Wanneer onderwijsinstellingen, -centra of internaten persoonsgegevens uitwisselen met andere Vlaamse instanties zoals het Ministerie van Onderwijs en Vorming, De Lijn enz., dan is het schoolbestuur wettelijk verplicht om een protocol af te sluiten met die instantie. Dergelijke uitwisselingen gebeuren veelvuldig. Bijgevolg zou het schoolbestuur telkens moeten onderhandelen over het af te sluiten protocol voor steeds dezelfde of gelijkaardige uitwisselingen. Om deze planlast te reduceren, heeft OVSG in samenwerking met de andere onderwijsverstrekkers en de VTC een vereenvoudigde procedure met algemene protocollen uitgewerkt. In het kort komt het erop neer dat het schoolbestuur de OVSG mandateert om de onderhandelingen te voeren, het DPO-advies te geven en het protocol te ondertekenen. Wanneer het schoolbestuur toch niet akkoord zou gaan met de inhoud van het algemeen protocol, kan het alsnog uitstappen en zelf een protocol afsluiten.
Elke elektronische mededeling van persoonsgegevens door een instantie naar een andere instantie of naar een externe overheid vereist een protocol, gesloten tussen de betreffende instanties. Het schoolbestuur en zijn onderwijsinstellingen doen veelvuldig dergelijke mededelingen naar instanties zoals het Ministerie van Onderwijs en Vorming (bv. AGODI), onderwijsinspectie, CLB, ondersteuningsnetwerk, scholengemeenschap, LOP, De Lijn… en vice versa. Deze mededelingen vloeien hoofdzakelijk voort uit reglementaire bepalingen en hebben aldus een wettelijke grondslag.
Het Ministerie van Onderwijs en Vorming, de onderwijskoepels en het GO! hebben in samenwerking met de Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens (hierna VTC), omwille van administratieve vereenvoudiging en planlastvermindering, algemene protocollen ontwikkeld die voor alle onderwijsinstellingen gelden. Om dezelfde redenen wordt voorzien in een vereenvoudigde procedure waarbij de onderwijskoepels kunnen worden gemandateerd om na de onderhandelingen zowel hun DPO het advies te laten verlenen als het algemeen protocol te ondertekenen, in naam en voor rekening van de schoolbesturen. De algemene protocollen worden na de ondertekening door de (gemandateerde) partijen gepubliceerd op de website van OVSG. Het schoolbestuur heeft na de ondertekening door de (gemandateerde) partijen drie maanden de tijd om alsnog het algemeen protocol te verwerpen na een negatief advies van de eigen DPO (opt-out).
In de brief van OVSG (ref. 200123 en online beschikbaar op www.ovsg.be) worden alle principes van deze vereenvoudigde procedure en mandatering uiteengezet, met inbegrip van de mogelijkheid tot opt-out. Deze werkwijze met een vereenvoudigde procedure voor de totstandkoming van algemene protocollen en bijbehorende mandatering aan OVSG wordt bevestigd in de brieven van de VTC (advies ref. VTC/O/2019/01 en ref. VTC/O/2019/07). Deze werkwijze werd tevens goedgekeurd in de Werkgroep Informatieveiligheid VVSG van 25 november 2019.
Het schoolbestuur blijft daarbij verantwoordelijk voor het volgende:
Art. 40 Decreet van 22 december 2017 over het lokaal bestuur
Art. 8 Decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer
De Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens
De gemeenteraad keurt het principe van de mandatering aan de OVSG voor de ondertekening van algemene protocollen voor de elektronische doorgifte van persoonsgegevens tussen instanties goed.
De gemeenteraad verklaart zich akkoord met de verklaring op eer.
De gemeenteraad machtigt OVSG om te onderhandelen over het algemeen protocol.
De gemeenteraad machtigt de DPO van OVSG, de Onderwijsvereniging van Steden en Gemeenten, om het verplicht advies te verlenen.
De gemeenteraad machtigt de algemeen directeur van OVSG, de Onderwijskoepel van Steden en Gemeenten, om het protocol in naam en voor rekening van het schoolbestuur te ondertekenen.