DPIA-template — SchoolFlow
Een Data Protection Impact Assessment (gegevensbeschermingseffectbeoordeling) is verplicht wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert (art. 35 AVG). Voor verzuimregistratie op scholen is dat niet automatisch het geval, maar veel schoolbesturen — en hun FG (functionaris gegevensbescherming) — vragen er standaard om vanwege de combinatie "personeelsgegevens + systematische monitoring". Dit sjabloon is vooringevuld met de SchoolFlow-specifieke antwoorden; de school vult de organisatie-specifieke delen (rechtsgrond, FG-advies, restrisico-acceptatie) zelf aan.
1. Beschrijving van de verwerking
Doel: het efficiënt en foutloos afhandelen van personeelsverzuim: melding, roosterimpact, vervanging, communicatie en managementrapportage.
Betrokkenen: medewerkers van de school (docenten, onderwijsondersteunend personeel); indirect leerlingen (uitsluitend operationele roosterinformatie, nooit verzuimreden).
Verwerkte gegevens: zie artikel 2.3 van de verwerkersovereenkomst. Geen bijzondere persoonsgegevens (geen medische gegevens, geen diagnose).
Rechtsgrond: [in te vullen door de school — doorgaans gerechtvaardigd belang (art. 6.1.f AVG) voor bedrijfsvoering, of uitvoering van de arbeidsovereenkomst (art. 6.1.b) voor de verzuimregistratie zelf; raadpleeg de FG van de school].
Bewaartermijn: conform het Dataretentiebeleid (dataretentiebeleid.md).
2. Noodzaak en evenredigheid
- SchoolFlow registreert bewust een minimale gegevensset: geen diagnose, klachten, behandeling of medicatie (zie AVG-uitgangspunt in
avg-security.md). - Leerlingen krijgen uitsluitend neutrale roosterstatussen te zien (
Les gaat door met [vervanger],Les vervalt, etc.) — nooit een koppeling naar de reden van afwezigheid. - Toegang is rolgebaseerd: alleen roostermakers/HR/beheerders zien verzuimdetails; teamleiders zien uitsluitend continuïteitsimpact; leerlingen zien alleen roosterstatus.
3. Risico-inventarisatie
| Risico | Kans | Impact | Toelichting |
|---|---|---|---|
| Onbevoegde toegang tot verzuimgegevens | Laag | Middel | Beperkt door Row Level Security per school en rolgebaseerde toegang in het dashboard (zie Beveiligingsbijlage) |
| Datalek bij subverwerker | Laag | Middel | Zie Subverwerkerslijst; subverwerkers zijn gescreend op EU-hosting en contractuele waarborgen |
| Onbedoelde invoer van medische informatie in vrije tekstvelden | Middel | Middel | Geen invoerveld voor diagnose/klachten in het reguliere portaal; instructie aan gebruikers via UI-teksten ("geen medische informatie") |
| Zichtbaarheid van verzuimreden voor leerlingen | Laag | Hoog | Technisch uitgesloten — leerlingcommunicatie bevat uitsluitend roosterstatus, geen koppeling naar de verzuimcase |
| Te lange bewaring van historische verzuimdata | Middel | Laag | Geadresseerd in Dataretentiebeleid met concrete bewaartermijnen en een automatiseringsvoorstel (SF 20 - Privacy Retention) |
4. Maatregelen
Zie de Beveiligingsbijlage voor de volledige technische en organisatorische maatregelen (RLS, MFA voor gevoelige rollen, encryptie, auditlogging, least-privilege).
5. Restrisico en akkoord
[In te vullen door de school: beoordeling of de restrisico's na de genoemde maatregelen acceptabel zijn, eventueel na advies van de FG. Bij twijfel over een hoog restrisico is voorafgaande raadpleging van de Autoriteit Persoonsgegevens wettelijk verplicht (art. 36 AVG).]
| Beoordeeld door (FG/school) | |
| Datum | |
| Oordeel |