De AVG kent geen korting: databescherming voor scholen en non-profits

De Google Workspace-tenant van een basisschool bevat alles: leerlingdossiers, zorgdossiers, individuele handelingsplannen, jaren aan oudercorrespondentie. De IT-afdeling is één persoon, die ook de wifi, de digiborden en de printerwachtrij beheert. Als het schoolbestuur — aangespoord door de verzekeraar — vraagt "kunnen we bewijzen dat onze leerlingdata na een ransomware-aanval herstelbaar is?", is het eerlijke antwoord nee. Niet door nalatigheid, maar omdat niemand ooit de tijd of het budget kreeg om dat antwoord ja te maken.

Dit is de standaardsituatie bij scholen, goede doelen en kleine maatschappelijke organisaties: zeer gevoelige data, volledige AVG-verantwoordingsplicht, en middelen die een fractie zijn van wat bedrijven besteden. Toezichthouders, financiers en verzekeraars hanteren desondanks dezelfde toets.

De misvatting om los te laten: kleine organisaties krijgen informele coulance. De AVG geldt per data, niet per personeelsomvang — een school die kinderdata verwerkt, staat eerder onder strengere controle dan een middelgroot bedrijf dat facturen verwerkt. Het goede nieuws: auditklare bescherming op kleine schaal is haalbaar, mits je meedogenloos prioriteert en het bewijs automatiseert.

Welke data moeten scholen en non-profits het eerst beschermen?

Niet alle data weegt even zwaar, en kleine budgetten maken prioriteren dé kernvaardigheid. Rangschik datasets op regelgevings- en reputatie-impact en bescherm van boven naar beneden.

De prioriteitenhiërarchie

Voor scholen: veiligheids- en incidentdossiers, gezondheidsgegevens van leerlingen, individuele handelingsplannen, leerlingdossiers en resultaten, daarna aanwezigheid en correspondentie. Voor non-profits: cliëntdossiers (vaak van nature gevoelig), betaalgegevens en giftenhistorie van donateurs, vrijwilligers- en personeelsdossiers, daarna operationele documenten. Bewaarplichten variëren — leerlingdossiers moeten vaak jaren na uitschrijving bewaard blijven, financiële administratie doorgaans zeven jaar — dus documenteer een eenvoudig schema per categorie in plaats van per geval te beslissen.

Conceptlesplannen en interne notulen kunnen wachten. Het veiligheidsdossier niet.

Beschermt Google of Microsoft deze data niet al?

Nee — en beide zeggen dat expliciet. Google Workspace for Education en Microsoft 365 Education werken onder shared responsibility-modellen: de provider garandeert platformbeschikbaarheid, terwijl de klant verantwoordelijk blijft voor de eigen content. Native tools dekken ongelukken beperkt — prullenbakken enkele weken, versiegeschiedenis bij overschrijvingen — maar bieden geen verweer tegen geleegde prullenbakken, verwijderde accounts na vertrek van een leerling of medewerker, fouten op beheerdersniveau, of ransomwarescripts die eerst de herstelopties wissen en dan versleutelen.

De praktische toets is simpel: kun je het complete dossier van een specifieke leerling van twee jaar geleden terughalen, voor een juridische toets of accreditatieaudit? Met alleen native tools is het antwoord nee. En "we gingen ervan uit dat het platform het regelde" voldoet noch aan het verantwoordingsbeginsel van de AVG, noch aan het EU-gegevensbeschermingskader in bredere zin.

Wat er gebeurt als het misgaat

Onderwijs en non-profit zijn aantrekkelijke doelwitten juist omdat de verdediging dun is: de dreigingsanalyse van ENISA rangschikt ransomware structureel bij de dominante EU-dreigingen, en aanvallers weten dat organisaties met kinderdata of donateursvertrouwen onder maximale druk staan om incidenten snel op te lossen.

De gevolgen treffen kleine organisaties onevenredig hard. Een AVG-onderzoek na onherstelbaar dataverlies slokt medewerkerstijd op die deze organisaties niet hebben, en sancties — hoewel geschaald — zijn reëel. Financiers en accrediteurs vragen in due diligence steeds vaker om bewijs van datacontinuïteit; een gezakte audit kan een subsidie kosten die elk IT-budget overstijgt. Verzekeraars stellen cyberdekking routinematig afhankelijk van bewijs van offsite, immutable back-ups. En de missiekosten zijn het grootst: een goed doel dat cliëntdossiers verliest, of een school die veiligheidsdossiers kwijtraakt, heeft gefaald jegens de mensen voor wie ze bestaat.

Een betaalbare, auditklare opzet: een stappenplan in vijf stappen

Native tools versus onafhankelijke back-up: het kleine-organisatieperspectief

De kostenrij verdient eerlijkheid in beide richtingen: onafhankelijke back-up is niet gratis, maar prijst per gebruiker op kleine schaal — doorgaans enkele honderden euro's per maand voor een kleine school — en technologiedonatieprogramma's en digitale-weerbaarheidssubsidies dekken het regelmatig. Eén datalek-meldingsoefening kost meer.

Conclusie

Scholen en non-profits beheren enkele van de gevoeligste data in de samenleving en krijgen geen regelgevingskorting omdat het budget klein is. Het werkbare antwoord is geen enterprise-infrastructuur — het is meedogenloze prioritering plus automatisering: bescherm eerst de veiligheidsdossiers, leerlingdossiers en donateursdata, met immutable EU-gehoste back-ups die zichzelf documenteren, bestuurd door een beleid dat op één pagina past. Die combinatie doorstaat audits, stelt verzekeraars tevreden en — waar het echt om gaat — zorgt dat de data waar je missie op leunt de slechte dag overleeft. Wil je hulp bij het dimensioneren van een betaalbare opzet voor jouw school of organisatie? We denken graag mee.

Veelgestelde Vragen