Wat schoolbesturen kunnen leren van de toezichtsstrategie van de Autoriteit Persoonsgegevens
Privacy en informatiebeveiliging zijn in veel onderwijsorganisaties lange tijd benaderd als een noodzakelijk randverschijnsel. Iets voor de functionaris gegevensbescherming, de ICT-afdeling of een extern adviseur. De toezichtsstrategie en het Jaarplan 2026 van de Autoriteit Persoonsgegevens laten zien dat die benadering niet langer volstaat. De AP kiest nadrukkelijk voor een strategische, probleemgestuurde aanpak waarbij niet losse overtredingen, maar systemen met grote maatschappelijke impact centraal staan. Dat raakt het onderwijs direct .

Voor schoolbesturen betekent dit een duidelijke verschuiving. Privacy is geen uitvoeringsvraagstuk meer, maar een bestuurlijke opdracht.

 

Waarom de AP haar toezichtstrategie heeft aangescherpt
De AP positioneert zich in haar Jaarplan expliciet als toezichthouder die midden in de maatschappij staat. De digitale wereld ontwikkelt zich snel en raakt fundamentele waarden zoals persoonlijke autonomie, non-discriminatie, transparantie van macht en veiligheid van persoonsgegevens. Volgens de AP is het voorkomen en verminderen van schadelijke situaties waarin persoonsgegevens en AI een rol spelen, urgenter dan ooit .

Die context verklaart de aangescherpte toezichtstrategie. De AP kiest niet langer primair voor reactief toezicht op individuele klachten, maar voor een probleemgestuurde benadering. Daarbij richt zij zich op grootschalige systemen en toepassingen met een grote maatschappelijke impact, in zowel het publieke als het private domein .

Dat is geen toeval. De risico’s van digitalisering ontstaan steeds minder door een enkele fout, maar door structurele keuzes:

• het grootschalig verzamelen van gegevens,
• het inzetten van ondoorzichtige technologie,
• het automatiseren van besluitvorming,
• en het uitbesteden van kernprocessen aan leveranciers.

 

Juist op dat niveau wil de AP aan de voorkant invloed uitoefenen door kaders en normen te scheppen, verantwoord gebruik te stimuleren en samen te werken met organisaties en andere toezichthouders .

 

Wat dit zegt over de rol van bestuur
Een belangrijke, maar soms ongemakkelijke boodschap in het Jaarplan is dat toezicht zich steeds meer richt op governance. Niet op incidenten, maar op keuzes. Niet op de werkvloer, maar op bestuurlijk niveau.

De AP maakt expliciet dat zij organisaties aanspreekt op hun verantwoordelijkheid als verwerkingsverantwoordelijke. Daarbij gaat het niet alleen om naleving van regels, maar om de vraag of bestuurders:

• risico’s vooraf herkennen,
• belangen zorgvuldig afwegen,
• en kunnen uitleggen waarom bepaalde digitale keuzes zijn gemaakt.

 

Dat sluit aan bij de grondhouding van de AP: eerst in gesprek, guidance bieden en samenwerken, en pas handhavend optreden als dat nodig is . Die houding veronderstelt wel dat organisaties zelf zichtbaar en aanspreekbaar sturen.

Voor het onderwijs is dat een belangrijk signaal. Schoolbesturen zijn juridisch én feitelijk verantwoordelijk voor de verwerking van persoonsgegevens van leerlingen, medewerkers en ouders. Die verantwoordelijkheid verdwijnt niet door gebruik te maken van digitale leermiddelen, platforms of AI-toepassingen.

Waarom juist het onderwijs geraakt wordt
In het Jaarplan noemt de AP expliciet haar samenwerking met de Autoriteit Consument en Markt rondom digitale leermiddelen en transparantie over gegevensverwerking van leerlingen . Dat is geen los project, maar past precies in de strategische focus van de AP.

Het onderwijs is bij uitstek een sector waar:

• grote hoeveelheden persoonsgegevens worden verwerkt,
• kwetsbare groepen betrokken zijn,
• digitalisering snel gaat,
• en afhankelijkheid van commerciële leveranciers groot is.

 

Tegelijkertijd is het een sector met beperkte capaciteit en een sterke pedagogische cultuur van vertrouwen. Dat maakt het risico op structurele problemen groter, juist als governance achterblijft bij de technologie.

De AP kijkt daarom niet alleen naar wat scholen doen, maar vooral naar hoe keuzes tot stand komen. Is er beleid? Is er toezicht? Is er bestuurlijke betrokkenheid? En is er zicht op risico’s op het gebied van privacy, autonomie en discriminatie?

 

Van compliance naar bestuurlijke afweging
Een belangrijke reden waarom privacy zo nadrukkelijk in de toezichtstrategie staat, is dat klassieke compliance niet meer werkt bij complexe digitale systemen. De AP benoemt expliciet dat het bij moderne technologie, zoals AI, vaak te laat is om achteraf in te grijpen. Schade is dan al ontstaan en moeilijk te herstellen .

Daarom verschuift de focus naar de voorkant:

• vooraf nadenken over proportionaliteit,
• vooraf nadenken over alternatieven,
• vooraf nadenken over uitlegbaarheid en transparantie.

 

Voor schoolbesturen betekent dit dat privacy en informatiebeveiliging onderdeel moeten zijn van reguliere besluitvorming. Niet als vinkje achteraf, maar als expliciet aandachtspunt bij:

• de keuze voor nieuwe leermiddelen,
• de inzet van monitoring of analyse,
• samenwerkingen met externe partijen,
• en de introductie van AI in onderwijsprocessen.

 

Wat verandert er concreet de komende jaren?
De toezichtstrategie 2026–2028 en het Jaarplan 2026 maken duidelijk dat de AP haar inzet niet versnipperd, maar structureel vormgeeft. De prioriteiten massasurveillance, AI en digitale weerbaarheid lopen als een rode draad door het toezicht .

Voor het onderwijs betekent dit concreet:

• meer aandacht voor de rechtmatigheid en proportionaliteit van monitoring en dataverzameling,
• scherpere vragen over transparantie richting leerlingen en ouders,
• toenemende verwachtingen rond AI-beleid en uitleg bij geautomatiseerde toepassingen,
• en meer focus op digitale autonomie en afhankelijkheid van leveranciers.

Besturen die nu al kunnen laten zien dat zij deze thema’s strategisch benaderen, staan sterker. Niet alleen richting toezichthouders, maar ook richting medezeggenschap, ouders en samenwerkingspartners.

 

Privacy als onderdeel van goed bestuur
De belangrijkste les uit de toezichtsstrategie van de AP is misschien wel deze: privacy is geen rem op innovatie, maar een randvoorwaarde voor vertrouwen. De AP benadrukt steeds opnieuw dat zij verantwoord gebruik van technologie wil stimuleren, niet blokkeren .

Voor schoolbesturen ligt hier een kans. Door privacy en informatiebeveiliging expliciet te positioneren als onderdeel van goed bestuur ontstaat:

• meer rust in de organisatie,
• meer voorspelbaarheid bij digitale keuzes,
• en een steviger fundament voor verantwoorde innovatie.

 

De vraag is daarom niet of privacy bestuurlijke aandacht verdient, maar hoe zichtbaar en structureel die aandacht wordt georganiseerd.