Maandag 9 november Plenair Titel: Learning analytics op de pijnbank van de privacywet Spreker(s): Arnoud Engelfriet Zaal: Rotterdam Hall

1. Learning analytics op de
pijnbank van de privacywet
Mr.ir. A.P. Engelfriet,
Partner bij ICTRecht.nl
a.engelfriet@ictrecht.nl / 020‐663 1941

2. Beeld: “Sunside”, Flickr, CC‐BY

3. Het recht met rust gelaten te worden

5. Verwerking van persoonsgegevens

6. Persoonsgegevens
Persoonsgegeven: elk
gegeven betreffende een
geïdentificeerde of
identificeerbare
natuurlijke persoon.
Direct
Indirect
Art. 1(a) Wbp

7. Bijzondere persoonsgegevens
Persoonsgegevens betreffende iemands
godsdienst of levensovertuiging, ras,
politieke gezindheid, gezondheid, seksuele
leven, lidmaatschap van een vakbond en
strafrechtelijke persoonsgegevens.
Art. 16 Wbp

8. Persoonsgegevens bij Learning Analytics(?)
 Studentnummer (zonder naam)
 Verzameling cijfers/resultaten van één student
(zonder studentnummer)
 Gemiddelde tijd voor doorlopen online toets
 Het gegeven: “Alle deelnemers aan dit vak zijn man”
 De ingangseis “U dient niet kleurenblind te zijn”
 De postcode 9951 TC

10. N ≥ 12 (?)

11. Grondslagen
 Toestemming
 Uitvoering overeenkomst
 Wettelijke plicht
 Vitale belangen betrokkenen
 Uitvoering overheidstaak
 Gerechtvaardigd eigen belang
 (Wetenschappelijk en
statistisch onderzoek)
Art. 8 Wbp

12. Toestemming
Elke
vrije,
specifieke en
op informatie
berustende
wilsuiting waarmee de
betrokkene aanvaardt
dat hem betreffende
persoonsgegevens
worden verwerkt.
Art. 1(i) Wbp

15. Uitvoering overeenkomst
De gegevensverwerking
[is] noodzakelijk voor de
uitvoering van een
overeenkomst tussen
verantwoordelijke en
betrokkene, inclusief
precontractuele
maatregelen.

16. Noodzakelijk of handig?
“Het niet inchecken maar het slechts
laten uitlezen van de OV‐chipkaart
door de conducteur is dan ook niet
meer voldoende om op basis van een
geldig vervoersbewijs met het
studentenreisrecht te kunnen reizen.
(…) Een conducteur moet [],
bijvoorbeeld op de dagen waarin de
vrij reizenperiode overgaat in de
40%‐reductieperiode en vice versa,
middels het moment (tijdstip) van
inchecken kunnen vaststellen of de
reis de vrij reizen periode of de 40%‐
reductie periode betreft. Het uitlezen
van het type studentenreisrecht door
de conducteur is dan onvoldoende.”

17. Wettelijke plicht
De gegevensverwerking
[is] noodzakelijk om een
wettelijke verplichting na
te komen waaraan de
verantwoordelijke
onderworpen is.

18. Uitvoering overheidstaak
De gegevensverwerking
[is] noodzakelijk voor de
goede vervulling van een
publiekrechtelijke taak
door het desbetreffende
bestuursorgaan dan wel
het bestuursorgaan
waaraan de gegevens
worden verstrekt.

19. Gerechtvaardigd eigen belang
 Toestemming vragen is
niet realistisch
 Legitiem eigen belang
 Noodzakelijk voor belang
 Proportioneel gezien privacy
van anderen
 Zo mogelijk opt‐out
College bescherming persoonsgegevens z2010‐01467
Foto: Cory Doctorow, CC‐BY‐SA

20. (Wetenschappelijk en statistisch onderzoek)
Verdere verwerking van de
gegevens voor historische,
statistische of wetenschappelijke
doeleinden, wordt niet als
onverenigbaar beschouwd, indien
de verantwoordelijke de nodige
voorzieningen heeft getroffen ten
einde te verzekeren dat de
verdere verwerking uitsluitend
geschiedt ten behoeve van deze
specifieke doeleinden.
Art. 9 Wbp

21. Grondslag voor Learning Analytics?
 Uitvoering onderwijsovereenkomst
Welke overeenkomst is dit?
Waarom is LA daarvoor verplicht?
 Wettelijke plicht
Wet HOWO is niet erg specifiek
Waarom is LA daarvoor verplicht?
 Eigen dringend belang
Belangenafweging
Opt‐out?
 Toestemming vragen
Hoe werkbaar is dit?

22. Doelbinding
Persoonsgegevens worden voor
welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde
doeleinden verzameld.
Persoonsgegevens worden niet
verder verwerkt op een wijze die
onverenigbaar is met de
doeleinden waarvoor ze zijn
verkregen.
Art. 7 Wbp Art. 9 Wbp

23. Bewaartermijn
Persoonsgegevens worden niet
langer bewaard in een vorm die
het mogelijk maakt de betrokkene
te identificeren, dan noodzakelijk
is voor de verwerkelijking van de
doeleinden waarvoor zij worden
verzameld of vervolgens worden
verwerkt.
Geen harde termijnen in Wbp
Anonimiseren of verwijderen
Uitzondering voor statistisch of
wetenschappelijk onderzoek
Art. 10 Wbp

24. Besluitvorming door persoonsgegevens
Niemand kan worden
onderworpen aan een besluit
waaraan voor hem
rechtsgevolgen zijn verbonden of
dat hem in aanmerkelijke mate
treft, indien dat besluit alleen
wordt genomen op grond van een
geautomatiseerde verwerking van
persoonsgegevens bestemd om
een beeld te krijgen van bepaalde
aspecten van zijn persoonlijkheid.
Art. 42 Wbp

25. Besluitvorming(?) bij Learning Analytics
 Toekennen cijfer
 Detecteren van fraude
 Aanraden extra materiaal doornemen
 Verplicht extra materiaal doornemen
 Uitsluiten van optioneel vervolgvak
 Uitsluiten van verplicht vervolgvak

26. Uitbesteden van verwerking
Betrokkene
Bewerker
Verantwoor‐
delijke
Bepaalt
doel en middelen
van verwerking
Verwerkt
uitsluitend
in opdracht van
verantwoordelijke
Art. 14 Wbp
Bewerkers‐
overeenkomst

27. Inhoud bewerkersovereenkomst
❏ Introducerende bepalingen
❏ Doeleinden van verwerking
❏ Verplichtingen van bewerker
❏ Doorgifte persoonsgegevens
❏ Garanties
❏ Beveiliging
❏ Datalekmeldplicht
❏ Verzoeken van betrokkenen
❏ Intellectueel eigendom
❏ Vrijwaringen
❏ Geheimhouding
❏ Duur, verlenging en opzegging
❏ Wijzigen van de overeenkomst
❏ Rechtskeuze en forumkeuze
❏ Slotbepalingen

28. Recht van informatie
Worden er
persoonsgegevens
verwerkt?
Zo ja, welke:
 Volledig overzicht
 Omschrijving van doel
 Categorieën van
gegevens
 Informatie over
herkomst
Art. 35 Wbp

29. Recht van informatie
Desgevraagd doet de
verantwoordelijke
mededelingen omtrent
de logica die ten
grondslag ligt aan de
geautomatiseerde
verwerking van hem
betreffende gegevens.
Art. 35 Wbp

30. Recht van correctie en verwijdering
 Verbeteren
 Aanvullen
 Verwijderen of afschermen
Indien
 Feitelijk onjuist
 Onvolledig
 Niet meer ter zake dienend
 In strijd met Wbp verwerkt
Art. 36 Wbp

31. Beveiliging
De verantwoordelijke legt
passende
technische en
organisatorische
maatregelen
ten uitvoer om
persoonsgegevens te
beveiligen tegen verlies of
tegen enige vorm van
onrechtmatige verwerking.
Deze maatregelen
garanderen, rekening
houdend met de stand van de
techniek en de kosten van de
tenuitvoerlegging, een
passend beveiligingsniveau
gelet op de risico's die de
verwerking en de aard van te
beschermen gegevens met
zich meebrengen.
Art. 13 Wbp

32. Technische maatregelen

33. Datalekken
 Iedere vorm van
ongeautoriseerde toegang
 Niet alleen de grootschalige
hack van buitenaf
 Ook verlies van gegevens kan
een datalek zijn

34.  Melden toezichthouder als:
“may result in physical,
material or moral damage”
 Melden betrokkenen als:
“[would be] severely affected
by breach”
 Boete: €1M per overtreding
of 2% wereldwijde omzet
 In werking onzeker,
verwacht medio 2017
 Melden toezichthouder als:
“aanzienlijke kans op
ernstige nadelige gevolgen”
 Melden betrokkenen als:
“waarschijnlijk ongunstige
gevolgen”
 Boete: €810k per overtreding
of 10% Nederlandse omzet
 In werking 1/1/2016

35. Nederlandse meldplicht
De verantwoordelijke stelt
het Cbp onverwijld in kennis
van een inbreuk op de
beveiliging … die leidt tot de
aanzienlijke kans op ernstige
nadelige gevolgen dan wel
ernstige nadelige gevolgen
heeft voor de bescherming
van persoonsgegevens.
De verantwoordelijke stelt de
betrokkene onverwijld in
kennis van de inbreuk, indien
de inbreuk waarschijnlijk
ongunstige gevolgen zal
hebben voor diens
persoonlijke levenssfeer.

36. Geen meldplicht
Als verantwoordelijke
passende technische beschermingsmaatregelen
heeft genomen waardoor de persoonsgegevens
onbegrijpelijk of ontoegankelijk zijn voor eenieder
die geen recht heeft op kennisname.

37. Afsluitende discussie
16:00‐16:30