Onderwijs is geen homogene markt. Een schoolbestuur met vier basisscholen koopt anders in dan een universiteit, en tussen die twee zit een mbo-instelling die weer eigen inkoopvoorwaarden hanteert. Wat ze delen: het gaat over gegevens van leerlingen, en er kijkt vrijwel altijd iemand mee die daar streng in is.
Gegevens van minderjarigen wegen zwaarder
Dataminimalisatie is hier geen formaliteit. De vraag “waarom heeft dit systeem deze gegevens nodig” wordt daadwerkelijk gesteld, per veld.
Een sterk antwoord beschrijft welke gegevens je verwerkt, waarom elk ervan nodig is voor de functie, hoe lang je ze bewaart en wat er gebeurt als een leerling de school verlaat. Dat laatste — verwijderen bij uitschrijving — wordt structureel vergeten en het is precies wat een privacyofficer nakijkt.
Onderaannemers zijn hier ook gevoeliger dan elders. Draait er een dienst van een derde partij in je keten, dan wil de opdrachtgever weten welke, waar de gegevens staan en of daar een verwerkersovereenkomst onder ligt.
Er wordt vaker collectief ingekocht
Vooral in het hoger onderwijs loopt een deel van de inkoop via samenwerkingsverbanden. Dat verandert twee dingen aan je inschrijving.
Ten eerste is de opdrachtgever niet altijd de gebruiker. Je schrijft dan voor een inkooporganisatie die namens meerdere instellingen beoordeelt, en die let sterker op schaalbaarheid, standaardisatie en of jouw voorwaarden voor al haar leden werken.
Ten tweede is de opdracht groter en de doorlooptijd langer. Dat is gunstig als je wint en duur als je verliest, en het betekent dat het loont om de vragenronde serieus te nemen.
Het schooljaar is een harde grens
Een implementatie die in oktober oplevert, is voor een school een jaar te laat. Vrijwel elke onderwijsaanbesteding heeft een impliciete of expliciete koppeling aan het schooljaar, en dat maakt je planning en je terugvalscenario zwaarder wegen dan de gemiddelde weging suggereert.
Zet daarom in je plan van aanpak niet alleen wanneer je oplevert, maar ook wat er gebeurt als een fase uitloopt en welk deel dan wél draait bij de start van het jaar.
Wat wij hier concreet doen
We schrijven de privacyparagraaf tegen het normenkader dat in dit bestek genoemd wordt en tegen het Privacyconvenant, met de bewaartermijnen en de uitschrijfroutine erin. De planning schrijven we tegen het schooljaar in plaats van tegen een aantal weken.