Brieven van de VTC (advies ref. VTC/O/2019/01 en ref. VTC/O/2019/07) waarin deze werkwijze met een vereenvoudigde procedure voor de totstandkoming van algemene protocollen en bijbehorende mandatering aan OVSG wordt bevestigd.
Mail d.d. 26 juni 2020 aan de algemeen directeur vanwege e-Gov Oost-Vlaanderen waarbij zij adviseren dat het bestuur aan OVSG het mandaat verleent om algemene protocollen af te sluiten ten behoeve van het schoolbestuur.
Decreet van 22 december 2017 over het lokaal bestuur, artikel 40.
Decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, artikel 8.
Elke elektronische mededeling van persoonsgegevens door een instantie naar een andere instantie of naar een externe overheid vereist een protocol, afgesloten tussen de betreffende instanties.
Het schoolbestuur en zijn onderwijsinstellingen doen veelvuldig dergelijke mededelingen naar instanties zoals het Ministerie van Onderwijs en Vorming (bv. AGODI), onderwijsinspectie, Centrum voor Leerlingenbegeleiding (CLB), ondersteuningsnetwerk, scholengemeenschap, Lokaal Overlegplatform (LOP), De Lijn… en vice versa.
Deze mededelingen vloeien hoofdzakelijk voort uit reglementaire bepalingen en hebben een wettelijke grondslag.
Het Ministerie van Onderwijs en Vorming, de onderwijskoepels en het GO! hebben in samenwerking met de Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens (VTC), omwille van administratieve vereenvoudiging en planlastvermindering, algemene protocollen ontwikkeld die voor alle onderwijsinstellingen gelden.
Om dezelfde redenen wordt voorzien in een vereenvoudigde procedure waarbij de onderwijskoepels kunnen worden gemandateerd om na de onderhandelingen zowel hun Data Protection Officer (DPO) het advies te laten verlenen als het algemeen protocol te ondertekenen, in naam en voor rekening van de schoolbesturen.
De algemene protocollen worden na de ondertekening door de (gemandateerde) partijen gepubliceerd op de website van de vzw Onderwijsvereniging Steden en Gemeenten (OVSG).
Het schoolbestuur heeft na de ondertekening door de (gemandateerde) partijen drie maanden de tijd om alsnog het algemeen protocol te verwerpen (opt-out) na een negatief advies van de eigen Data Protection Officer.
De werkwijze werd goedgekeurd in de Werkgroep Informatieveiligheid VVSG van 25 november 2019.
Het schoolbestuur blijft als verwerkingsverantwoordelijke van de onderwijsinstelling gebonden door de bepalingen opgenomen in het protocol, inclusief de beveiligingsmaatregelen.
Het schoolbestuur heeft een functionaris voor gegevensbescherming (DPO) aangemeld bij de VTC en beschikt over een goedgekeurd informatieveiligheidsplan (zie de verklaring op eer in de bijlage).
Het vermelde advies VTC ref. VTC/O/2019/07 wijst erop dat de betreffende gegevensuitwisseling expliciet opgenomen moet worden in het register van verwerkingsactiviteiten, met verwijzing naar de maatregelen die worden voorzien in het algemeen protocol.
Het schoolbestuur dient de gemeenteraadsbeslissing betreffende de machtiging en een verklaring op eer (bijlage) aan OVSG te bezorgen.
zich akkoord te verklaren met de verklaring op eer als in bijlage;
OVSG te mandateren om te onderhandelen over het algemeen protocol voor de elektronische doorgifte van persoonsgegevens tussen instanties;
de Data Protection Officer van OVSG, de Onderwijsvereniging van Steden en Gemeenten, te machtigen om het verplicht advies te verlenen;
de algemeen directeur van OVSG, de Onderwijskoepel van Steden en Gemeenten, te machtigen om het protocol voor de elektronische doorgifte van persoonsgegevens tussen instanties in naam en voor rekening van het schoolbestuur te ondertekenen;
het college van burgemeester en schepenen met de beslissing te belasten over het al dan niet goedkeuren van het algemene protocol voor de elektronische doorgifte van persoonsgegevens tussen instanties en de verdere uitvoering in functie van een mogelijke opt-put na een negatief advies van de eigen Data Protection Officer.