Dat schrijft de AP in een advies aan een onderwijsinstelling die een bepaald socialemediaplatform wilde inzetten.* De onderwijsinstelling wilde onder meer met toestemming van studenten en docenten hun foto’s en verhalen posten op het sociale medium. Bijvoorbeeld om nieuwe studenten te trekken en te communiceren met de huidige studenten.

Flinke risico’s

De AP constateert in het advies dat er flinke risico’s kunnen zijn. AP-voorzitter Aleid Wolfsen: ‘Sociale media zijn bedrijven met eigen belangen. Bijvoorbeeld het verkopen van advertenties gebaseerd op nauwkeurige profielen van mensen. Wellicht inclusief gegevens over hun gezondheid, politieke voorkeur en andere zeer persoonlijke zaken. Weet jij zeker wat dat bedrijf doet met de data van jouw studenten en docenten? En weet je zeker dat die dat oké vinden? Dat moet duidelijk zijn. Zo niet: begin er dan niet aan of stop er direct mee. Want er is een grote kans dat je de wet overtreedt.’

Verantwoordelijkheid

Zo moet duidelijk zijn welke partij verantwoordelijk is voor de naleving van de Algemene verordening gegevensbescherming (AVG). Wie verwijdert een foto zodra een student dat wil? Wie zorgt ervoor dat de foto niet voor iets anders wordt gebruikt? Wolfsen: ‘Je moet weten waar je aan kunt kloppen als jij je recht wil halen. Is dat bij je school of universiteit? Of is dat bij het socialemediabedrijf? Dat moet duidelijk zijn.’

Veilig bewaren

Ook is het belangrijk dat het platform de persoonsgegevens veilig bewaart. Is dat buiten de Europese Economische Ruimte, dan moet het niveau van gegevensbescherming vergelijkbaar zijn met dat van de AVG. Er zijn verschillende manieren om te zorgen dat persoonsgegevens veilig zijn, ook in landen die geen wet als de AVG kennen. Vaak houdt dit in dat de onderwijsinstelling afspraken moet maken met het platform, maar soms is ook dat niet genoeg. Dan is het verboden om het platform te gebruiken. In landen waar de rechtsstaat niet goed gewaarborgd is, is het zeer de vraag of zulke afspraken stand houden. Het is dan ook zeer twijfelachtig of het rechtmatig is daar persoonsgegevens van mensen in de EU op te slaan.

Toestemming vragen

Tot slot is het belangrijk dat een onderwijsinstelling studenten en docenten op de juiste manier toestemming vraagt voor het gebruik van hun persoonsgegevens. Dat betekent onder meer dat mensen precies moeten weten waarvoor ze toestemming geven. ‘Dus óók wat het socialemediabedrijf allemaal doet met jouw gegevens. Maakt het bedrijf een profiel van jou om dat te verkopen aan adverteerders? Dat moet zwart-op-wit staan. En mensen moeten per punt kunnen kiezen of zij daar wel of geen toestemming voor geven. Anders is de toestemming ongeldig.’

Advies geldt voor iedereen

De AP adviseert alle onderwijsinstellingen in Nederland hun socialemediagebruik tegen het licht te houden. En waar nodig afspraken te maken met de platforms die ze gebruiken. Wolfsen: ‘Dat is eerder gelukt in het onderwijs, met het gebruik van software van Google. Maar lukt dat niet, denk dan aan de veiligheid van de gegevens van je studenten en personeel. Neem je verantwoordelijkheid.’

*De AP publiceert de naam van de onderwijsinstelling niet, omdat organisaties zich vrij moeten voelen advies aan de AP te vragen zonder dat dit publiek wordt gemaakt. Daarnaast publiceert de AP de naam van het betreffende sociale medium niet. De AP kiest ervoor om dit advies in algemene zin te publiceren, aangezien dit advies geldt voor  de inzet van alle sociale media en niet alleen voor de inzet van het sociale medium waarover de onderwijsinstelling advies heeft gevraagd. Daarnaast is het advies van groot belang voor álle onderwijsinstellingen en vergelijkbare organisaties in Nederland.