AVG en deelnemersgegevens in je online academy

Een zaaltraining levert een presentielijst op en misschien een evaluatieformulier. Een online academy levert veel meer gegevens op: naam en mailadres, inlogmomenten, voortgang per les, quizresultaten, ingeleverde opdrachten en soms opnames van oefengesprekken. Bij in-company trajecten wil de opdrachtgever daar vaak iets van terugzien. Dat is allemaal verwerking van persoonsgegevens en daarmee valt het onder de Algemene verordening gegevensbescherming (AVG).

Deze pagina is geen juridisch advies. Ze zet op een rij welke vragen een trainingsbureau moet beantwoorden voordat de eerste deelnemer inlogt, met verwijzingen naar de uitleg van de Autoriteit Persoonsgegevens (AP).

Wie is verantwoordelijk en wie is verwerker

De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. De verwerkingsverantwoordelijke bepaalt waarvoor en hoe gegevens worden verwerkt. De verwerker verwerkt ze in opdracht. Volgens de AP is de feitelijke situatie leidend, ongeacht wat er in een contract staat.

Voor een academy betekent dat meestal:

De rol van de opdrachtgever verdient aandacht. Levert een werkgever een lijst deelnemers aan en wil hij resultaten terug, dan moet vastliggen wie welke beslissingen neemt over die gegevens. Neem dat op in de opdrachtbevestiging of in een aparte afspraak. Twijfel je, laat het dan toetsen door een jurist.

De verwerkersovereenkomst met je platform

De AVG verplicht een verwerkersovereenkomst als een verwerker persoonsgegevens voor je verwerkt (artikel 28, derde lid). De AP benadrukt dat beide partijen in overtreding zijn als die overeenkomst ontbreekt. Ook als de leverancier de overeenkomst opstelt, blijft je bureau verantwoordelijk.

Volgens de AP legt de overeenkomst onder meer vast:

1. Onderwerp, duur, aard en doel van de verwerking, het soort gegevens en de categorieën betrokkenen.
2. Dat de verwerker alleen op jouw instructie verwerkt en de gegevens niet voor eigen doelen gebruikt.
3. Geheimhouding en passende beveiliging.
4. Of en onder welke voorwaarden de verwerker subverwerkers mag inschakelen.
5. Hulp bij verzoeken van deelnemers, zoals inzage of verwijdering. Ook hulp bij datalekken.
6. Wat er met de gegevens gebeurt als de samenwerking stopt.
7. Medewerking aan audits.

Vraag de leverancier ook waar de gegevens staan. Skillba vermeldt op de eigen website datacenters in Nederland met dagelijkse back-up. Leg de verwerkersovereenkomst naast je eigen afspraken met opdrachtgevers, zodat die niet met elkaar in strijd zijn.

Een grondslag voor elke verwerking

De AVG kent zes grondslagen. Voor een academy zijn er vooral twee van belang.

Overeenkomst. Inschrijven, inloggen, voortgang bijhouden en toetsen nakijken zijn nodig om de training te leveren. Daarvoor kun je je baseren op de uitvoering van de overeenkomst. De AP waarschuwt wel: gegevens die niet nodig zijn voor de overeenkomst, vallen er niet onder. Daarvoor heb je een andere grondslag nodig.

Toestemming. Voor zaken die niet nodig zijn om de training te leveren, zoals een opname van een oefengesprek die je als voorbeeld wilt gebruiken, kan toestemming de grondslag zijn. Die moet volgens de AP vrij gegeven, ondubbelzinnig, geïnformeerd en specifiek zijn. Vooraf aangevinkte vakjes tellen niet. De AP wijst daarbij op machtsverhoudingen: een werknemer kan een verzoek van zijn werkgever moeilijk weigeren. Dat speelt bij in-company trajecten.

Bepaal de grondslag voordat je begint en vermeld hem in je privacyverklaring. Dat raadt de AP aan.

Veelgemaakte fout: na afloop van een in-company traject een export met namen, scores en inlogmomenten van alle deelnemers naar de opdrachtgever mailen, zonder dat dit vooraf is afgesproken of aan deelnemers verteld. Spreek bij de offerte af welke rapportage de opdrachtgever krijgt en op welk niveau. Informeer deelnemers daarover bij de start. Vaak volstaat een overzicht op groepsniveau. Meer daarover staat in rapportage voor opdrachtgevers.

Bewaartermijnen stel je zelf vast

De AVG noemt geen vaste bewaartermijn. Volgens de AP bepaalt een organisatie zelf hoe lang ze gegevens bewaart, met als uitgangspunt: niet langer dan nodig. Andere wetten kunnen wel termijnen voorschrijven, bijvoorbeeld de belastingwetgeving voor je administratie.

Stel per soort gegevens drie vragen: waarvoor heb ik dit nodig, hoe lang heb ik het daarvoor nodig en is er een wettelijke termijn? Denk aan inlog- en voortganggegevens, ingeleverde opdrachten, toetsresultaten en bewijzen van deelname, opnames en facturen. Voor bewijzen van deelname kan een langere termijn nodig zijn dan voor ingeleverd oefenwerk. De AP vraagt om de termijnen en de onderbouwing vast te leggen en ze in de privacyverklaring te vermelden. Deelnemers kunnen vragen om verwijdering als je hun gegevens niet meer nodig hebt.

Controleer ook wat het platform doet met gegevens van deelnemers van wie de toegang is verlopen. Een toegangsduur instellen is niet hetzelfde als gegevens verwijderen.

Als het misgaat: datalekken

Een datalek kan klein beginnen: een deelnemerslijst in de verkeerde mail, een account van een trainer dat wordt overgenomen. Volgens de AP kun je verplicht zijn een datalek binnen 72 uur te melden bij de AP en de betrokkenen te informeren. Je beoordeelt zelf of dat zo is. Elk datalek leg je vast in een datalekregister, ook als je het niet hoeft te melden.

Spreek met de platformleverancier af hoe snel hij een lek aan jou meldt. Dat hoort in de verwerkersovereenkomst. Beperk verder wie bij je bureau toegang heeft tot deelnemersgegevens. Een freelance trainer heeft meestal alleen de gegevens van zijn eigen groep nodig. Deze punten staan ook in de checklist voor het inrichten van je academy.

Voor opnames van deelnemers in blended programma's gelden aparte aandachtspunten, zie hybride werkvormen die werken.