Gepubliceerd op 9 november 2025 · Laatst bijgewerkt op 9 oktober 2026
Een school mag leerlinggegevens alleen verwerken als dat nodig is voor het onderwijs, de begeleiding of een wettelijke taak, en alleen op een grondslag uit artikel 6 van de Algemene Verordening Gegevensbescherming (AVG). Voor de meeste gegevens heeft de school geen toestemming nodig, maar voor bijvoorbeeld foto’s op de website of sociale media wel.
In dit artikel leest u welke gegevens een school mag vastleggen, hoe lang zij die mag bewaren, welke rechten u als ouder of leerling heeft en waar u terechtkunt met een klacht.
Inhoudsopgave
Welke regels gelden voor scholen onder de AVG?
Elke school is verwerkingsverantwoordelijke voor de gegevens van haar leerlingen en moet zich aan de AVG en de Uitvoeringswet AVG (UAVG) houden. Daarnaast bepalen de onderwijswetten, zoals de Wet op het primair onderwijs en de Wet voortgezet onderwijs 2020, welke gegevens een school moet bijhouden.
De school moet zich houden aan de beginselen van artikel 5 AVG. Zij verwerkt gegevens alleen voor een duidelijk doel, niet meer dan nodig is, juist en actueel, niet langer dan nodig en goed beveiligd. De school moet ook kunnen aantonen dat zij zich hieraan houdt. Dat heet de verantwoordingsplicht.
Volgens de Autoriteit Persoonsgegevens (AP) moeten bekostigde scholen een functionaris gegevensbescherming (FG) aanstellen (artikel 37 AVG). De FG houdt intern toezicht en is het aanspreekpunt voor ouders, leerlingen en de AP.
Welke leerlinggegevens mag een school verwerken?
Een school mag de gegevens verwerken die zij nodig heeft voor inschrijving, onderwijs, begeleiding en de wettelijke administratie. Wat daarbuiten valt, mag alleen met een andere grondslag, meestal toestemming.
Gangbare gegevens zijn naam, adres, geboortedatum, het persoonsgebonden nummer (meestal het burgerservicenummer), contactgegevens van ouders, cijfers, absentie en verslagen van leerlingbegeleiding. De school gebruikt het persoonsgebonden nummer onder meer voor de uitwisseling met DUO, zoals de onderwijswetten voorschrijven.
De meeste verwerkingen rusten op een wettelijke verplichting of op de publieke taak van de school (artikel 6 lid 1 sub c en e AVG). Toestemming (artikel 6 lid 1 sub a AVG) is nodig voor zaken die niet noodzakelijk zijn voor het onderwijs, zoals beeldmateriaal in de schoolgids, op de website of op sociale media.
Wanneer gaat het om bijzondere persoonsgegevens?
Gegevens over gezondheid, zoals een diagnose, medicijngebruik of een allergie, zijn bijzondere persoonsgegevens. Artikel 9 AVG verbiedt de verwerking daarvan, tenzij een uitzondering geldt.
Een school mag gezondheidsgegevens alleen vastleggen als dat nodig is voor de begeleiding of de veiligheid van de leerling, bijvoorbeeld voor extra ondersteuning of een medisch protocol. Artikel 30 UAVG biedt daarvoor in bepaalde gevallen een grondslag voor scholen. Beperk de toegang tot deze gegevens tot de mensen die ze echt nodig hebben, zoals de intern begeleider of zorgcoördinator.
Wanneer is toestemming van ouders nodig?
Toestemming is alleen nodig als de school geen andere grondslag heeft, en voor een leerling jonger dan 16 jaar geven de ouders met gezag die toestemming (artikel 5 UAVG). Vanaf 16 jaar beslist de leerling zelf.
Toestemming moet vrij, specifiek en geïnformeerd zijn. Een school mag daarom niet één algemene handtekening vragen voor alle foto’s en video’s. Vraag per gebruik, bijvoorbeeld apart voor de schoolgids, de website en sociale media. Ouders en leerlingen mogen hun toestemming altijd intrekken (artikel 7 lid 3 AVG); de school stopt dan met nieuw gebruik.
Hoe lang mag een school leerlinggegevens bewaren?
De AVG noemt geen vaste bewaartermijn: een school bewaart gegevens niet langer dan nodig is voor het doel (artikel 5 lid 1 sub e AVG). Er bestaat dus geen algemene wettelijke termijn van vijf jaar voor het hele leerlingdossier.
Voor sommige gegevens gelden wel specifieke regels. Financiële gegevens, zoals betalingen van de ouderbijdrage, vallen onder de fiscale bewaarplicht van zeven jaar (artikel 52 Algemene wet inzake rijksbelastingen). Voor de overige categorieën stelt de school zelf termijnen vast en legt die vast in het privacyreglement. Veel scholen gebruiken daarvoor het model van hun sectororganisatie, de PO-Raad of VO-raad. Na afloop van de termijn vernietigt of anonimiseert de school de gegevens.
Welke rechten hebben ouders en leerlingen?
Ouders en leerlingen hebben onder meer recht op inzage, correctie en verwijdering van hun gegevens (artikelen 15 tot en met 17 AVG). De school moet binnen één maand reageren; bij complexe of veel verzoeken mag zij die termijn met twee maanden verlengen, mits zij dat binnen de eerste maand meldt (artikel 12 lid 3 AVG).
- Recht op inzage: u krijgt een kopie van de gegevens en hoort waarvoor de school ze gebruikt en met wie zij ze deelt.
- Recht op correctie: onjuiste of onvolledige gegevens moet de school aanpassen.
- Recht op verwijdering: gegevens die niet meer nodig zijn of zonder grondslag zijn verwerkt, moet de school wissen. Gegevens die de school wettelijk moet bewaren, vallen hier niet onder.
- Recht van bezwaar: tegen verwerking op grond van de publieke taak kunt u bezwaar maken (artikel 21 AVG).
Voor een leerling jonger dan 16 jaar oefenen de ouders met gezag deze rechten uit. Een ouder zonder gezag heeft geen AVG-rechten namens het kind, maar wel een eigen recht op informatie over belangrijke zaken (artikel 1:377c Burgerlijk Wetboek). Zie ook ons artikel over de rechten van ouders bij uitschrijving.
Met wie mag een school leerlinggegevens delen?
Een school mag gegevens delen met leveranciers van digitale leermiddelen, met DUO en met andere instanties als daar een grondslag voor is. Met elke leverancier die gegevens namens de school verwerkt, sluit de school een verwerkersovereenkomst (artikel 28 AVG).
Voor digitale leermiddelen gebruiken veel scholen het Privacyconvenant Onderwijs & Digitale Onderwijsmiddelen met de bijbehorende modelverwerkersovereenkomst. Bij een overstap naar een andere school geeft de school een onderwijskundig rapport mee; dat is in de onderwijswetten geregeld. Wil een school een nieuwe toepassing invoeren met veel of gevoelige gegevens, zoals een leerlingvolgsysteem of camerabewaking, dan is vaak eerst een gegevensbeschermingseffectbeoordeling (DPIA) nodig (artikel 35 AVG). Meer daarover leest u in ons artikel over verwerkingsregister, DPIA en datalek.
Wat moet een school doen bij een datalek?
Een school meldt een datalek binnen 72 uur bij de AP, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 AVG). Is het risico hoog, dan informeert de school ook de leerlingen en ouders zelf (artikel 34 AVG).
Denk aan een kwijtgeraakte laptop met zorgdossiers of een e-mail met cijferlijsten aan de verkeerde ouders. De school legt elk lek vast in een intern register, ook als zij het niet hoeft te melden. Lees meer in ons artikel over een datalek melden.
Hoe dient u een klacht in?
Begin bij de school en de FG; komt u er niet uit, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens (artikel 77 AVG). Daarnaast kunt u naar de rechter stappen.
Welke rechter bevoegd is, hangt af van de school. Is het schoolbestuur een bestuursorgaan, dan geldt de beslissing op uw verzoek als besluit en staat bezwaar open (artikel 34 UAVG). In andere gevallen dient u binnen zes weken een verzoekschrift in bij de rechtbank (artikel 35 UAVG). Vraagt u ook schadevergoeding, dan kan dat op grond van artikel 82 AVG.
Waar let u als school op?
- Leg in het verwerkingsregister per categorie gegevens het doel, de grondslag en de bewaartermijn vast (artikel 30 AVG).
- Controleer of er met elke leverancier van digitale leermiddelen een getekende verwerkersovereenkomst is.
- Vraag toestemming voor beeldmateriaal apart per gebruik en registreer intrekkingen.
- Beantwoord inzageverzoeken binnen één maand en noteer de datum van ontvangst.
- Zorg voor een procedure om datalekken binnen 72 uur te melden.
Waar let u als ouder of leerling op?
- Lees het privacyreglement en de privacyverklaring van de school; daarin staan de doelen en bewaartermijnen.
- Dien een inzageverzoek schriftelijk in en bewaar een bewijs van verzending.
- Noteer de datum: reageert de school niet binnen één maand, dan kunt u een klacht indienen bij de AP.
- Controleer welke toestemmingen u heeft gegeven en trek ze in als u dat wilt.
Wat kunnen wij voor u doen bij privacyvragen op school?
Onze advocaten ICT-recht adviseren scholen, schoolbesturen en ouders over de AVG in het onderwijs.
- Wij toetsen het privacyreglement en het verwerkingsregister van een school aan de artikelen 5 en 30 AVG.
- Wij beoordelen verwerkersovereenkomsten met leveranciers van digitale leermiddelen op de eisen van artikel 28 AVG.
- Wij stellen namens ouders of leerlingen een inzage- of verwijderingsverzoek op en bewaken de termijn van artikel 12 lid 3 AVG.
- Wij beoordelen of een datalek binnen 72 uur gemeld moet worden en welke informatie ouders moeten krijgen.
- Wij stellen een klacht bij de AP, een bezwaarschrift of een verzoekschrift op grond van artikel 35 UAVG op.
Samengevat
- Een school verwerkt leerlinggegevens meestal op grond van een wettelijke verplichting of haar publieke taak; voor beeldmateriaal is toestemming nodig.
- Onder de 16 jaar geven de ouders met gezag toestemming en oefenen zij de rechten uit.
- De AVG kent geen vaste bewaartermijn; de school bepaalt die per categorie en legt die vast.
- Op een verzoek om inzage reageert de school binnen één maand, met verlenging tot maximaal drie maanden.
- Klachten gaan naar de school, de FG en daarna de Autoriteit Persoonsgegevens of de rechter.
Veelgestelde vragen
Mag een school foto’s van mijn kind op sociale media plaatsen?
Alleen met toestemming. Voor een kind jonger dan 16 jaar geven de ouders met gezag die toestemming, en u kunt haar altijd intrekken.
Hoe lang bewaart een school het leerlingdossier?
De AVG noemt geen vaste termijn. De school bepaalt per categorie hoe lang de gegevens nodig zijn en legt dat vast in het privacyreglement; financiële gegevens bewaart zij zeven jaar.
Binnen welke termijn moet de school mijn inzageverzoek beantwoorden?
Binnen één maand na ontvangst (artikel 12 lid 3 AVG). Bij complexe verzoeken mag de school die termijn met twee maanden verlengen, als zij dat binnen de eerste maand laat weten.
Mag de school gezondheidsgegevens van mijn kind vastleggen?
Alleen als dat nodig is voor de begeleiding of veiligheid van uw kind en er een uitzondering op artikel 9 AVG geldt. De toegang moet beperkt zijn tot de mensen die de gegevens nodig hebben.
Waar kan ik terecht als de school niet reageert?
U kunt een klacht indienen bij de Autoriteit Persoonsgegevens. Ook kunt u bezwaar maken of binnen zes weken een verzoekschrift bij de rechtbank indienen, afhankelijk van het type school.
