen. Dankzij deze mbo-brede DPIA kunnen zij erop vertrouwen dat de betrokken organisaties zorgvuldig omgaan met de vertrouwelijke gegevens die ze in Paspoort voor Succes noteren.’