Hoelang mag je als school persoonlijke gegevens van oud-leerlingen bewaren?

In dit artikel:

Een school die haar honderdjarig bestaan viert, ontdekte oude administratiemappen met namen, adressen, telefoonnummers en soms e-mailadressen van oud-leerlingen. De Functionaris Gegevensbescherming vond dat deze persoonsgegevens al vernietigd hadden moeten zijn. Volgens ict-jurist Arnoud Engelfriet vallen ook zeer oude gegevens, zelfs van vóór de AVG en de Wet bescherming persoonsgegevens, onder de huidige privacyregels. Persoonsgegevens mogen niet onbeperkt worden bewaard: er moet vooraf een concreet doel en bewaarbeleid zijn.

Toch acht Engelfriet een eenmalige uitnodiging voor de reünie verdedigbaar. Een honderdjarig jubileum is uitzonderlijk en een uitnodiging aan oud-leerlingen ligt in het verlengde van het oorspronkelijke contact. De school moet daarvoor wel een korte belangenafweging vastleggen en de gegevens uitsluitend voor deze uitnodigingsronde gebruiken. Ze mag geen adressen laten verrijken door databrokers of verhuisde oud-leerlingen opnieuw opsporen.

In de brief of e-mail moet staan dat de gegevens uit de oude leerlingenadministratie komen en eenmalig worden gebruikt. Onjuiste adressen en gegevens van mensen die bezwaar maken, moeten direct worden verwijderd. Na afloop vernietigt de school de volledige lijst, behalve contactgegevens van oud-leerlingen die zelf aangeven op de hoogte te willen blijven.

Historisch waardevolle documenten, zoals klassenfoto’s of een representatief rapport, mogen onder voorwaarden in een zorgvuldig beheerd schoolarchief blijven. Bewaren betekent echter niet automatisch dat de school ze online mag publiceren; archiveren en openbaar maken zijn afzonderlijke verwerkingen. Klassenfoto’s tijdens de reünie tonen is volgens Engelfriet een minder ingrijpend alternatief.