Moet het schoolbestuur voor elke instelling afzonderlijk een bestand aanleggen voor het register?

Aangaande de verplichting om een register van de verwerkingsactiviteiten bij te houden, vermeldt artikel 30 AVG: 

"1. Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. [...] 3. Het [...] register is in schriftelijke vorm, waaronder in elektronische vorm, opgesteld. 4. Desgevraagd stellen de verwerkingsverantwoordelijke of de verwerker en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke of de verwerker het register ter beschikking van de toezichthoudende autoriteit."

KathOndVla en de andere onderwijsnetten voorzien in een sjabloon modelregister, in een elektronisch bestand (nl. als rekenblad). Dit dient instellingseigen aangepast te worden. Voor vrije gesubsidieerde onderwijsinstellingen gebeurt dit aanpassen onder verantwoordelijkheid van het schoolbestuur.

Praktisch gezien adviseren wij onze schoolbesturen om, naar het aanpassen van het sjabloon modelregister toe, voorafgaand een overzicht te maken, per onderwijsinstelling onder hun bestuur, van de gebruikte verwerkers en eventuele ontvangers van persoonsgegevens. Tevens moeten zij, op basis van de vooraf ingevulde verwerkingsactiviteiten in het sjabloon modelregister, nagaan in hoeverre er verschillen in verwerkingsactiviteiten tussen de verschillende onderwijsinstellingen zijn (bv. er is geen camerabewaking, geen geïndividualiseerd en geïdentificeerd toezicht op telecommunicatie, doorgifte aan het CLB is niet aan de orde omdat het over een cvo gaat, ...).

Op basis van die informatie kunnen zij de onderwijsinstellingen onder hun bestuur desgevallend "groeperen" indien deze dezelfde verwerkingsactiviteiten bezigen, een gelijklopend IVP-beleid hebben en dezelfde ontvangers resp. verwerkers gebruiken. Deze instellingen kunnen dan desgevallend in hetzelfde elektronische bestand gedocumenteerd worden. Het werkblad "Algemene info" kan in dat geval best gekopieerd worden om elke onderwijsinstelling duidelijk afzonderlijk te identificeren. Indien er (te veel) resp. fundamentele verschillen optreden tussen bepaalde onderwijsinstellingen, dan is het aan te raden om hiervoor afzonderlijke bestanden te voorzien (men kan a.h.w. wel een basisversie gebruiken en hiervan (een) kopie(ën) voorzien).

Merk op dat onderwijsinstellingen die administratief uit meer dan een instellingsnummer bestaan, deze instellingsnummer op het "Algemene info" werkblad dienen op te sommen. Op die manier kan men eenvoudig nagaan hoe de "scholen" zich tot elkaar verhouden en vooral wanneer persoonsgegevens (van leerlingen, personeel, ...) zich nog binnen de "school" bevinden en wanneer het om een doorgifte gaat (die dan als dus danig dient gedocumenteerd te worden in het respectievelijke werkblad).

Als de scholengemeenschap het sjabloon modelregister aanpast namens meerdere schoolbesturen, dan dienen zij sowieso afzonderlijke versies van het bestand per bestuur uit te werken, en bovenvermelde procedure vervolgens ook per bestuur toepassen. De verwerkingsverantwoordelijke moet immers steeds duidelijk en uniek vermeld te worden op elk "Algemene info" werkblad.

(Nagekeken op 15/01/19)