Kort
Twee documenten, dezelfde dag, dezelfde materie. Het verschil zit in de trackers: op school in beginsel verboden, op de universiteit afgeraden. De student is meerderjarig maar bevindt zich in een ondergeschikte positie, blijft dus een kwetsbare persoon voor de DPIA, en toestemming werkt nog steeds niet als rechtsgrond.
Het enige echte verschil
In de schooltekst schrijft de CNIL dat de verwerkingsverantwoordelijke zich ervan moet vergewissen dat de tool geen advertentietrackers gebruikt; die zijn «in beginsel verboden» wegens de neutraliteit van de openbare onderwijsdienst, die de commerciële neutraliteit omvat. Zijn ze er, dan moeten ze worden uitgeschakeld.
In de tekst voor het hoger onderwijs «beveelt» dezelfde autoriteit op dezelfde dag aan «de voorkeur te geven aan tools waarbij de leverancier geen trackers of volgmechanismen inzet voor reclame-exploitatie, profilering of commercieel hergebruik van de gegevens, of waarbij de instelling zulke functies kan uitschakelen». Zij beveelt aan: zij verbiedt niet. En het neutraliteitsbeginsel van de openbare onderwijsdienst wordt niet ingeroepen.
Dat is geen vergetelheid. Het schoolverbod rust op een beginsel dat de openbare dienst van het schoolonderwijs betreft; het hoger onderwijs heeft een eigen kader. Voor een FG is het praktische gevolg concreet: de trackerconclusie uit de DPIA van een middelbare school kopieert men niet naar die van een universiteit, want de juridische premisse verschilt.
De student is meerderjarig en blijft kwetsbaar
Over kwetsbaarheid wijkt de CNIL niet. In de universitaire tekst motiveert zij de aanbeveling om gegevens te beschermen tegen het risico van openbaarmaking aan autoriteiten van derde landen juist met «de kwetsbaarheid van de betrokkenen, met name de studenten, die zich in een situatie van ondergeschiktheid bevinden».
Ondergeschiktheid heeft twee gevolgen. In de analyse van de rechtsgrond sluit zij toestemming uit, die vrij moet zijn en niet beïnvloed door de gezagspositie van de verantwoordelijke: de student moet kunnen weigeren zonder nadelige gevolgen, en kan dat niet. In de DPIA-analyse activeert zij het criterium van kwetsbare personen, net als minderjarigen.
Wat niet verandert
- Rechtsgrond: vervulling van een taak van algemeen belang, voor openbare en particuliere instellingen.
- Een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie (artikelen 12, 13 en 14), beschikbaar vóór het begin van de verwerking en herhaald bij elk studiejaar.
- DPIA verplicht bij twee EDPB-criteria en waarschijnlijk in de meeste gevallen.
- Waarborgen van de verwerker op grond van artikel 28 en een contract met de verplichte bepalingen, inclusief die over contractseinde, reversibiliteit en verwijdering.
- Doorgiften onder hoofdstuk V, met SecNumCloud als voorbeeld van uitsluitende onderwerping aan Europees recht.
Wat op de universiteit ontbreekt
Twee elementen uit de schooltekst ontbreken in de universitaire: de verwijzing naar artikel L.131-2 van de onderwijswet, dat de openbare dienst voor digitaal schoolonderwijs betreft, en decreet nr. 2025-1165 van 5 december 2025, dat de technische keuzes van openbare collèges en lycées bindt. Universiteiten zijn op dat punt vrij en op het andere sterker blootgesteld: de keuze moet in de DPIA worden gemotiveerd, niet aan de leverancier overgelaten.
De fout die u niet moet maken
De twee documenten als één behandelen. Ze zijn voor tachtig procent tweelingen en lopen precies uiteen waar de aankoop doorgaans wordt beslist: is een tool met advertentietrackers aanvaardbaar? Op school luidt het antwoord nee. Op de universiteit: «liever niet, en als ze er zijn, moeten ze uitschakelbaar zijn».
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
