GDPR bij BYOD-examens: wat mag, wat niet?

Welke data verzamel je tijdens een digitaal examen?

Typisch:

• • Antwoorden en scores (evident)
• • Tijdstempel per vraag (voor activiteitenanalyse)
• • Focus-events (tabwisseling, copy-paste-pogingen)
• • IP-adres en device-info (voor account-sharing-detectie)
• • Geen webcam, geen microfoon, geen browsergeschiedenis (bij Klas’route)

Op welke grondslag mag je dit?

GDPR vereist een rechtsgrond. Voor schoolexamens is dat doorgaans "taak van algemeen belang" (art. 6.1.e GDPR) gekoppeld aan de wettelijke onderwijsopdracht. Niet "toestemming" — een leerling kan moeilijk vrij weigeren.

Dit betekent: je verzameling moet proportioneel zijn. Webcam-opnames bewaren = niet proportioneel. Focus-events bewaren = wel proportioneel.

Bewaartermijnen

Examenscores: tot einde schoolcarrière + 5 jaar (Vlaamse onderwijsregelgeving). Focus-events en monitoring-logs: kort. Klas’route hanteert 90 dagen, daarna geanonimiseerd of verwijderd.

Account-sharing-IP-logs: 30 dagen.

Transparantieplicht naar leerlingen

Leerlingen moeten vóór elk examen weten:

• • Welke data verzameld wordt
• • Waarom (welk doel)
• • Hoe lang bewaard
• • Welke rechten ze hebben (inzage, correctie)

DPIA: wanneer verplicht?

Een Data Protection Impact Assessment is verplicht bij grootschalige systematische monitoring. Voor een gewoon Klas’route examen niet nodig. Wel nodig: als je webcam-proctoring overweegt of biometrische data verwerkt.

Klas’route DPIA-samenvatting is publiek raadpleegbaar op /dpia-samenvatting.

Wat doen bij leerlingvraag tot inzage?

Een leerling (of ouders) heeft recht op kopie van alle verzamelde data. Klas’route biedt zelf-export in het leerlingdashboard. Reactietermijn wettelijk: 30 dagen.

Subverwerkers en internationale doorgifte

Klas’route gebruikt Google Gemini (AI Gateway) en EU-gehoste databases. Volledige lijst subverwerkers staat op /subverwerkers. Geen data naar landen buiten EU/EER zonder passende waarborgen.