Als je met een distributeur werkt, is het dan voldoende om met de distributeur een verwerkersovereenkomst af te sluiten en niet met de uitgevers (dat moet de distributeur maar verder regelen)?

Dit is een ingewikkelde vraag. Je zou zeggen dat het gaat om subbewerkers en dat de hoofdbewerker daar maar afspraken mee moet maken. Maar daar kan je ook anders tegenaan kijken. Het punt van het maken van afspraken met uitgevers door de distributeurs namens de scholen, zoals ze dat zelf stelden is niet het meest wenselijk. Weliswaar ondersteunen de distributeurs, met de beste bedoelingen, scholen door voor hen contracten af te sluiten met leveranciers. Maar het juridisch probleem daarbij is dat ze op de stoel van de bestuurder (bevoegd gezag) gaan zitten: de distributeurs besluit welke gegevens er worden uitgewisseld, én ze sommeren de uitgevers om met hen verwerkersovereenkomsten af te sluiten. De distributeur positioneert de uitgever inderdaad als een subbewerker van zichzelf. Dit sluit echter niet aan bij de werkwijze die juist in het Privacy Convenant is afgesproken: het bevoegd gezag is de verantwoordelijke, en die beschermt de privacy van leerlingen. Dat kan alleen als het bestuur zélf volledige zeggenschap heeft en houdt over de leerlinggegevens. Daarbij wordt het door de PO-Raad en VO-raad als zeer onwenselijk ervaren dat distributeurs de uitgevers als onderaannemer (subbewerker) gingen zien: de school verliest daarmee ook controle over koppelingen en mogelijk zelfs over de didactische inhoud. De distributeur heeft – wat de raden betreft – een beperkte bemoeienis met de inhoud van het onderwijs. De werkwijze van de distributeurs sluit daar niet bij aan. De distributeurs hebben hun werkwijze aangepast, maar met de toezegging dat zij niet aansprakelijk/verantwoordelijk kunnen zijn voor de leerlinggegevens die zij – in opdracht van de scholen – doorgeven aan de uitgevers. Daarom zijn er in het Edu-K overleg op bestuurlijk niveau afspraken gemaakt tussen de verschillende leveranciers van scholen. De afspraken zijn opgenomen in het Privacy Convenant 3.0. (www.privacyconvenant.nl)

Dus: een distributeur maakt geen afspraken met een uitgever, dit doet de onderwijsinstelling zelf. Aanvullingen op de bepalingen in de privacy bijsluiten bij de verwerkersovereenkomst zijn beschikbaar.