Autoriteit Persoonsgegevens waarschuwt voor schaduw-ICT in onderwijs
Een recent sectorbeeld van het Nederlandse onderwijs door de Autoriteit Persoonsgegevens (AP) werpt een licht op de complexe relatie tussen digitalisering, privacy en de bescherming van persoonsgegevens binnen de diverse onderwijsinstellingen, variërend van basisscholen tot hogescholen en universiteiten.
Maatschappelijke uitdagingen vormen ook privacy-uitdagingen geven voor de onderwijssector, zegt de AP. Zo vragen algoritmes en artificiële intelligentie (AI) nu om nieuw beleid en een gesprek over de wenselijkheid ervan. Ook is er weinig grip op software binnen onderwijsinstellingen blijft veel rond het gebruik van persoonsgegevens voor wetenschappelijk onderzoek onduidelijk.
Kunstmatige intelligentie en learning analytics
Een van de centrale thema’s in het rapport is de toegenomen inzet van digitale technologieën en algoritmes, versneld door de COVID-19-pandemie. Deze ontwikkeling biedt zowel kansen als significante risico’s, voornamelijk op het gebied van privacy en gegevensbescherming. Het rapport benadrukt de noodzaak voor onderwijsinstellingen om zorgvuldig beleid te formuleren rondom de inzet van kunstmatige intelligentie en learning analytics, waarbij de privacy van studenten en personeel voorop moet staan.
Word abonnee
Hiermee verstrekt u, tenzij u werknemer bent van een instelling of organisatie met een partnerschap of collectief abonnement, een eenmalige machtiging voor €85 (incl. 9% BTW). Die machtiging incasseren wij per medio maart. Uw machtiging wordt dan omgezet in een exclusief jaarabonnement. Meer informatie vindt u onderaan deze pagina.
ScienceGuide behandelt persoonsgegevens vertrouwelijk en conform de Algemene Verordening Gegevensbescherming (AVG). De door u verstrekte persoonsgegevens worden alleen gebruikt om abonnering op ScienceGuide mogelijk te maken en u daarover op de hoogte te houden. Uw persoonsgegevens worden door ScienceGuide niet voor commerciële doeleinden gebruikt en niet aan derden verstrekt.
Door de opkomst van adaptieve leermiddelen en learning analytics hebben onderwijsinstellingen steeds meer gegevens over het gedrag en de ontwikkeling van leerlingen en studenten tot hun beschikking. Deze gegevens kunnen waardevolle inzichten en mogelijkheden bieden om meer gedifferentieerd onderwijs aan te bieden dat rekening houdt met de behoeften van individuele leerlingen en studenten, beseft de AP. Daarnaast komt er steeds meer aanbod op de markt om geautomatiseerde toetsen te ontwikkelen en studenten middels algoritmes en kunstmatige intelligentie te beoordelen.
Bespreek de software met studenten
Het gebruik van dit soort gegevens en diensten kan behulpzaam zijn, maar het kan de ontwikkeling van leerlingen en studenten ook schaden. “Denk aan verkeerde interpretatie van data, vooringenomenheid (bias) of het verlies van controle over persoonsgegevens. Soms is de werking van deze systemen niet transparant, mede door de complexiteit van nieuwe vormen van AI”, zegt de AP. Ook ethische vraagstukken, zoals de autonomie van docenten, leraren, leerlingen en studenten, diversiteit en kansengelijkheid moeten hierbij aandacht krijgen. Het is volgens de waakhond eveneens van belang om deze risico’s waar geschikt te bespreken met studenten.
De autonome positie van docenten maakt het voor instellingen moeilijk om volledige controle te houden over alle gegevensverwerkingen waarvoor zij verantwoordelijk zijn, concludeert de AP. Docenten kunnen vaak zelf eigen software te kiezen, waardoor een wildgroei aan apps en software dreigt. Dit leidt tot de vorming van schaduw-ICT-systemen binnen de instellingen, waarschuwt de AP.
Het rapport benadrukt dat het gebruik van dergelijke software en apps onderwijskundig weliswaar waardevol kan zijn, dit niet ten koste mag gaan van de privacy. Het risico bestaat nu dat persoonsgegevens door datalekken in verkeerde handen vallen of dat leveranciers de gegevens voor eigen doeleinden gebruiken. Daarom wordt aanbevolen dat onderwijsinstellingen, met name de schoolbesturen, instellingsbreed beleid ontwikkelen om dergelijke niet-officiële software en apps in kaart te brengen en waar nodig maatregelen te nemen om ervoor te zorgen dat het gebruik ervan in overeenstemming is met de Algemene Verordening Gegevensbescherming (AVG).
Pseudonimiseren is geen anonimisering
In het sectorbeeld wordt specifiek aandacht besteed aan de verwerking van persoonsgegevens bij wetenschappelijk onderzoek. Een van de primaire zorgen betreft de anonimisering van gegevens. In de praktijk blijkt het vaak moeilijk te zijn om persoonsgegevens effectief te anonimiseren, mede vanwege de aard van de onderzoeksopzetten.
Zo heerst er een misvatting over het hashen of ‘pseudonimiseren’ van datasets, wat soms onterecht wordt gezien als een vorm van anonimisering. De AP benadrukt anderzijds dat de AVG weliswaar de voorkeur geeft aan geanonimiseerde gegevens bij wetenschappelijk onderzoek, maar dit geen algeheel verbod inhoudt op het gebruik van niet-anonieme gegevens. Belangrijk is dat de noodzaak hiervoor duidelijk kan worden onderbouwd en ook aan alle overige AVG-vereisten wordt voldaan.
Verder zijn er veel vragen rondom het ‘hergebruik’ van persoonsgegevens in het wetenschappelijk onderzoek. Dit betreft zowel het hergebruik van gegevens die oorspronkelijk voor andere doeleinden zijn verzameld als het hergebruik van gegevens die zijn verzameld voor specifieke onderzoeksprojecten maar later voor andere projecten worden ingezet. Bij hergebruik moet een instelling de AVG-grondslag opnieuw bepalen en is er een informatieplicht tegenover de betrokken personen. Onzekerheid over de gewenste omgang hiermee, veroorzaakt door een gebrek aan kennis en vaardigheden, leidt tot veel onzekerheid bij de betrokken partijen, zo stelt de AP vast.
Positieve trend van toenemende samenwerking
De Autoriteit Persoonsgegevens erkent de inspanningen van de onderwijssector om privacy compliance te verbeteren, bijvoorbeeld door het ontwikkelen van sectorbrede normenkaders en het verhogen van het bewustzijn rondom gegevensbescherming. Er wordt ook gewezen op de positieve trend van toenemende samenwerking binnen de sector om gezamenlijk aan de AVG te voldoen.
Ondanks deze inspanningen blijft er ruimte voor verbetering. De AP roept onderwijsinstellingen op om proactief te werken aan het versterken van hun beleid en praktijken op het gebied van gegevensbescherming. Dit omvat niet alleen technische en organisatorische maatregelen, maar ook het vergroten van het bewustzijn en de kennis over privacy bij zowel personeel als studenten, aldus de AP.
