Een certificaat is een document met persoonsgegevens. Naam, geboortedatum, een prestatie en soms een cijfer. Daar gelden regels voor. Één ervan wordt structureel overtreden.
Het burgerservicenummer mag niet
Opleiders vragen soms het burgerservicenummer om deelnemers uit elkaar te houden. Dat mag niet. De kernregel staat in artikel 46 van de Uitvoeringswet AVG: het burgerservicenummer mag alleen worden gebruikt als een wettelijke bepaling dat voorschrijft. Ontbreekt die bepaling, dan is gebruik niet toegestaan.
Toestemming van de deelnemer helpt daar niet bij. Ook niet als hij het zelf aanbiedt en ook niet als het praktisch is. De Autoriteit Persoonsgegevens treedt op tegen onterecht gebruik.
Wil je naamgenoten onderscheiden, gebruik dan de geboortedatum of de geboorteplaats. Dat is precies waarom de richtlijn van het Nationaal Coördinatiepunt NLQF dat gegeven noemt voor waardepapieren van ingeschaalde opleidingen.
Welke gegevens je nodig hebt
Verzamel wat het doel vraagt en niet meer. Voor een certificaat en de administratie erachter kom je meestal uit op:
- Voor- en achternaam zoals op het identiteitsbewijs.
- Geboortedatum of geboorteplaats.
- Het e-mailadres waarop je het stuk verstuurt.
- De opleiding, de versie en de datum van het resultaat.
- De uitslag en de vorm van de beoordeling.
- Het certificaatnummer.
Wat je vrijwel nooit nodig hebt: een kopie van het identiteitsbewijs in je archief, een pasfoto, het woonadres van een zakelijke deelnemer, of gegevens over gezondheid. Dat laatste komt voor bij aanvragen om aangepaste toetsomstandigheden. Leg dan de aanpassing vast en niet de reden.
Identiteitscontrole bij toetsing
Bij een toets die ergens toe leidt, wil een register weten of de juiste persoon hem heeft gemaakt. Je mag een identiteitsbewijs bekijken om vast te stellen wie er zit. Wat je daarna vastlegt, is dat de identiteit is gecontroleerd en door wie, met de datum. Bewaar geen kopie en noteer het documentnummer niet, tenzij een specifieke regeling dat van je vraagt.
Bij online toetsen worden soms hulpmiddelen ingezet die de deelnemer filmen of het scherm bekijken. Weeg dat zorgvuldig: het is een zwaar middel voor een doel dat vaak ook met een andere toetsvorm te bereiken is. Ga niet verder dan nodig en leg uit wat er gebeurt en hoe lang de beelden bewaard blijven.
Hoe lang bewaren
Er is geen vaste termijn voor deelnemersgegevens. De regel is dat je persoonsgegevens niet langer bewaart dan nodig voor het doel. Tegelijk wil je een certificaat van vijf jaar geleden nog kunnen bevestigen, want daar vroeg je zelf om in een certificaat controleerbaar maken.
Werk daarom met twee lagen.
De administratie waarmee je echtheid bevestigt, houd je klein: nummer, naam, geboortedatum, opleiding, datum, uitslag. Die bewaar je zolang je zegt dat je een certificaat kunt bevestigen. Schrijf die termijn op je site en houd je eraan.
Alles daaromheen ruim je eerder op: ingeleverd werk, toetsuitwerkingen, aanwezigheidslijsten, correspondentie. Zes maanden tot een jaar na afronding is voor veel opleiders werkbaar, tenzij een reglement of een bezwaartermijn iets anders vraagt. Houd wel rekening met de bewaarplicht voor je financiële administratie, die staat los van je deelnemersdossier.
Wat je opschrijft voor je deelnemers
Zet in een korte privacyverklaring op je site:
- Welke gegevens je verzamelt en waarvoor.
- Op welke grondslag. Voor een certificaat is dat meestal de uitvoering van de overeenkomst met de deelnemer of met zijn werkgever.
- Hoe lang je ze bewaart, per categorie.
- Aan wie je ze doorgeeft. Denk aan het systeem waarmee je een register informeert over gevolgde scholing en aan de partij die je toetsen host.
- Hoe iemand zijn gegevens kan inzien, corrigeren of laten verwijderen.
Dat laatste levert een lastige vraag op: mag iemand vragen om verwijdering van zijn certificaatgegevens. Dat kan. Je mag weigeren als je een goede reden hebt om ze te bewaren, bijvoorbeeld omdat een register op jouw bevestiging moet kunnen rekenen. Leg dat uit in plaats van alleen nee te zeggen.
Als je gegevens deelt met een register
Werk je met accreditatie, dan geef je door welke deelnemer welke scholing heeft gevolgd. Dat is een doorgifte van persoonsgegevens en die hoort niet als verrassing te komen.
Vertel deelnemers bij de aanmelding dat je hun deelname aan het register doorgeeft en welke gegevens dat zijn. Meestal gaat het om naam, geboortedatum en een registratienummer dat de deelnemer zelf aanlevert. Vraag dat nummer aan de deelnemer en zoek het niet zelf op. Zie accreditatie aanvragen bij een beroepsvereniging.
Kort samengevat
Vraag weinig, leg vast waarom, bewaar niet eeuwig en gebruik nooit het burgerservicenummer. Een certificaat wordt niet betrouwbaarder van meer gegevens. Het wordt betrouwbaarder van gegevens die kloppen en die je kunt terugvinden. Waar die gegevens fysiek staan en wie er nog meer bij kan, hangt af van het systeem waarin je ze bewaart en dat is de vraag achter waar de gegevens van je deelnemers terechtkomen.