Mag een secundaire school de adresgegevens van leerlingen van het zesde leerjaar doorgeven aan een hogeschool of een universiteit, zodat deze instellingen informatie kunnen verstrekken over hun studieaanbod aan potentiële studenten?

In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten.

Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen moeten zich hiertegen minstens kunnen verzetten. Wanneer er een functionele band tussen beide onderwijsinstellingen zou zijn, dan zou volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden onder bepaalde voorwaarden nog binnen de redelijke verwachtingen van betrokkenen vallen en dus te verantwoorden zijn. Dergelijke functionele band ontbreekt evenwel tussen de secundaire school en de hogeschool of de universiteit. Daarom is het doorgeven van persoonsgegevens voor zulke doeleinden enkel mogelijk mits elke betrokkene voorafgaandelijk zijn uitdrukkelijke toestemming geeft.

Bovendien moet de secundaire school, nadat ze de toestemming van de betrokkenen verkregen heeft, voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:

  • duidelijk, specifiek en vrijelijk de toestemming van elke betrokkene vragen;
  • elke betrokkene hierbij informeren over zijn/haar rechten;
  • uitsluitend gegevens doorgeven uit gegevenscategorieën die vermeld zijn bij het vragen van de betrokkene;
  • deze verwerkingsactiviteiten toevoegen aan het register;
  • bij overdracht van de gegevens voldoende organisatorische en technische maatregelen in acht nemen om lekken of onrechtmatig gebruik ervan te voorkomen (bv. versleuteling toepassen).

Vanzelfsprekend moet elke betrokken hogeschool of universiteit op haar beurt de verplichtingen naleven die van toepassing zijn bij het verkrijgen van persoonsgegevens van een derde.

(Nagekeken 4/09/2018)