Verwerkte persoonsgegevens
Bij de uitvoering van deze verwerkingen worden verschillende soorten persoonsgegevens verzameld en verwerkt. Deze gegevens kunnen worden onderverdeeld in twee categorieën:
- Gebruikers van de applicatie: Dit omvat de persoonsgegevens van de doelgroep, zoals device IDs, IP-adressen, en gegevens gerelateerd aan interacties met advertenties en content.
- Medewerkers en studenten: Dit betreft de persoonsgegevens van medewerkers en studenten die herkenbaar zijn in de gecreëerde content, waaronder naam, afbeelding, en mogelijk andere identificerende informatie.
De onderwijsinstelling maakt gebruik van een toestemmingsformulier om de benodigde toestemming van betrokkenen te verkrijgen voor het verwerken van hun persoonsgegevens. Dit formulier stelt betrokkenen in staat om expliciet toestemming te geven voor het gebruik van hun gegevens in de marketingcontent.
Marketingdoeleinden
De primaire doelstelling van het gebruik van de social media applicatie is om een groter bereik te creëren onder potentiële studenten. De onderwijsinstelling heeft daarbij de volgende subdoelen geformuleerd:
- Delen van content: Het beschikbaar maken van informatieve en promotionele content voor de doelgroep.
- Gerichte advertenties: Het tonen van advertenties aan de doelgroep die actief gebruik maakt van de social media applicatie.
Wat zijn de risico’s & maatregelen?
Het gebruik van een social media applicatie voor marketingdoeleinden door onderwijsinstellingen brengt aanzienlijke risico's met zich mee, vooral op het gebied van privacy en gegevensbescherming. In dit hoofdstuk bespreken we de geïdentificeerde hoge risico’s van de AP en de voorgestelde maatregelen om deze risico's te beperken.
Geïdentificeerde hoge risico’s
Uit de Data Protection Impact Assessment (DPIA) die door de onderwijsinstelling is uitgevoerd, zijn vijftien risico’s naar voren gekomen. Van deze risico’s zijn er vier als ‘hoog risico’ geclassificeerd. 1 risico hiervan is vertrouwelijk, de volgende 3 risico’s zijn als volgt:
- Verlies van controle door medewerkers (R9): Medewerkers die de social media applicatie gebruiken voor marketingdoeleinden kunnen de controle over hun persoonsgegevens verliezen. Dit kan gebeuren wanneer hun gegevens zonder hun medeweten of zonder rechtsgeldige toestemming worden verwerkt.
- Verlies van controle bij mensen die onderdeel zijn van de content (R11): Medewerkers die herkenbaar in de marketingcontent verschijnen kunnen de controle over hun persoonsgegevens verliezen als deze gegevens worden verwerkt zonder rechtsgeldige toestemming.
- Doorgifte van persoonsgegevens naar derde partijen (R12): Het risico R12, hoewel gemarkeerd als vertrouwelijk in het document, lijkt betrekking te hebben op de doorgifte van persoonsgegevens naar de partij [VERTROUWELIJK]. Dit impliceert een zorg over de mogelijkheid dat persoonsgegevens worden doorgegeven aan derde partijen zonder voldoende passende waarborgen, wat kan inhouden dat deze doorgifte mogelijk naar een derde land plaatsvindt.
- Gebrek aan informatie en toestemming van betrokkenen (R15): Gebruikers van de applicatie kunnen onvoldoende geïnformeerd zijn over de verwerking van hun persoonsgegevens en hebben mogelijk niet de gelegenheid om rechtsgeldige toestemming te geven voor verdere verwerkingen door de ontwikkelaar van de applicatie.
Beperkende maatregelen
Om de geïdentificeerde risico’s te mitigeren, heeft de onderwijsinstelling verschillende maatregelen voorgesteld. Hieronder worden de belangrijkste maatregelen besproken:
- Beheer door derde partij voor risico R9: Het beheer van de activiteiten op de social media applicatie wordt uitgevoerd door een derde partij. Hierdoor hoeven de medewerkers van de onderwijsinstelling zelf geen gebruik te maken van de applicatie, wat het risico op verlies van controle over hun persoonsgegevens vermindert.
- Aanpassing toestemmingsformulier voor risico R11: Het toestemmingsformulier wordt zodanig aangepast dat het voldoet aan de vereisten voor rechtsgeldige toestemming. Dit houdt in dat de betrokkenen duidelijk worden geïnformeerd over de verwerkingen en expliciet toestemming kunnen geven. Hierbij wordt ook rekening gehouden met mogelijke verdere verwerkingen door de ontwikkelaar van de applicatie.
- Passende waarborgen voor doorgifte naar derde partijen voor risico R12: De onderwijsinstelling zorgt ervoor dat er passende waarborgen zijn getroffen voordat persoonsgegevens naar derde partijen worden doorgegeven. Dit omvat het gebruik van standaardcontractbepalingen (Standard Contractual Clauses, SCC's) en andere mechanismen die voldoen aan de AVG-vereisten voor doorgifte naar derde landen.
- Informatievoorziening aan betrokkenen voor risico R15: Betrokkenen worden uitgebreid geïnformeerd over de verwerking van hun persoonsgegevens via de social media applicatie. Dit gebeurt door middel van een helder en volledig toestemmingsformulier, waarin ook de mogelijke verdere verwerkingen door de ontwikkelaar van de applicatie worden uitgelegd. Hierdoor kunnen betrokkenen een geïnformeerde beslissing nemen over hun toestemming.
Evaluatie van de maatregelen
Hoewel de voorgestelde maatregelen verschillende risico’s aanzienlijk kunnen beperken, blijft er mogelijk een restrisico bestaan, vooral voor risico’s waarvan de details vertrouwelijk zijn en niet volledig kunnen worden geverifieerd.
Wat betekent dit voor andere onderwijsinstellingen?
Hoewel de AP het verzoek om voorafgaande raadpleging buiten behandeling heeft gesteld omdat het niet voldeed aan de formele eisen van artikel 36 van de AVG, heeft de AP toch bij uitzondering advies gegeven. Dit betekent niet dat onderwijsinstellingen per definitie verplicht zijn om maatregelen te nemen zoals voorgesteld door de AP om sociale media te gebruiken. Echter, het advies biedt wel nuttige richtlijnen die onderwijsinstellingen kunnen helpen bij het verantwoord en AVG-conform gebruik van sociale media. Het is in hun eigen belang om deze richtlijnen te volgen om de privacy van hun studenten en medewerkers te waarborgen en mogelijke juridische risico's te vermijden.
Bronnen
- https://autoriteitpersoonsgegevens.nl/actueel/
- https://autoriteitpersoonsgegevens.nl/documenten/
- https://www.ictrecht.nl/blog/
