Opdracht 3 voor Security, Privacy en Ethiek, periode 1

De les voor deze opdracht heeft de volgende doelen:

Hier is een vereenvoudigde uitleg van de doelen van Opdracht 3 met de DPIA:

De verschillende begrippen zoals in de “APG Checklist: houd grip op persoonsgegevens” uitleggen
Dit betekent dat je leert wat de belangrijke termen zijn als het gaat om persoonsgegevens (zoals naam, adres, e-mail) en hoe je ervoor zorgt dat je deze gegevens veilig houdt. In de APG Checklist staan allemaal belangrijke termen over persoonsgegevens. Dit zijn gegevens die iets over een persoon zeggen, zoals je naam, adres, telefoonnummer of e-mail. De checklist helpt je te begrijpen hoe je deze gegevens goed kunt beheren en beschermen. Het legt bijvoorbeeld uit hoe je ervoor zorgt dat je niet zomaar persoonsgegevens verzamelt of deelt zonder dat de persoon daar toestemming voor geeft.

Op basis van de criteria van de AVG bepalen of een DPIA moet worden uitgevoerd
De AVG (Algemene Verordening Gegevensbescherming) is een wet die ervoor zorgt dat jouw gegevens veilig blijven. Als je persoonsgegevens gaat gebruiken moet je vaak kijken of de manier waarop je dat doet veilig genoeg is. Dit doe je met een DPIA (Data Protection Impact Assessment). Het is eigenlijk een checklist waarmee je kijkt of alles wat je doet met persoonlijke informatie veilig en wettelijk is. Als je bijvoorbeeld gevoelige gegevens gaat verwerken moet je een DPIA uitvoeren om te zorgen dat je geen regels overtreedt.

Zelfstandig een eenvoudige DPIA uitvoeren
Dit betekent dat je zelf een DPIA uitvoert voor een situatie waarin persoonsgegevens worden verwerkt. Je onderzoekt of alles goed geregeld is om de privacy van mensen te beschermen bijvoorbeeld of de gegevens veilig worden opgeslagen en of mensen goed geïnformeerd worden over hoe hun gegevens worden gebruikt.

Ik heb allereerst zoveel mogelijk vragen proberen te inventariseren voordat ik het beschikbaar gestelde template heb proberen in te vullen:

1. Algemene vragen over Eduarte binnen Firda

Wat is Eduarte?

Eduarte is het studentinformatiesysteem voor studentregistratie. Cijfers en resultaten staan hierin. Daarnaast heb je nog:

• AFAS is het personeelsinformatiesysteem voor medewerkersregistratie. Naast functie en salaris staan hierin ook declaraties, loopbaan en opleiding en de gespreksverslagen van functioneren.
• Xedule/ MyX bevat het les-/collegerooster.
• ELO bevat onderwijscontent zoals studiemateriaal, lessen, opdrachten etc.
• In OnStage staan documenten en opdrachten voor en van de student en de stagebegeleider die van toepassing zijn op de stage.

Hoe wordt Eduarte momenteel binnen Firda gebruikt?

Eduarte wordt gebruikt als leerlingvolgsysteem en administratief systeem voor studenten.

Welke persoonsgegevens worden in Eduarte verwerkt?

• Studentennummer
• Achternaam
• Roepnaam
• Geboortedatum
• Geslacht
• Adres
• Plaats
• Telefoonnummer
• Mobiel telefoonnummer
• Emailadres
• Laatste uitschrijfdatum
• Opleiding
• Crebo-code
• Cohort
• Plaatsingsgroep
• LWOO indicatie
• School van herkomst
• Registratiedatum
• Begindatum
• Geplande einddatum
• Einddatum
• Reden uitschrijving
• Einde leerplicht
• Startkwalificatieplicht
• Selfserviceaccount
• Afgenomen onderwijsproducten
• Actieve verbintenissen
• Actieve BPV’s
• Relaties
• Actieve groepen
• Resultaten
• Examens
• Bijzonderheden
• Begeleiding
• Aanwezigheid
• Studievoortgang
• Begeleidingsformulieren en gesprekken

Wie heeft toegang tot de gegevens in Eduarte?

• Docent
• Student
• Ouder
• Stagebedrijf

Zijn er externe partijen die toegang hebben tot de gegevens?

• Ouder
• Stagebedrijf
• DUO
• Centraal Bureau voor de Statistiek
  (Bron: Privacyreglement studenten Firda.pdf)

Hoelang worden gegevens bewaard in Eduarte?

Firda bewaart persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor deze worden verwerkt tenzij het langer bewaren van de persoonsgegevens op grond van wet- of regelgeving 4 verplicht is. De gehanteerde bewaartermijnen zijn opgenomen in het verwerkingsregister en zijn overeenkomstig het document structuurplan (DSP) van Firda.
(Bron: HB2024RB11 Bewaartermijnen 2024-2025.pdf)

Welke documenten bewaard moeten worden en hoe lang is vastgelegd in een door het ministerie van OCW opgestelde selectielijst. Vanaf 2017 geldt een door de MBO Raad ingediende selectielijst; het zogenaamde Model documentair structuurplan MBO (DSP MBO). Daarin zijn ook de bewaartermijnen opgenomen voor documenten die van belang zijn bij het toezicht door de inspectie. Het betreft die documenten die de examencommissie nodig heeft om een diplomabesluit te kunnen nemen, zoals examenplan, examenopdrachten, ingevulde beoordelingsformulieren en het gemaakte werk als daar het beoordelingsformulier in is verwerkt. Ook moet duidelijk zijn hoe de examenonderdelen leiden tot het diplomabesluit.

2. Privacy en beveiliging

Zijn de gegevens in Eduarte versleuteld?

Eduarte heeft ISO 27001 behaald
Eduarte behaalde wederom het ISO 27001-certificaat. ISO 27001 is een wereldwijd erkende norm op het gebied van informatiebeveiliging. Het beschrijft hoe je procesmatig met het beveiligen van informatie om moet gaan.
Bron: https://eduarte.nl/article/eduarte-heeft-iso-27001-behaald/

Het behalen van het certificaat laat zien dat we aan alle eisen rondom informatiebeveiliging voldoen.

Wat is ISO/IEC 27001?
ISO/IEC 27001 is de bekendste standaard ter wereld voor informatiebeveiligingsmanagementsystemen (ISMS). Het definieert de vereisten waaraan een ISMS moet voldoen. De ISO/IEC 27001-norm biedt bedrijven van elke grootte en uit alle sectoren richtlijnen voor het opzetten, implementeren, onderhouden en voortdurend verbeteren van een informatiebeveiligingsmanagementsysteem. Naleving van ISO/IEC 27001 betekent dat een organisatie of bedrijf een systeem heeft opgezet om risico’s met betrekking tot de beveiliging van gegevens die door het bedrijf worden beheerd of bezeten, te beheren en dat dit systeem alle beste praktijken en principes volgt die zijn verankerd in deze internationale norm.

Een informatiebeveiligingsmanagementsysteem dat voldoet aan de eisen van ISO/IEC 27001, waarborgt de vertrouwelijkheid, integriteit en beschikbaarheid van informatie door het toepassen van een risicomanagementproces en geeft belanghebbenden vertrouwen dat risico’s adequaat worden beheerd.

Bron: https://www.iso.org/standard/27001

Hoe speelt versleuteling een rol in ISO/IEC 27001?
Binnen ISO/IEC 27001 wordt versleuteling als een belangrijke maatregel genoemd vooral wanneer het gaat om:

Bescherming van vertrouwelijke gegevens:
Gevoelige informatie (zoals persoonsgegevens, financiële gegevens of bedrijfsgevoelige informatie) moet worden versleuteld om ervoor te zorgen dat alleen geautoriseerde personen toegang kunnen krijgen tot de gegevens, zelfs als de gegevens in verkeerde handen vallen (bijvoorbeeld bij een datalek).

Veilige gegevensoverdracht:
Versleuteling wordt vaak gebruikt voor het veilig verzenden van gegevens over netwerken (bijvoorbeeld via e-mail of internet). Dit helpt om te voorkomen dat gegevens tijdens de overdracht worden onderschept of gewijzigd.

Bescherming van gegevens op apparaten:
Het versleutelen van gegevens die zijn opgeslagen op apparaten zoals laptops, mobiele telefoons of externe harde schijven is een andere manier om de vertrouwelijkheid en integriteit van gegevens te waarborgen, vooral als die apparaten verloren gaan of gestolen worden.
Integratie met risicobeheer:

De ISO/IEC 27001-norm vereist dat organisaties risico’s met betrekking tot informatiebeveiliging identificeren, evalueren en beheren. Versleuteling kan een nuttige maatregel zijn om risico’s op het gebied van gegevensverlies of ongeautoriseerde toegang te verminderen.

Specifieke clausules in ISO/IEC 27001:
Versleuteling wordt vaak genoemd in de context van de beveiligingsmaatregelen die organisaties moeten implementeren, zoals:

Controle van toegang: Zorgen dat alleen bevoegde gebruikers toegang hebben tot versleutelde gegevens.

Bescherming van gegevens tijdens opslag en overdracht: Beveiligen van gegevens zowel “in rust” (op opgeslagen apparaten) als “in transit” (gedurende overdracht via netwerken).

Veilige back-ups: Versleuteling van back-ups om ervoor te zorgen dat verloren gegevens op een veilige manier kunnen worden hersteld.

Bron: De norm ISO/IEC 27001:2013 op ISO.org

Wordt er logging bijgehouden van wie welke gegevens bekijkt?

Door middel van logging en monitoring worden gebeurtenissen met betrekking tot geautomatiseerde systemen en toegang tot gegevens vastgelegd. Hieronder vallen onder andere het in- en uitloggen van gebruikers en (pogingen tot) ongeautoriseerde toegang tot het netwerk.
Firda beoordeelt deze logbestanden met regelmaat. Beoordeling kan deel uitmaken van een geautomatiseerd proces met behulp van een SIEM/SOC (Siem: Security Information & Event Management, SOC voor Security Operations Center).
(bron: Informatiebeveiligingsbeleid.pdf)

Welke beveiligingsmaatregelen zijn er om ongeautoriseerde toegang te voorkomen?

De van de student gekregen persoonsgegevens worden door Firda in verschillende programma’s verwerkt en gebruikt. Voor al deze programma’s geldt dat deze goed beveiligd zijn, zodat niemand van buitenaf en ook niet iedereen vanuit Firda, bij die gegevens kan komen. De beveiliging is soms zichtbaar bijvoorbeeld bij een beveiligde website, want dan staat https:// in de adresbalk. Ook onzichtbaar worden door Firda de systemen en de daarin opgeslagen gegevens beveiligd. Firda gebruikt bijvoorbeeld Microsoft OneDrive en Microsoft Teams omdat Microsoft voldoet aan de veiligheidseisen. (Bron: Privacyreglement studenten Firda.pdf)

Hoe wordt de toegang van medewerkers en studenten geregeld?

Elke student heeft een Firda account waarmee ze inloggen en hun gegevens kunnen zien. Als student (en medewerker) heb je om in te loggen in de systemen van Firda multi factor authenticatie (MFA) nodig. Dit doen we om de data optimaal te beschermen van onze studenten en students. Omdat deze systemen ook buiten ons netwerk en onze gebouwen te gebruiken zijn wil Firda ze extra beschermen. Door te werken met MFA (multi factor authenticatie) kunnen ze datalekken, data manipulatie of data gijzeling tegengaan.

Bron: https://www.mijnfirda.nl/studenten/weten-regelen-studenten/onderwerpen/ict-zaken/wifi-wachtwoord-en-toegang/multi-factor-authenticatie-mfa?p=1&q=MFA

Zijn er recente incidenten geweest met betrekking tot gegevensbeveiliging of datalekken in Eduarte?

Het melden van beveiligingsincidenten en datalekken is vastgelegd in een protocol. De afhandeling van deze incidenten volgt een gestructureerd proces dat ook voorziet in de juiste stappen rondom de meldplicht datalekken. Alle (beveiligings-)incidenten worden vastgelegd in een incidentenregister. Voor datalekken geldt een meldplicht: deze moeten binnen 72 uur worden gemeld bij de autoriteit persoonsgegevens. Als de privacy van betrokken personen is geschaad dienen zij over het datalek te worden geïnformeerd. Alle datalekken worden vastgelegd in het datalekregister. Jaarlijks levert de FG een jaarverslag op waarin een overzicht van de datalekken en maatregelen worden beschreven.

De eerdergenoemde campagnes voor bewustwording zijn er mede op gericht om een veiligheidscultuur te creëren waar binnen men durft te melden. Ook aan studenten en externen is gecommuniceerd op welke manier zij kwetsbaarheden en incidenten dienen te melden. De bereidheid om te melden dient gemonitord te worden zodat het in een audit kan worden verantwoord.

Datalekken: in Eduarte kon iedereen bij elke student van heel Firda komen als medewerker. Nu is dit gekoppeld naar medewerker en opleiding.

Niet Eduarte-voorbeeld: jaar 2023 – 2024 is er een datalek gemeld door een docent ICT over een zelfontwikkelde website die was gehackt door studenten. Dit betreft een portfolio-website. De beveiliging was niet voldoende.

De niveau’s van melden:

Student > Docent > Teamleider > Directeur
In dit geval niet naar College van Bestuur geëscaleerd want laag risico.

3. AVG & Wetgeving (Data Protection Impact Assessment)

Heeft Firda een verwerkersovereenkomst met de leverancier van Eduarte?

Onder MijnApps krijgen applicaties of deelfunctionaliteit van een applicatie een tegel. De applicatie krijgt een tegel in de widget wanneer zij voldoet aan in ieder geval de onderstaande voorwaarde:

• Het is een door Firda beheerde en ondersteunde applicaties of veelgebruikte
• deelfunctionaliteit van een applicatie als deeplink
• Firda heeft een overeenkomst voor het gebruik van de applicatie/ webapplicatie (dmv een
• licentie overeenkomst en verwerkersovereenkomst)
• Eigenaarschap van de applicatie is belegd
• De applicatie door meer dan x personen wordt gebruikt

Op de kern-applicaties zoals Eduarte, AFAS, Xedule etc. zijn deze actueel en met de leveranciers overeengekomen, hetzelfde geldt voor de grote onderwijsapplicaties. Het kan echter zo maar zijn dat een opleiding zelfstandig gekozen heeft voor het gebruik van een applicatie waarvoor de naam en/of inloggevens van de student worden doorgegeven aan de leveranciers. Bij voorkeur wordt er dan alsnog een verwerkersovereenkomst gesloten maar de leverancier zou minimaal het landelijke Privacy Convenant moeten onderschrijven.
(bron: IBP Jaarplan 2024-2025 v1.1.pdf)

Wordt er een DPIA uitgevoerd op het gebruik van Eduarte binnen Firda?

Enkele jaren geleden is er in het PO en MBO een landelijk Privacy Convenant opgesteld. Leveranciers die hierbij zijn aangesloten erkennen de modelverwerkersovereenkomst van het PO en MBO en garanderen dat er geen gegevens van studenten naar derden worden doorgegeven. Door het regelmatig uitvoeren van DPIA’s (Data Privacy Impact analyse) en de controle op de aanwezigheid van actuele verwerkersovereenkomsten kan de privacy van medewerkers en studenten beter geborgd worden. Voorwaarde blijft dat de applicatie is aangemeld voor gebruik in Firda.
(bron: IBP Jaarplan 2024-2025 v1.1.pdf)

Een DPIA is nodig wanneer er sprake is van een risicovolle verwerking, bijvoorbeeld bij een privacyrisico, grootschalige verwerking of samenvoegen van databases. Niet voor elke verwerking is een DPIA nodig. Of een DPIA nodig is wordt bepaald door het inschatten van het privacyrisico. Hiervoor is een vragenlijst beschikbaar waar je in het kort kunt toetsen of een DPIA nodig is. Dit heet een pre-DPIA. Je kunt deze pre-DPIA aanvragen bij de security officers van Firda: Klaske Bouma en Gerrit Haakma of bij de FG Janine.kloosterman-dewacht@firda.nl en deze samen met hen invullen. Vragen kunnen ook altijd via de mailbox privacy@firda.nl gesteld worden.
(Bron: https://www.mijnfirda.nl/medewerkers/weten-regelen-medewerkers/onderwerpen/veilig-werken/informatie-beveiliging-privacy/dpia?question=eigenaar-dpia,uitvoeren-dpia)

Wordt er privacy by design & privacy by default toegepast?

Privacy by Default betekent dat de standaardinstellingen van een programma, app, website, dienst of apparaat zodanig zijn dat maximale privacy wordt betracht.
(bron: Toegangsbeveiligingbeleid-2.pdf)

Beperking toegang tot bedrijfsdata via Apps (concept)
Toegang tot het gebruik van bedrijfsdata, zoals e-mail, documenten en contactgegevens via apps wordt alleen toegestaan aan vooraf als veilig beoordeelde apps. Een veilig beoordeelde app voldoet aan de volgende vereisten:

Verzameling van gegevens:

• Toestemming voor rechten: Alleen noodzakelijk rechten (privacy-by-default)
• Gebruik van gegevens: De opgehaalde gegevens mogen voor geen enkel ander doel worden gebruikt
• Risicobeheer: De applicatie staat het toe de bedrijfsgegevens op afstand te laten vernietigen.
• Risicobeheer: De gegevens worden versleuteld bewaard op het systeem of dat kan worden afgedwongen
• De opslag van de gegevens vindt plaats op het mobiele apparaat en/of op systemen binnen de EER
• De producent voldoet aan de AVG

Verwerkersovereenkomst: Er is met de app leverancier een overkoepelende verwerkersovereenkomst

Vanuit het Firda geldt dat de volgende apps worden gezien als veilig:
Microsoft Outlook
Microsoft Office
Microsoft Teams
Apple Mail
Apple Agenda
Google Mail

Ondersteunde Platformen
Windows: De drie meest recente en ondersteunde hoofdversies
IOS: De drie meest recente en ondersteunde hoofdversies
MAC OS: De drie meest recente en ondersteunde hoofdversies
Android

 
Hoe wordt de privacy van studenten gewaarborgd?

Firda vindt het belangrijk dat haar studenten weten welke gegevens van hen verwerkt worden, waarom die verwerkt worden en met wie die gegevens gedeeld worden. Om deze reden is dit Privacy Reglement dan ook opgesteld. De Algemene verordening gegevensbescherming (AVG) is het uitgangspunt voor dit Privacyreglement. Firda heeft dit reglement opgesteld met het doel om het beleid met betrekking tot het verwerken van persoonsgegevens van haar studenten en de daaruit ontstane rechten en plichten van Firda en haar studenten, transparant en toegankelijk te maken. Omdat het reglement alleen de algemene regels geeft zal eerst een toelichting volgen omtrent de gegevens die Firda verwerkt.

Firda is een onderwijsinstelling in het middelbaar beroepsonderwijs en valt daarmee onder de Wet educatie en beroepsonderwijs (Web). Deze wet beschrijft de belangrijkste taken van onderwijsinstellingen in het beroepsonderwijs als volgt (artikel 1.2.1. lid 2): Beroepsonderwijs is gericht op de theoretische en praktische voorbereiding voor de uitoefening van beroepen waarvoor een beroepskwalificerende opleiding is vereist of dienstig kan zijn. Het beroepsonderwijs bevordert tevens de algemene vorming en de persoonlijke ontplooiing van de deelnemers en draagt bij tot het maatschappelijk functioneren.[…] Dit betekent dat Firda de wettelijke plicht heeft onderwijs te verzorgen dat zowel theoretische kennis en praktische voorbereiding in de praktijk omvat. Daarnaast is het ook de taak van Firda om haar studenten te helpen in de persoonlijke vorming en ontwikkeling om goed te kunnen functioneren in de maatschappij. Firda moet voor het uitvoeren van deze taken verschillende persoonsgegevens verzamelen, bijvoorbeeld om uiteindelijk een diploma uit te kunnen reiken. (Bron: Privacyreglement studenten Firda.pdf)

Kunnen studenten hun gegevens laten aanpassen of verwijderen?

Artikel 11 Rechten van de studenten
Op basis van de wet en dit privacyreglement heeft de student een aantal rechten.

11.1. De student/wettelijk vertegenwoordiger of diens schriftelijk gemachtigde heeft op vertoon van geldige legitimatie, te allen tijde recht op inzage in en afschrift van de op zijn/haar persoon betrekking hebbende gegevens. De betreffende persoon kan daartoe bij Firda een verzoek indienen.

Binnen 20 werkdagen na ontvangst van het verzoek tot inzage, zal hier gehoor aan worden gegeven.

a. Recht van inzage
b. Recht op rectificatie
c. Recht op gegevenswissing (vergetelheid)
d. Recht op beperking van de verwerking
e. Recht op overdraagbaarheid van gegevens
f. Recht van bezwaar

(bron: Privacyreglement student Firda.pdf)

4. Mogelijke risico’s en knelpunten

Hoe kwetsbaar is Eduarte voor cyberaanvallen?
Eduarte is een commercieel softwaresysteem dat wordt ingezet door onderwijsinstellingen voor het verwerken van studentgegevens. Dit systeem bevat mogelijk gevoelige informatie, wat het aantrekkelijk maakt voor cybercriminelen.
axians.nl

Onderwijsinstellingen, waaronder die in Leeuwarden, Friesland, zijn steeds vaker doelwit van cyberaanvallen. Deze aanvallen variëren van ransomware tot digitale spionage, wat kan leiden tot aanzienlijke economische schade en verstoringen in onderwijsprocessen.
surf.nl

Het is daarom essentieel dat Eduarte-gebruikende instellingen proactieve maatregelen nemen om hun systemen te beveiligen. Dit omvat het regelmatig updaten en patchen van software om bekende kwetsbaarheden te verhelpen, het implementeren van robuuste netwerkbeveiligingsprotocollen en het trainen van personeel en studenten in het herkennen van phishingpogingen en andere social engineering-aanvallen.

Daarnaast is het aan te raden om samen te werken met gespecialiseerde cybersecurity-experts en deel te nemen aan samenwerkingsverbanden binnen de onderwijssector. Deze netwerken faciliteren de uitwisseling van informatie over dreigingen en best practices, wat bijdraagt aan een versterkte digitale weerbaarheid.
mbodigitaal.nl
surf.nl

Door deze maatregelen te implementeren, kunnen onderwijsinstellingen de risico’s die gepaard gaan met het gebruik van systemen zoals Eduarte aanzienlijk verminderen en een veilige leeromgeving voor hun studenten waarborgen. (bron: ChatGPT)

 
Hoe zit het met tracking en monitoring binnen Eduarte?

Tracking en Monitoring in Eduarte:
Mailen: functioneel beheer.

Gebruikersactiviteit: Eduarte kan gebruikersactiviteit monitoren om inzicht te krijgen in hoe het systeem wordt gebruikt. Dit kan bijvoorbeeld logbestanden omvatten die bijhouden wanneer een gebruiker inlogt welke gegevens worden geraadpleegd en welke handelingen binnen het systeem worden uitgevoerd. Dit helpt bij het verbeteren van het systeem en bij het opsporen van misbruik of ongeoorloofde toegang.

Veiligheidsmaatregelen: Monitoring van de prestaties en beveiliging van het systeem is vaak ingebouwd. Dit kan bijvoorbeeld het traceren van ongebruikelijke inlogpogingen, foutmeldingen of verdachte activiteit zijn die kan duiden op een potentiële cyberaanval, zoals brute force-aanvallen of het uitbuiten van zwakke plekken.

Privacy en Gegevensbescherming: Gezien de gevoelige aard van de gegevens die binnen Eduarte worden opgeslagen (zoals persoonlijke informatie van studenten) moet het systeem voldoen aan de privacywetgeving, zoals de Algemene Verordening Gegevensbescherming (AVG) in de EU. Dit betekent dat monitoring en tracking moeten worden uitgevoerd met respect voor de privacy van de gebruikers en dat de verzamelde gegevens goed moeten worden beveiligd.

Toegangscontrole: Eduarte moet functies voor toegangscontrole hebben waarbij verschillende niveaus van toegang worden gedefinieerd voor docenten, studenten en administrators. Monitoring kan helpen om ervoor te zorgen dat gebruikers alleen toegang krijgen tot de gegevens die relevant zijn voor hun rol.

Data-analyse: Tracking kan ook worden ingezet voor educatieve doeleinden. Bijvoorbeeld het monitoren van de voortgang van studenten, het analyseren van welke delen van de leeromgeving het meest worden geraadpleegd en het gebruik van dergelijke gegevens voor het verbeteren van het lesaanbod en het leerproces.

Best practices voor Eduarte in relatie tot Tracking en Monitoring:
Minimale gegevensverzameling: Verzamel enkel de gegevens die noodzakelijk zijn voor de werking van het systeem.

• Transparantie: Gebruikers dienen geïnformeerd te worden over welke gegevens worden verzameld en hoe deze worden gebruikt.
• Beveiliging: Alle verzamelde gegevens moeten goed worden beschermd tegen onbevoegde toegang en mogelijke lekken.
• Naleving van wetgeving: Eduarte moet zich houden aan de relevante wet- en regelgeving, zoals de AVG, om de privacy van gebruikers te waarborgen.

Eduarte zal naar alle waarschijnlijkheid mechanismen voor tracking en monitoring gebruiken, maar het is cruciaal dat dit op een verantwoorde en transparante manier gebeurt. Het systeem moet worden beheerd volgens strikte privacy- en beveiligingsrichtlijnen om de gegevens van gebruikers te beschermen. (Bron: Eduarte)

Hoe wordt omgegaan met docenten of medewerkers die per ongeluk verkeerde studentgegevens inzien?

Teamleider: “Op dit moment is Eduarte goed ingesteld. De rollen zijn goed ingesteld. Specialisten zien meer dan SLBers in verband met de correct ingestelde rechten.

Mocht er door een docent zelf iets gebeuren zoals gevoelige uitgeprinte data die verloren raakt dan hangt het van de aard van het risico af. Er is hier niet een eenduidige oplossing voor bedacht”.

5. Mogelijke oplossingen & aanbevelingen

Welke maatregelen kunnen worden genomen om de privacy binnen Eduarte te verbeteren?

Er is al sprake van de volgende punten binnen Firda:

• Versleuteling van Gegevens
• Minimalisatie van Gegevensverzameling
• Strikte Toegangscontrole
  o Role-based access control (RBAC
• Multi-factor authenticatie (MFA)

Het enige wat hier op dit hoge niveau van beveliging in Eduarte nog nuttig zou kunnen zijn is hoe er gewerkt wordt met Eduarte:

• Anonimiseren van gegevens: Waar mogelijk zouden gevoelige gegevens geanonimiseerd moeten worden, zodat ze niet direct herleidbaar zijn tot individuen. Dit kan bijvoorbeeld bij analyses of bij gebruik voor onderzoeksdoeleinden.

• Pseudonimisering: Indien volledige anonimiteit niet mogelijk is kan pseudonimisering worden toegepast waarbij gegevens worden opgeslagen met een vervangende identificatie die niet direct aan de persoon kan worden gekoppeld zonder extra informatie.

• Regelmatige Beveiligingsaudits en Penetratietests

Moet er beleid worden opgesteld of aangepast?

Er is beleid: hoeft niet te worden aangepast. Is zo voldoende.

Moeten medewerkers en studenten beter geïnformeerd worden over privacy en Eduarte?
Teamleider: “Een informele check bij collega’s om te controleren of ze weten van het bestaan van de privacy documenten (voor studenten). Eventueel advies hierin zou kunnen zijn dat collega’s hierover worden geïnformeerd”.

6. Conclusie

Eduarte is belangrijk voor het beheren van persoonsgegevens van studenten bEduarte is belangrijk voor het beheren van persoonsgegevens van studenten binnen Firda en er is hier dan ook een FG voor aangesteld. Het grappige is dat toen ik vroeg wie dit was de teamleider schrok en vroeg of er een nieuw datalek was die ik wilde melden. Ik heb maar gauw gedeeld dat het om mijn opleiding gaat.

Deze risicoanalyse heeft aangetoond dat Eduarte goed is beveiligd met versleuteling o.a. aangetoond met de naleving van ISO 27001-standaarden waarvoor zij een certificaat hebben behaald, multi-factor authenticatie (MFA) en goede transparante rolverdelingen. De enige ruimte voor verbetering die ik kon verzinnen si eventueel het toepassen van het anoniem maken van persoonlijke gegevens waar mogelijk evenals de implementatie van beveiligingsaudits en zogenaamde penetratietests.

De privacy van studenten wordt gewaarborgd, omdat er transparantie is over waarom deze wordt verzameld en met wie deze worden gedeeld. Daarnaast is het duidelijk geworden dat studenten hun gegevens mogen inzien, laten aanpassen en/of rectificeren en zelfs verwijderen wat valt onder hun rechten via de AVG.

Knelpunten bij het uitvoeren van de DPIA:

Een van de belangrijkste dingen waar ik tegenaan liep was dat er veel informatie beschikbaar was via intranet en andere interne kanalen, maar het was soms lastig om de risico’s goed te bepalen en in te schatten welke maatregelen nodig waren.

Er worden vragen gesteld zoals hoe je function creep kan vermijden. Dit stuk zit vooral in de ethiek: een school zal natuurlijk nooit delen dat zij zoiets doen en vragen hierover stellen als docent en niet als iemand van de IT afdeling was natuurlijk lastig.

Ook bleek al gauw na een gesprek met de teamleider dat er niet voldoende bewustwording is onder collega’s in het team als het om beveiliging gaat. Ze hebben in ieder geval nog nooit een training of cursus gehad over de risico’s.

Een knelpunt dat al heel lang niet meer aan de orde is, maar welke de teamleider nog met mij gedeeld heeft is dat studentgegevens door iedere medewerker zichtbaar waren of zij nu wel of niet te maken hadden met de student. De toegang hiervoor is echter nu in orde en geregeld via rollen in Eduarte.

Resultaat van de DPIA:

Het resultaat van mijn DPIA is dat er geen directe veranderingen zijn doorgevoerd in Eduarte aangezien het systeem al goed werkt door de rolverdeling en de maatregelen die al genomen zijn. Wel heeft de teamleider enkele situaties geschetst waar ik aandacht voor moest hebben, maar Eduarte zelf is prima ingericht. Het was vooral waardevol om deze informatie te inventariseren, zodat we in de toekomst collega’s beter kunnen informeren over hoe alles werkt en welke risico’s er zijn. De teamleider vond het een goed idee om hier meer bewustzijn voor te creëren.

Wat betreft de beveiligingsmaatregelen zoals versleuteling en multi-factor authenticatie, die waren al goed geregeld en ik heb deze kunnen bevestigen als werkende systemen.

Hoewel er geen directe veranderingen in Eduarte zijn doorgevoerd door deze studenten-DPIA heeft het proces me wel geholpen om een veel beter inzicht te krijgen in de privacy- en beveiligingsmaatregelen die Firda al heeft getroffen. Wat ik vooral heb gedaan is risico’s in kaart brengen en aanbevelingen doen die kunnen bijdragen aan meer bewustzijn over privacy binnen de organisatie.

Bijgevoegd vindt u de ingevulde DPIA-template die met ons is gedeeld: