voor elkaar!

a. Stichting Optimus Onderwijs beschikt over vastgesteld en openbaar toegankelijk informatiebeveiligings- en privacybeleid. Het Topbeleid Informatiebeveiliging en Privacybeleid is vastgesteld door het College van Bestuur en is geactualiseerd op 18-03-2024. Dit topbeleid vormt het kader waarbinnen Optimus uitvoering geeft aan privacy- en informatiebeveiligingsbeginselen en wordt ondersteund door onderliggende IBP/AVG-beleidstukken die de praktische uitvoering concretiseren.

b. In de privacyverklaringen voor leerlingen en medewerkers/sollicitanten zijn o.a. verwerkingsdoelen en grondslagen, rechten van betrokkenen inclusief verzoekprocedure, verwerkersafspraken en contactpunten voor privacy/FG opgenomen.

De Privacyverklaring en het Privacyregelement is openbaar en makkelijk vindbaar via lokale schoolwebsite(s) en de stichtingwebsite. De Privacyverklaring voor medewerkers is terug te vinden op de Interne centrale IBP website van de stichting. In de privacyverklaring leerlingen zijn daarnaast bewaartermijnen en vernietiging expliciet uitgewerkt. Ook is vastgelegd dat toegang tot leerlingdossiers beperkt is tot geautoriseerde medewerkers en gekoppeld is aan het register van verwerkingsactiviteiten, waarmee invulling wordt gegeven aan integriteit/vertrouwelijkheid en accountability. Daarnaast zijn er beleidsstukken zoals Bewaar- en vernietigingsbeleid, Gedragscode ICT, en protocollen zoals Protocol melden datalek die verplichtingen verder uitschrijven en uitvoering aan geven. De AVG- Privacy beleid-, protocollen en procedures zijn voor elke medewerker terug te lezen onder pagina Beleid van de IBP website van de stichting. De Informatie Beveiligingsonderdeel zijn alleen op aanvraag te lezen.

c. Het topbeleid is formeel vastgesteld door het CvB en wordt publiek ontsloten via de stichting-/schoolwebsites en via OptimusAVG.nl. Onderliggende IBP/AVG-beleidstukken zijn centraal vindbaar en te downloaden via de AVG-beleidsdocumentenpagina op OptimusAVG.nl en voor informatiebeveiligingsdocumenten via de subdomeinen binnen het domein Informatiebeveiliging. Hierdoor is het beleid organisatiebreed toegankelijk en vindbaar voor scholen en medewerkers.

d. De privacyverklaring leerlingen bevat onderwijs-specifieke uitwerking van bewaartermijnen en verwijst naar sectorale richtlijnen (zoals Kennisnet). Daarnaast wordt in de documenten aansluiting gezocht bij onderwijsbrede afspraken, zoals het Privacyconvenant / Edu-K , het gebruik van verwerkersovereenkomsten, bewaar er vernietigingsplicht specifieke reguleringen. Hiermee wordt aantoonbaar rekening gehouden met sector-specifieke eisen en kaders die relevant zijn voor het primair onderwijs.

e. Wijzigingen in beleid en protocollen worden, indien relevant, intern gecommuniceerd via het interne WOOW mediaplatform.

Daarnaast worden actuele versies van beleid en onderliggende documenten centraal gepubliceerd via OptimusAVG.nl en (voor informatiebeveiligingsdocumenten) via de informatiebeveiligingsomgeving, zodat medewerkers altijd de meest recente versie kunnen raadplegen.

Via presentaties op scholen en in de AVG/IBP gespreksvoering met directeuren (2x per jaar) worden nieuwe beleidstukken en/of de praktische uitwerking hiervan ook besproken.

Bronnen:

• Strategisch koersdocument: Bron: Strategie Informatie Beveiliging Optimus Onderwijs

• IBP topbeleidstuk Bron: Informatie Beveiliging en Privacy Optimus Onderwijs
• Pagina Bewaar en Vernietigingsbeleid
• Database registers en Verwerkingsovereenkomsten
• Verwerkingsregister leerling (software)

a. In het Informatiebeveiligings- en privacybeleid 2025–2029 zijn de taken, rollen en verantwoordelijkheden rond informatiebeveiliging en privacy formeel vastgelegd onder het onderdeel Governance – Rol, betrokkenheid en verantwoordelijkheid.

Optimus hanteert hierbij een regie-organisatie met rollen op drie niveaus: richtinggevend (strategisch), sturend (tactisch) en uitvoerend (operationeel). Per niveau zijn rollen gekoppeld aan concrete verantwoordelijkheden. Voorbeelden van expliciet benoemde rollen zijn het College van Bestuur, de Privacy & Security Officer (PSO), de Functionaris Gegevensbescherming (FG), domeinverantwoordelijken/stafmedewerkers, schooldirecteuren/leidinggevenden en medewerkers.

Daarnaast worden (met name) informatie beveiligingsonderdelen ook domein/risico- eigenaars vastgelegd. Deze worden formeel aangewezen door CvB en dragen zorg voor het onderliggende IBP domein met normen. Controle en rapportage ligt bij Privacy - security Officer. Deze specifieke risico- eigenaar zijn / worden binnen het interne Optimus GRC-Dashboard vastgelegd.

b. Het beleid legt vast dat het College van Bestuur eindverantwoordelijk is voor informatiebeveiliging en privacy en dat het CvB het kader vaststelt waaraan scholen en medewerkers zich moeten houden.

Daarnaast is vastgelegd dat het lijnmanagement (o.a. schooldirecteuren/leidinggevenden en domeinverantwoordelijken) verantwoordelijk is voor naleving binnen het eigen domein en dat zij medewerkers aanspreken op tekortkomingen en opvolging organiseren (o.a. via de AVG-PDCA op school gesprekscyclus en opvolging van aanbevelingen van de PSO).

c. Het beleid beschrijft dat het College van Bestuur eindverantwoordelijk is voor IBP en daarmee het laatste besluit neemt over beleid, maatregelen en (rest)risico’s. De inhoudelijke verantwoordelijkheid voor IBP is gemandateerd aan de Privacy & Security Officer, die het bestuur adviseert, beleid vertaalt naar richtlijnen/procedures, naleving monitort en incidenten coördineert.

De FG is als onafhankelijk toezichthouder en adviseur onderdeel van deze governance: de FG adviseert en rapporteert rechtstreeks aan het bestuur, en ondersteunt bij o.a. classificatie/risicoanalyse. Daarmee is de besluitlijn rond privacyrisico’s geborgd als: advies (PSO/FG) → besluit (CvB) → toezicht (FG).

Bronnen:

• • Informatiebeveiligings- en privacybeleid 2025–2029
    • Topbeleid Informatiebeveiliging en Privacybeleid 2025–2029 – hoofdstuk Governance (rolverdeling/mandaat) en passages over eindverantwoordelijkheid en verantwoordelijkheden per rol
  • GRC- Dashboard Algemeen overzicht beeld
    • Uitwerking GRC taak/norm
    • Verdieping (bij doorklikken op norm)

a. Optimus hanteert organisatiebreed een systematische en gestructureerde aanpak om processen/verwerkingen waarin persoonsgegevens worden verwerkt te identificeren en te documenteren. Dit gebeurt door middel van het verwerkingsregister, aangevuld met de beoordeling van (nieuwe) applicaties/leveranciers en (waar nodig) DPIA/pre-DPIA. Registers en DPIA’s worden opgeslagen in de interne Teamsomgeving.

Optimus heeft inzicht in de verwerkingen en borgt dat tenminste de verwerkingen met een hoog risico voor betrokkenen zijn vastgelegd. Voorbeelden van hoog-risico processen/verwerkingen die aantoonbaar zijn opgenomen en beschreven zijn: ParnasSys (leerlingadministratie/LVS), Visma Raet (HR/salaris) en Cito Leerling in Beeld (toetsing/leerlingvolgsysteem).

b. Binnen Optimus zijn proceseigenaren/risico-eigenaren aangewezen (voor de Privacy domeinen) aanwezig. Dit is vastgelegd in IBP top- beleidsplan. Voor de Informatie beveiligingsdomeinen (dit vaak ook Privacy raken) worden deze proces/risico-eigenaren genoteerd in de Optimus GRC, waarin per domein/norm/ taak - verwerking een verantwoordelijke (risico-eigenaar/proceseigenaar) is opgenomen. Actualisatie vindt plaats bij het toevoegen van een nieuwe verwerking; dit proces wordt uitgevoerd en bewaakt door de Privacy Officer, waarbij de registratie wordt bijgewerkt op basis van nieuwe of gewijzigde verwerkingen.

Binnen Optimus Onderwijs is beleidsprocedure opgesteld m.b.t. tot registratie en verwerking van verwerkingen. Deze is op de OptimusAVG.nl pagina terug te vinden onder de naam: Procedure onderhoud dataregister en verwerkersovereenkomsten. Deze procedure beschrijft de volgende onderdelen::

• Toelichting dataregister
• Actoren
• Opzet dataregister Stichting Optimus primair onderwijs
• Onderhouden dataregister
• Nieuwe verwerkingsactiviteit
• Register van verwerkersovereenkomsten
• Naleving verwerkersovereenkomsten

De Privacy- Security Officer handelt langs de richtlijnen van deze procedure.

Stichting Optimus Onderwijs heeft een bewaartermijnenbeleid. Dit beleid is vastgesteld door het College van Bestuur (CvB) en is te raadplegen via de website Optimusavg.nl. Daarnaast biedt Optimus een aparte pagina Bewaren & Vernietigen met praktische hulpmiddelen, zoals een Quickview met wettelijke bewaartermijnen en onderwijsgerichte richtlijnen.

Als extra ondersteuning is er (in proefversie) ook een AI-hulpmiddel voor bewaartermijnen beschikbaar, bedoeld om medewerkers te helpen sneller de juiste bewaartermijn en vervolgstap te bepalen.

Het bewaartermijnenbeleid is binnen de scholen geïmplementeerd via bewustwordingsmateriaal (bijv. posters) en maakt onderdeel uit van de Optimus-beheersmaatregelen. Deze beheersmaatregelen worden besproken tijdens het IBP-gesprek op schoolniveau.

De naleving en toepassing worden periodiek gemonitord door middel van quickscans (schoolbezoeken) en gerichte controles, waaronder steekproeven in ParnasSys, uitgevoerd door de Privacy- en Security Officer. Bevindingen worden teruggekoppeld aan de schoolleiding en – waar nodig – vertaald naar verbeteracties (bijv. aanvullende instructie, opschoning, of aanscherping van werkafspraken) en opgenomen in de opvolging binnen het IBP-traject.

Het Bewaar- en Vernietigingsbeleid wordt momenteel herzien onder verantwoordelijkheid van de Privacy- en Security Officer.

Stichting Optimus Onderwijs heeft de rol van Functionaris Gegevensbescherming (FG) extern belegd bij de dienstverlening Privacy op School. De taken, verantwoordelijkheden en positie van de FG zijn duidelijk vastgelegd. De FG is onafhankelijk gepositioneerd binnen de organisatie en voert de FG-taken zelfstandig uit. De FG ontvangt geen instructies over de inhoudelijke uitvoering van zijn of haar werkzaamheden.

Er is geen sprake van belangenconflict. De organisatie borgt functiescheiding tussen toezichthoudende en uitvoerende taken, zodat de FG geen operationele verantwoordelijkheden draagt die de onafhankelijke rol kunnen beïnvloeden. Daarmee is gewaarborgd dat de FG zijn of haar toezicht-, advies- en controlerende rol objectief kan vervullen.

De FG beschikt over voldoende tijd en middelen om de taken effectief uit te voeren. De FG-rol is structureel ingericht via externe dienstverlening en daarmee is capaciteit en beschikbaarheid geborgd voor advies, toezicht, beoordeling van vraagstukken en de benodigde afstemming binnen Optimus.

Het proces voor het aanstellen van de FG en het functieprofiel voldoen aan de eisen van artikel 37 lid 5 van de AVG. Daarbij is expliciet geselecteerd op professionele kwaliteiten, aantoonbare deskundigheid op het gebied van privacywetgeving en de praktijk in het onderwijs, en de competenties die nodig zijn om de FG-taken zorgvuldig en onafhankelijk uit te voeren.

De FG wordt tijdig betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Dit omvat onder andere advisering over privacyvraagstukken en betrokkenheid bij DPIA’s (Data Protection Impact Assessments). De FG kan hierdoor vroegtijdig meedenken, risico’s signaleren en passende maatregelen adviseren.

De contactgegevens van de FG zijn actueel, beschikbaar en eenvoudig vindbaar voor medewerkers en betrokkenen. Daarmee is de FG goed bereikbaar voor vragen, meldingen en verzoeken, zowel intern als extern.

De FG is betrokken bij opleiding en bewustwordingsactiviteiten op het gebied van privacy. Dit draagt bij aan het vergroten van kennis en het versterken van privacybewust handelen binnen de organisatie en op schoolniveau.

Tot slot stemt de FG periodiek af met het hoogste management binnen Optimus. Bevindingen, adviezen en aanbevelingen worden op managementniveau besproken, zodat besluitvorming en opvolging zijn geborgd en de onafhankelijke positie van de FG in de governance zichtbaar en effectief is.

De Stichting Optimus heeft een IBP-klankbordgroep. De leden komen structureel eens per kwartaal (1x per drie maanden) drie uur fysiek bij elkaar. De groep bestaat uit vertegenwoordigers van verschillende onderdelen binnen de organisatie, zodat beleid en uitvoering goed op elkaar aansluiten.

Missie: Het IBP- en AVG-beleid verder concreet maken en zo goed mogelijk laten aansluiten op de onderwijspraktijk.

Taken klankbordleden.

• IBP positief uitdragen binnen het werkveld en relevante werkgroepen.

• Signalen uit de praktijk ophalen: fungeren als luisterend oor en deze input positief-kritisch vertalen naar bespreekpunten voor de klankbordgroep.

• Meedenken en meepraten over werkbare oplossingen, met als doel een goede bescherming van persoonsgegevens van medewerkers (en waar relevant ook leerlingen en ouders).

• De Privacy- en Security Officer adviseren over prioriteiten, aanpak, communicatie en praktische implementatie.

Meer informatie zover de IBP-klankbordgroep is te vinden op deze Optimusavg.nl / IBPklankbord webpagina.

Binnen Optimus is geen gedocumenteerd proces aanwezig wat specificeert hoe en wanneer de Medezeggenschapsraad m.b.t. IBP wordt geïnformeerd.

Instemming van de GMR wordt gevraagd bij besluiten en regelingen over:

• verwerking en bescherming van persoonsgegevens van personeel;

• verwerking van persoonsgegevens van leerlingen en ouders;

• inzet van systemen of maatregelen voor toezicht, controle of monitoring;

• vaststelling of wijziging van bestuursbreed privacy-, IBP- en beveiligingsbeleid.

De instemmingsverzoeken lopen via het CvB. De Privacy- security Officer heeft hier (jan 2026) onvoldoende zicht op.

Binnen Optimus is er geen concreet opleidingsplan voor IBP/AVG voor nieuwe medewerkers. Binnen de scholen wordt gewerkt met IBP/AVG-beheersmaatregelen. Deze benoemen onder andere dat medewerkers op de hoogte moeten zijn van de privacyverklaring voor medewerkers en de ICT-gedragscode. Beide documenten worden tijdens het kennismakingsgesprek met de medewerker besproken. Daarnaast informeert de Privacy & Security Officer medewerkers via korte, informatieve berichten in een intern kanaal over hoe hun gegevens worden beschermd en wat zij zelf moeten doen om hieraan bij te dragen.

Binnen Optimus is er geen concreet opleidingsplan voor IBP/AVG voor nieuwe medewerkers. Binnen de scholen wordt gewerkt met IBP/AVG-beheersmaatregelen. Deze benoemen onder andere dat medewerkers op de hoogte moeten zijn van de privacyverklaring voor medewerkers en de ICT-gedragscode. Beide documenten worden tijdens het kennismakingsgesprek met de medewerker besproken. Daarnaast informeert de Privacy & Security Officer medewerkers via korte, informatieve berichten in een intern kanaal over hoe hun gegevens worden beschermd en wat zij zelf moeten doen om hieraan bij te dragen.

Binnen Optimus is er geen concreet opleidingsplan voor IBP/AVG voor nieuwe medewerkers. Binnen de scholen wordt gewerkt met IBP/AVG-beheersmaatregelen. Deze benoemen onder andere dat medewerkers op de hoogte moeten zijn van de privacyverklaring voor medewerkers en de ICT-gedragscode. Beide documenten worden tijdens het kennismakingsgesprek met de medewerker besproken. Daarnaast informeert de Privacy & Security Officer medewerkers via korte, informatieve berichten in een intern kanaal over hoe hun gegevens worden beschermd en wat zij zelf moeten doen om hieraan bij te dragen.

a, b. Bij het beoordelen van een verwerkingsovereenkomst wordt expliciet gecontroleerd of opslag en verwerking van (persoons)gegevens plaatsvinden binnen de EU/EER. Als blijkt dat gegevens (of toegang tot gegevens, bijvoorbeeld via beheer op afstand of support) buiten de EU/EER plaatsvinden, wordt de overeenkomst in principe niet gesloten.

Een uitzondering is alleen mogelijk wanneer aantoonbaar wordt voldaan aan de AVG-eisen voor doorgifte naar derde landen, bijvoorbeeld:

• er is een adequaatheidsbesluit van de Europese Commissie voor het betreffende land, of

• er worden passende waarborgen toegepast (zoals EU Standard Contractual Clauses (SCC’s)), aangevuld met een risicobeoordeling en eventuele aanvullende technische/organisatorische maatregelen (bijv. versleuteling waarbij de sleutel in de EU blijft), of

• voor de VS: de leverancier valt onder een geldig EU-VS doorgiftekader (indien van toepassing) en de verwerking past binnen de scope daarvan.

Indien één van deze uitzonderingen nodig is, overlegt de Privacy & Security Officer (PSO) met de Functionaris Gegevensbescherming (FG) voor advies voordat de overeenkomst wordt gesloten.

c. De periodieke toetsing of doorgifte naar derde landen buiten de EU/EER nog voldoet aan de geldende wet- en regelgeving, vindt plaats zodra de verwerker een update van de verwerkingsovereenkomst aanlevert of hierover bericht.

De wens is om daarnaast minimaal één keer per jaar (los van bovenstaande) een steekproefsgewijze controle uit te voeren, maar door beperkte beschikbare tijd en capaciteit is dit op dit moment nog niet structureel uitvoerbaar.

Bronnen:

• Procedure onderhoud dataregister en verwerkersovereenkomsten