Onderwijsinstellingen beschikken over een schat aan data, zoals kenmerken van studenten en leerlingen, studieresultaten en evaluaties, en gegevens over aanwezigheid. Dit soort data is heel interessant voor onderzoekers, aangezien het waardevolle inzichten kan opleveren waarmee het onderwijs(beleid) kan worden verbeterd, uitval kan worden verminderd of welzijn van studenten kan worden gemonitord. Door deze data te analyseren, kunnen onderzoekers en onderwijsinstellingen gerichter bepalen hoe het welzijn en studiesucces van studenten concreet kan worden verbeterd.
De betreffende data bevatten doorgaans informatie over geïdentificeerde of identificeerbare studenten, waardoor deze data als persoonsgegevens moeten worden aangemerkt. Dit betekent dat de Algemene verordening gegevensbescherming (AVG) van toepassing is. Een directe vraag die hieruit voortvloeit is wanneer onderwijsinstellingen persoonsgegevens van studenten met externe onderzoekers mogen delen voor het uitvoeren van onderzoek.
Om deze vraag te beantwoorden worden een aantal voorwaarden voor het verantwoord delen van studentgegevens in het kader van onderzoek in dit blog toegelicht.
Rolverdeling bij onderzoekssamenwerkingen
Voordat we verder ingaan op de voorwaarden voor het delen van persoonsgegevens voor onderzoek, is het van belang te benadrukken dat een samenwerking tussen externe onderzoekers en onderwijsinstellingen verschillende vormen kan aannemen. Een onderzoek kan immers door zowel een externe onderzoeker als een onderwijsinstelling apart worden geïnitieerd, of gezamenlijk worden opgezet. Beide partijen kunnen daarbij in verschillende AVG-hoedanigheden optreden. In dit geval zal worden uitgegaan van een situatie waarin sprake is van gezamenlijke verwerkingsverantwoordelijkheid. Deze situatie dient zich voor wanneer een onderzoek geheel in samenwerking tussen twee of meer externe onderzoekers en onderwijsinstellingen wordt opgestart, en het doel en de middelen van dit onderzoek gezamenlijk worden bepaald.
De randvoorwaarden onder de AVG
Onderzoekers en onderwijsinstellingen mogen niet zonder meer alle beschikbare persoonsgegevens van studenten delen en gebruiken ten behoeve van onderzoek. De AVG stelt immers duidelijke grenzen aan het verwerken van persoonsgegevens. Hiermee wordt het uitvoeren van onderzoek echter niet per definitie uitgesloten.
In de AVG zijn een aantal voorwaarden vastgelegd waaronder op een verantwoorde manier met persoonsgegevens kan worden omgegaan. Deze voorwaarden zijn dan ook aan de orde bij het delen van persoonsgegevens voor het uitvoeren van onderzoek. Aangezien het geheel aan voorwaarden te omvangrijk is om in dit blog te bespreken, zal specifiek worden ingegaan op de voorwaarde dat elke verwerking – en dus ook het delen – van persoonsgegevens moet zijn gebaseerd op een passende verwerkingsgrondslag.
In de praktijk blijkt het voor externe onderzoekers en onderwijsinstellingen immers vaak een uitdaging om aan deze voorwaarde te voldoen, waardoor het delen en gebruiken van persoonsgegevens voor onderzoeksdoeleinden al snel als een juridisch mijnenveld kan worden ervaren. Hieronder wordt daarom in meer detail toegelicht welke verwerkingsgrondslagen in welke situatie van toepassing zijn op onderzoeken met persoonsgegevens van studenten, zodat deze persoonsgegevens op verantwoorde wijze als goudmijn kunnen worden benut.
De meest passende verwerkingsgrondslag
Wanneer een externe onderzoeker en een onderwijsinstelling gezamenlijk een onderzoek opstarten, moeten zij ook gezamenlijk bepalen op welke verwerkingsgrondslag het betreffende onderzoek kan worden gebaseerd. Op basis van deze verwerkingsgrondslag mag de onderwijsinstelling vervolgens persoonsgegevens met de externe onderzoeker delen. Hierbij geldt dat de meest passende verwerkingsgrondslag moet worden geselecteerd. Dit kan in de praktijk leiden tot een uitdagende afweging tussen verschillende mogelijkheden.
In veel gevallen wordt er aan studenten toestemming gevraagd voor het delen (en verder verwerken) van hun persoonsgegevens voor onderzoek. Het vragen van toestemming is echter niet altijd de meest passende en praktische verwerkingsgrondslag. Behalve dat toestemming vrijelijk, specifiek, ondubbelzinnig en geïnformeerd moet worden gegeven, vereist de AVG tevens dat toestemming te allen tijde weer moet kunnen worden ingetrokken. De mogelijkheid om toestemming in te trekken, houdt in dat studenten op elk moment hun persoonsgegevens van het onderzoek kunnen uitsluiten. Wanneer gedurende de loop van het onderzoek bepaalde persoonsgegevens niet meer mogen worden gebruikt, kan dit het onderzoek verstoren of leiden tot onbetrouwbare resultaten. Om deze reden ligt het vragen van toestemming niet altijd voor de hand en is het raadzaam om andere mogelijke verwerkingsgrondslagen te overwegen.
Als alternatief kunnen publieke onderwijsinstellingen bij een samenwerking voor onderzoek vaak aansluiting vinden bij de verwerkingsgrondslag taak van algemeen belang, wanneer het onderzoeksdoel voortvloeit uit wettelijke taken of verplichtingen. Bijvoorbeeld bij een onderzoek naar uitval in het eerste studiejaar, met als doel het onderwijs te verbeteren. Dit sluit immers aan bij de wettelijke taak van publieke onderwijsinstellingen om kwalitatief goed onderwijs te bieden. Deze verwerkingsgrondslag is dus uitsluitend passend publieke onderwijsinstellingen en voor onderzoeksdoelen die te herleiden zijn naar concrete wettelijke bepalingen. Het is daarom van belang dat onderwijsinstellingen en externe onderzoekers kritisch beoordelen of zij aan deze aanvullende voorwaarden voldoen, voordat een onderzoek op deze verwerkingsgrondslag wordt gebaseerd.
In andere gevallen kan het gerechtvaardigd belang een passende verwerkingsgrondslag zijn. Hierbij moet echter ook aan drie aanvullende cumulatieve voorwaarden worden voldaan.
Als eerste moet er daadwerkelijk sprake zijn van een gerechtvaardigd belang. Vervolgens moet het delen en gebruiken van persoonsgegevens bij dit onderzoek noodzakelijk zijn om dit belang te behartigen. Hierbij moet worden nagegaan of het onderzoeksdoel in verhouding staat tot de inbreuk op de privacy van de studenten, en of het doel niet bereikt kan worden op een manier die minder ingrijpend is voor de studenten. Als laatste moet er een zorgvuldige belangenafweging plaatsvinden waarbij het onderzoeksbelang wordt afgewogen tegen de privacybelangen van studenten. Ook hierbij is het dus essentieel dat onderwijsinstellingen en externe onderzoekers een kritische afweging maken, voordat een onderzoek op deze verwerkingsgrondslag wordt gebaseerd.
Ten slotte is het van belang te benadrukken dat indien er bijzondere persoonsgegevens worden verwerkt, er tevens een passende uitzonderingsgrond moet worden vastgesteld zoals bedoeld in de AVG.
Conclusie: een bewuste keuze is goud waard
Persoonsgegevens van studenten zijn waardevol voor onderzoek binnen het onderwijs. Ze bieden inzichten die bijdragen aan verbetering van onderwijs en ondersteuning van studenten. Tegelijkertijd vraagt het delen en verder verwerken van persoonsgegevens voor onderzoek om zorgvuldige juridische afwegingen. De keuze voor een verwerkingsgrondslag is hierbij een essentieel vertrekpunt dat bepalend is voor de rechtmatigheid van het gehele onderzoek. Voor onderwijsinstellingen en externe onderzoekers is het daarom noodzakelijk om per onderzoek vooraf kritisch te beoordelen welke verwerkingsgrondslag het meest passend is, waarbij de specifieke omstandigheden van het geval steeds leidend moeten zijn.
Juist door deze afweging bewust te maken, kan verantwoord gebruik worden gemaakt van een echte goudmijn aan persoonsgegevens.
Benieuwd naar andere onderwerpen binnen data & privacy? Bekijk hier onze blogs.
