De AVG in het hoger onderwijs: de complete gids voor universiteiten en hogescholen (2026)

Een onderbouwd overzicht van gegevensbescherming in het hoger onderwijs voor functionarissen gegevensbescherming (FG's), IT en bibliotheken: wat de AVG van een universiteit of hogeschool vraagt, hoe andere Europese instellingen haar toepassen, waarvoor toezichthouders universiteiten en scholen hebben beboet, en een plan van twaalf maanden om het in de praktijk te brengen. Elk onderdeel verwijst naar een verdiepende gids.

Gepubliceerd 9 oktober 2026 · Bronnen geraadpleegd 9 oktober 2026

Ook beschikbaar in: English · Svenska · Norsk · Suomi · Dansk · Français · Español · Português

1. Wat betekent de AVG voor een instelling?

De AVG geldt voor elke universiteit en hogeschool in de EU en de EER, publiek of privaat, omdat elke instelling persoonsgegevens verwerkt van studenten, aanmelders, medewerkers, onderzoeksdeelnemers, alumni, bibliotheekgebruikers en bezoekers. Een publieke instelling is meestal een overheidsinstantie, en dat verandert drie dingen: de grondslagen die ze kan gebruiken, haar plicht om een FG aan te stellen en, in sommige landen, of ze een boete kan krijgen.

Het hoger onderwijs is een lastige omgeving voor gegevensbescherming. Een instelling is tegelijk werkgever, onderwijsinstelling, examinerende instantie, onderzoeksorganisatie, bibliotheek, verhuurder en soms partner in de zorg. Faculteiten en onderzoeksgroepen kiezen vaak hun eigen tools. Elk jaar komen er duizenden nieuwe studenten bij, en veel medewerkers werken over instellingen en landsgrenzen heen. De AVG kent geen bijzondere regels voor het hoger onderwijs, maar laat ruimte voor nationaal recht, en nationale wetgeving over hoger onderwijs en archieven bepaalt een groot deel van de dagelijkse praktijk.

Deze gids geeft een overzicht van het hele terrein. Voor de tekst van de verordening zelf, zie onze pagina De AVG uitgelegd. Bij elk onderwerp hieronder verwijzen we naar een verdiepende gids, een sjabloon of een gratis tool.

2. Welke grondslag gebruikt een instelling?

De meeste Europese publieke instellingen baseren zich op artikel 6, lid 1, sub e AVG: verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag. Artikel 6, lid 3, eist dat die grondslag in Unierecht of lidstatelijk recht is vastgelegd. De instelling verwijst dus naar de nationale wet die haar haar taken geeft, zoals een wet op het hoger onderwijs. Een wettelijke verplichting (art. 6, lid 1, sub c) dekt wettelijke plichten.

Een publieke taak, verankerd in nationaal recht

Volgens artikel 6, lid 3, "moet worden vastgesteld bij" Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is wat de rechtsgrond is voor verwerkingen onder de punten c en e. Privacyverklaringen van instellingen laten zien hoe dat in de praktijk werkt:

• De Universiteit van Oslo baseert de verwerking van studentgegevens op artikel 6, lid 1, sub e, in samenhang met de artikelen 2-1 en 2-8 van de Noorse wet op universiteiten en hogescholen.
• De Universiteit van Helsinki vermeldt dat de verwerking "is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)" (gebaseerd is op de wettelijke taken van de universiteit in het algemeen belang, artikel 2 van de Finse universiteitswet).
• Stockholm University noemt als meest gebruikte grondslag "a task of public interest in accordance with Article 6(1)(e)" (een taak van algemeen belang op grond van artikel 6, lid 1, sub e).
• Uppsala University merkt op dat de verwerking bij studentzaken "is often an aspect of the exercise of official authority" (vaak deel uitmaakt van de uitoefening van openbaar gezag), en bij onderzoek vaak plaatsvindt in het algemeen belang.
• Trinity College Dublin baseert onderzoek op artikel 6, lid 1, sub e en de Ierse Universities Act 1997, waarin het bevorderen van onderzoek "a primary object and function of the University" (een primair doel en een primaire functie van de universiteit) is.
• De Universiteit van Barcelona gebruikt het algemeen belang voor gegevens over studentenmobiliteit, met een verwijzing naar de Spaanse organieke wet 2/2023 op het universitaire stelsel (LOSU) en de Catalaanse universiteitswet.

Eén verklaring kan meerdere grondslagen gebruiken. De privacyverklaring voor aanmelders van Université Paris-Saclay (september 2026) noemt de taak van algemeen belang voor het behandelen van aanmeldingen, een wettelijke verplichting voor de inschrijving en het gerechtvaardigd belang voor uitnodigingen voor diploma-uitreikingen. Deze aanpak per doel is goede praktijk en maakt uw verwerkingsregister eenvoudiger bij te houden.

De grens van het gerechtvaardigd belang

Volgens de laatste alinea van artikel 6, lid 1, geldt punt f, het gerechtvaardigd belang, "niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken". Overweging 47 legt uit dat het aan de wetgever is om bij wet de rechtsgrond voor overheidsinstanties vast te stellen. De Richtsnoeren 1/2024 van de EDPB over het gerechtvaardigd belang (versie 1.0, gepubliceerd voor consultatie) voegen daaraan toe dat overheidsinstanties er alleen "in exceptional and limited cases" (in uitzonderlijke en beperkte gevallen) een beroep op kunnen doen, voor activiteiten die niet met hun specifieke taken samenhangen, als het nationale recht dat toestaat, en dat dit intern moet worden gedocumenteerd.

Validemics analyse In de praktijk betekent dit dat een publieke instelling voor onderwijs, toetsing, studentenadministratie of onderzoek niet naar het gerechtvaardigd belang moet grijpen. Voor echt bijkomstige activiteiten, zoals sommige alumni-evenementen of een campuswinkel, kan het verdedigbaar zijn, afhankelijk van het nationale recht. Gebruikt u het, voer dan een belangenafweging uit en bewaar die; ons sjabloon voor een belangenafweging (Engels) is daarvoor gemaakt.

Waarom toestemming een zwakke grondslag is voor kernverwerkingen

Volgens overweging 43 mag toestemming geen geldige rechtsgrond zijn wanneer er sprake is van "een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is". De richtlijnen voor medewerkers van de Universiteit van Oslo passen dit toe op het werkgeverschap: de universiteit als werkgever "would normally not be able to use consent as a processing basis for employees" (kan toestemming normaal gesproken niet als grondslag voor medewerkers gebruiken). Dezelfde redenering geldt voor studenten die een systeem moeten gebruiken om een vak te halen. Toestemming blijft bruikbaar voor vrijwillige activiteiten: nieuwsbrieven, foto's voor marketing of een vrijwillige pilot met een tool. De richtsnoeren van de EDPB over toestemming beschrijven de voorwaarden. Voor onderzoek behandelen we de keuze van de grondslag in onze gids over de grondslag voor onderzoek onder de AVG.

3. Van wie verwerkt een instelling gegevens?

Een instelling verwerkt gegevens over ten minste zeven groepen mensen. Elke groep heeft andere doelen, grondslagen, bewaartermijnen en risico's. Het is daarom handig om privacyverklaringen, het register en bewaarschema's per groep in te richten. De tabel is een gangbaar vertrekpunt, geen regel: toets uw eigen nationale recht.

4. Bijzondere en strafrechtelijke persoonsgegevens

Artikel 9, lid 1, verbiedt de verwerking van bijzondere categorieën van persoonsgegevens, tenzij een uitzondering uit artikel 9, lid 2, van toepassing is. Het gaat om ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens om een persoon te identificeren, gezondheidsgegevens en gegevens over seksueel gedrag of seksuele gerichtheid. Instellingen verwerken ze allemaal.

Gangbare voorbeelden in het hoger onderwijs:

• Gezondheidsgegevens voor studievoorzieningen, aanpassingen bij tentamens, ziekteverzuim en bedrijfsgezondheidszorg.
• Biometrische gegevens in sommige proctoringtools, gezichtsherkenning en toegangscontrole.
• Vakbondslidmaatschap bij inhoudingen op het salaris.
• Onderzoeksgegevens in geneeskunde, psychologie, sociale wetenschappen en politicologie, waar bijzondere categorieën vaak het onderwerp van het onderzoek zijn.

Voor de kerntaken van een instelling zijn de meest gebruikte uitzonderingen artikel 9, lid 2, sub b (arbeidsrecht), sub g (zwaarwegend algemeen belang op grond van wetgeving) en sub j (onderzoek, met waarborgen uit artikel 89). De Universiteit van Oslo vermeldt voor bijzondere categorieën van studentgegevens dat "the legal basis is Article 9 g) of the GDPR" (de grondslag artikel 9, sub g AVG is), in samenhang met de nationale wet. Elk van deze uitzonderingen steunt op Unierecht of nationaal recht, dus de precieze route verschilt per land.

Strafrechtelijke veroordelingen en strafbare feiten vallen apart onder artikel 10, dat verwerking alleen toestaat onder toezicht van de overheid of als Unierecht of lidstatelijk recht dat toestaat. Dat speelt bij het controleren van justitiële gegevens van studenten in lerarenopleidingen, zorgopleidingen en opleidingen sociaal werk, wat meestal op nationaal recht berust.

5. Heeft een instelling een FG nodig?

Ja, als ze een overheidsinstantie of overheidsorgaan is. Artikel 37, lid 1, sub a, eist een FG als "de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten". Private instellingen hebben er meestal ook een nodig, omdat grootschalige verwerking van bijzondere persoonsgegevens of regelmatige en stelselmatige observatie van personen in het hoger onderwijs veel voorkomt (art. 37, lid 1, sub b en c).

De rechtenfaculteit van de Universiteit van Lissabon geeft een typisch voorbeeld: haar privacybeleid vermeldt dat zij, "Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD" (gelet op de wettelijke verplichting uit artikel 37, lid 1, sub a AVG), een FG heeft aangewezen. Artikel 37, lid 3, staat één FG voor meerdere overheidsorganen toe, rekening houdend met hun organisatiestructuur en omvang, wat sommige kleinere instellingen doen.

Wat de FG wel en niet doet

Op grond van artikel 39, lid 1, moet de FG ten minste de instelling en haar medewerkers informeren en adviseren, toezien op de naleving (met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking, opleiding en audits), advies geven over DPIA's en samenwerken met de toezichthoudende autoriteit en daarvoor als contactpunt optreden. De Universiteit Utrecht vat het samen: "De hoofdtaak van de functionaris is toezicht houden op de toepassing en naleving van de AVG binnen de organisatie."

De FG adviseert; de instelling beslist. Artikel 38 beschermt de functie: de FG moet "naar behoren en tijdig" worden betrokken bij alle aangelegenheden rond de bescherming van persoonsgegevens, moet de nodige middelen krijgen, wordt niet "ontslagen of gestraft voor de uitvoering van zijn taken" en brengt rechtstreeks verslag uit aan het hoogste leidinggevende niveau. De contactgegevens moeten worden gepubliceerd en aan de toezichthoudende autoriteit worden meegedeeld (art. 37, lid 7). De meeste instellingen publiceren een functionele mailbox, zoals fg@uva.nl bij de Universiteit van Amsterdam of dataskyddsombud@uu.se bij Uppsala.

De richtsnoeren voor functionarissen gegevensbescherming (WP243 rev.01) van de Groep artikel 29, onderschreven door de EDPB, stellen dat de FG geen functie mag bekleden waarin hij doel en middelen van verwerkingen bepaalt, en noemen het hoofd IT en het hoofd HR als voorbeelden van functies die kunnen conflicteren. Bij de gecoördineerde handhavingsactie van de EDPB over FG's in 2023 stelden 25 toezichthouders onder meer vast dat FG's onvoldoende middelen hadden en niet alle taken kregen die de AVG voorschrijft.

Validemics analyse Bij een grote instelling kan één FG niet elke tool, verklaring en elk project beoordelen. De instellingen die het best functioneren, bouwen een netwerk: privacycontactpersonen per faculteit, een privacyspecialist bij het onderzoeksbureau en informatiebeveiliging voor de technische beoordeling. De FG adviseert dan over de moeilijke gevallen en houdt toezicht op het geheel.

6. Het verwerkingsregister (artikel 30)

Elke instelling moet een register van verwerkingsactiviteiten bijhouden. De uitzondering in artikel 30, lid 5, voor organisaties met minder dan 250 medewerkers helpt niet: die geldt niet als de verwerking "niet incidenteel" is of bijzondere categorieën van gegevens omvat, en dat geldt voor elke instelling. Het register vermeldt doelen, categorieën van gegevens en betrokkenen, ontvangers, doorgiften, bewaartermijnen en beveiligingsmaatregelen.

Het register is ook een werkinstrument. KU Leuven laat studenten weten dat "specific retention periods per processing activity are included in the register of processing activities" (de specifieke bewaartermijnen per verwerkingsactiviteit in het register van verwerkingsactiviteiten zijn opgenomen), waardoor het register direct is gekoppeld aan het bewaarschema. De Universidad Complutense de Madrid publiceert haar Registro de Actividades de Tratamiento online, zodat iedereen kan zien wat de universiteit verwerkt en waarom.

Een praktische opzet is één regel per doel, gegroepeerd per groep betrokkenen, met een kolom voor elk betrokken systeem en elke leverancier. Ons sjabloon voor het verwerkingsregister (Engels) en het Word-sjabloon volgen deze opzet.

7. Transparantie en privacyverklaringen

De artikelen 13 en 14 verplichten de instelling om mensen bij het verzamelen van gegevens (of binnen een maand als de gegevens van elders komen) te vertellen wie de verwerkingsverantwoordelijke is, hoe ze de FG bereiken, wat de doelen en de grondslag zijn, wie de ontvangers zijn, of er doorgifte plaatsvindt, hoe lang gegevens worden bewaard en welke rechten ze hebben. Instellingen publiceren meestal gelaagde verklaringen: een algemene verklaring, en daarna een per groep of per belangrijk proces.

Voorbeelden die het bekijken waard zijn:

• De Universiteit van Amsterdam noemt duidelijk het College van Bestuur van de UvA als verwerkingsverantwoordelijke.
• KU Leuven heeft naast de verklaring voor studenten een aparte verklaring voor onderzoeksdeelnemers.
• Université Paris-Saclay publiceert een verklaring voor één specifiek proces (online aanmelden), met een grondslag per doel en een bewaartermijn per categorie.

Voor onderzoeksdeelnemers staat artikel 14, lid 5, sub b, een uitzondering toe als het informeren van elke persoon onmogelijk blijkt of een onevenredige inspanning vergt, met name bij onderzoek. De instelling moet de informatie dan wel openbaar maken en andere maatregelen nemen. Ons sjabloon voor een privacyverklaring voor onderzoeksdeelnemers (Engels) gaat in op de details.

8. Rechten van betrokkenen

Studenten, medewerkers, aanmelders en deelnemers hebben recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid (bij toestemming en overeenkomst) en bezwaar (bij een taak van algemeen belang). De instelling moet reageren "binnen één maand na ontvangst van het verzoek", met een mogelijke verlenging van twee maanden bij complexe verzoeken (art. 12, lid 3).

Drie kwesties komen in het hoger onderwijs vaker voor dan elders:

1. Inzageverzoeken bij geschillen. Studenten die een cijfer aanvechten en medewerkers in een arbeidsgeschil vragen vaak om alles, inclusief e-mails. Onze gids over inzageverzoeken in het hoger onderwijs (Engels) behandelt tentamenwerk, e-mails en onderzoeksgegevens, met antwoordsjablonen. De Richtsnoeren 01/2022 van de EDPB over het recht op inzage zijn de belangrijkste referentie.
2. Wissing tegenover archivering. Publieke instellingen moeten stukken vaak bewaren op grond van archiefwetgeving. De Universiteit van Kopenhagen vermeldt dat er "no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act" is (geen recht op wissing van informatie die volgens de archiefwet in het archief van de universiteit is opgenomen). Artikel 17, lid 3, sub b en d, bevat de uitzonderingen waarop dit berust.
3. Openbaarheid van documenten. Vooral in Zweden en Finland kan iedereen documenten van publieke instellingen opvragen op grond van openbaarheidsregels. Lund University wijst erop dat openbare documenten worden bewaard op grond van de Zweedse persvrijheidswet en archiefwet. Privacywerk en informatiebeheer moeten op elkaar worden afgestemd.

Ook artikel 22 wordt belangrijker nu geautomatiseerde tools zich verspreiden. Besluiten die uitsluitend op geautomatiseerde verwerking berusten en iemand in aanmerkelijke mate treffen, zoals een automatische afwijzing bij toelating, zijn alleen in beperkte gevallen toegestaan, met waarborgen zoals menselijke tussenkomst.

9. Wanneer is een DPIA nodig?

Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht vóór een verwerking die "waarschijnlijk een hoog risico inhoudt" voor mensen (art. 35, lid 1). De door de EDPB onderschreven richtsnoeren WP248 geven negen criteria; een verwerking die aan twee daarvan voldoet, vraagt meestal om een DPIA. In het hoger onderwijs leveren het volgen van studenten, bijzondere persoonsgegevens, nieuwe technologie en de ongelijke verhouding tussen instelling en student samen vaak al twee criteria op.

Verwerkingen in het hoger onderwijs die meestal een DPIA nodig hebben: online proctoring, learning analytics en signaleringssystemen, AI-tools die werk van studenten beoordelen of er feedback op geven, grote onderzoeksprojecten met gezondheidsgegevens, camerasystemen op de campus en nieuwe studenten- of HR-systemen. De verwerkingsverantwoordelijke moet bij het uitvoeren van een DPIA advies inwinnen bij de FG (art. 35, lid 2).

De University of Edinburgh laat een werkbare intake zien: medewerkers mailen de FG en "will be assigned an assessment through our online tool" (krijgen een beoordeling toegewezen via de online tool), en een bestaande DPIA voor hetzelfde systeem kan worden hergebruikt. Hergebruik telt: als tien afdelingen hetzelfde platform gaan gebruiken, is één goed onderhouden DPIA met lokale bijlagen beter dan tien onvolledige.

Begin met onze gratis DPIA-voortoets en gebruik daarna het DPIA-sjabloon voor universiteiten (Engels). Voor specifieke hoogrisicodomeinen, zie online tentamens en proctoring en learning analytics (Engels).

10. Verwerkers en leverancierscontracten

Als een leverancier namens de instelling persoonsgegevens verwerkt, mag de instelling alleen werken met verwerkers die "afdoende garanties" bieden en moet er een overeenkomst zijn die aan artikel 28, lid 3, voldoet. Dat geldt voor de leeromgeving, het studentinformatiesysteem, cloudopslag, enquêtetools en AI-diensten, en ook voor gratis tools die docenten zelf in gebruik nemen.

De leverancierskant van AVG-naleving omvat meestal:

• Een rolanalyse: is de leverancier verwerker, voor bepaalde doelen verwerkingsverantwoordelijke (bijvoorbeeld productverbetering of het trainen van modellen), of gezamenlijke verwerkingsverantwoordelijke? Zie onze gids over regelingen voor gezamenlijke verwerkingsverantwoordelijken (Engels) voor onderzoeksconsortia.
• Een verwerkersovereenkomst die is getoetst aan alle acht punten van artikel 28, lid 3. Onze verwerkersovereenkomst-checker legt een concept naast elk punt.
• Een actuele lijst met subverwerkers en hun locaties, en een manier om wijzigingen op te merken en er bezwaar tegen te maken. Onze tool voor meldingen bij wijzigingen van subverwerkers helpt bij het volgen.
• Beveiligingsbewijs zoals een ISO/IEC 27001-certificering of een SOC 2-rapport, gecontroleerd op reikwijdte.
• Bij AI-functies: of gegevens van de instelling worden gebruikt om modellen te trainen, en welke AI-aanbieders subverwerker zijn.

Onze overzichtsgids over leveranciersbeoordeling voor universiteiten (Engels) behandelt het hele proces van intake tot exit, en onze AVG-factsheets vatten samen wat leveranciers zoals Canvas, Moodle, Microsoft 365, Google Workspace, Zoom en Turnitin publiek documenteren. Niet-goedgekeurde tools zijn een apart probleem; zie schaduw-IT en niet-goedgekeurde AI-tools.

Beoordeelt u op dit moment een leverancier? Validemic toetst de documenten van de leverancier aan de AVG en de AI-verordening, met een bron bij elke bevinding. Probeer de demo-omgeving

11. Doorgifte buiten de EER

Doorgifte van persoonsgegevens buiten de EER is alleen toegestaan op grond van hoofdstuk V: een adequaatheidsbesluit, passende waarborgen zoals standaardcontractbepalingen (SCC's) met een doorgiftetoetsing (TIA), of een beperkte uitzondering. Toegang op afstand vanuit een derde land, bijvoorbeeld door supportmedewerkers van een leverancier, geldt ook als doorgifte. Hosting in de EU alleen beslist de vraag dus niet.

Voor Amerikaanse leveranciers dekt het adequaatheidsbesluit voor het EU-VS Data Privacy Framework (Uitvoeringsbesluit (EU) 2023/1795) organisaties op de DPF-lijst. Een hogere voorziening tegen het arrest van het Gerecht dat het besluit in stand liet, is aanhangig (zaak C-703/25 P). Instellingen moeten dus weten welke leveranciers ervan afhankelijk zijn. Volgens artikel 49, lid 3, gelden de uitzonderingen voor toestemming en overeenkomst bovendien niet voor overheidsinstanties bij de uitoefening van hun publiekrechtelijke bevoegdheden, wat ze voor publieke instellingen beperkt.

Doorgifte stond centraal in verschillende zaken in het onderwijs. In 2022 legde het Deense Datatilsynet een verbod op aan de gemeente Helsingør voor het gebruik van Chromebooks en Google Workspace op scholen, ook voor doorgifte naar derde landen; dat verbod werd later opgeschort en vervangen door bevelen. Het Zweedse IMY beboette Umeå University in een zaak waarin onder meer gevoelige gegevens zonder passende bescherming in een clouddienst waren opgeslagen.

Lees meer: het EU-VS Data Privacy Framework voor universiteiten, het sjabloon voor een doorgiftetoetsing (Engels), de gratis tool voor doorgiftemechanismen en de CLOUD Act en digitale soevereiniteit.

12. Beveiliging en datalekken

Artikel 32 eist een beveiligingsniveau dat bij het risico past. Artikel 33 verplicht de instelling een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en indien mogelijk "uiterlijk 72 uur nadat hij er kennis van heeft genomen" bij de toezichthoudende autoriteit te melden, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt. Is het risico hoog, dan moeten ook de betrokkenen worden geïnformeerd (art. 34).

De 72 uur beginnen te lopen zodra de instelling op de hoogte is, niet pas wanneer de FG ervan hoort. De interne meldroute moet dus snel zijn en bij elke medewerker bekend. Procedures van instellingen laten vaste patronen zien:

• Aalto University: een vermoedelijk datalek "must be immediately reported by contacting the university's information security team" (moet direct worden gemeld bij het informatiebeveiligingsteam van de universiteit); de FG verzorgt de melding aan de Finse toezichthouder.
• Karolinska Institutet noemt alledaagse voorbeelden voor medewerkers, zoals een e-mail aan de verkeerde ontvanger, verloren gegevens en gekaapte inloggegevens.
• Trinity College Dublin vraagt medewerkers zonder vertraging te melden bij het data protection office en maakt duidelijk dat het melden van een datalek niet als disciplinaire kwestie wordt behandeld.
• NTNU scheidt beveiligingsincidenten (naar het SOC) van meldingen van privacyafwijkingen, en merkt op dat een melding "must describe the action, not the person who performed it" (de handeling moet beschrijven, niet de persoon die haar uitvoerde).

Artikel 33, lid 5, eist dat elk datalek wordt gedocumenteerd, ook als het niet aan de toezichthouder wordt gemeld. De Richtsnoeren 9/2022 van de EDPB leggen uit wanneer melden verplicht is. Onze gids over het afhandelen van datalekken (Engels), de datalek-toolkit en de meldklok voor datalekken helpen bij de voorbereiding. Instellingen kunnen ook onder nationale NIS2-regels vallen; zie NIS2 en universiteiten (Engels) en onze uitleg van de NIS2-richtlijn.

13. Bewaartermijnen en archivering

Persoonsgegevens mogen niet langer worden bewaard dan nodig is voor hun doel (opslagbeperking, art. 5, lid 1, sub e), maar gegevens die uitsluitend worden bewaard voor archivering in het algemeen belang of voor onderzoek mogen met waarborgen langer worden bewaard. Voor publieke instellingen bepaalt de nationale archiefwetgeving vaak wat moet worden bewaard en hoe lang. Stel het bewaarschema daarom op met de archivaris, niet alleen met de FG.

Voorbeelden van hoe nationale regels bewaartermijnen bepalen:

• Lund University legt uit dat persoonsgegevens op grond van de Zweedse archiefwet (1990:782) "in some cases indefinitely in the University's archive" (in sommige gevallen voor onbepaalde tijd in het archief van de universiteit) kunnen worden bewaard.
• Université Paris-Saclay bewaart gegevens van toegelaten aanmelders 50 jaar op grond van de Franse archiefregels: "Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans" (voor toegelaten kandidaten worden ze daarna 50 jaar bewaard).
• De Universiteit Utrecht bewaart ruwe onderzoeksdata "for at least ten years after publication of the research results" (ten minste tien jaar na publicatie van de onderzoeksresultaten), in lijn met de regels voor wetenschappelijke integriteit.

Bij leverancierssystemen gaat het met bewaartermijnen het vaakst mis: een gegeven dat in het studentinformatiesysteem is verwijderd, kan blijven bestaan in een enquêtetool, een videoplatform of back-ups. Ons sjabloon voor een bewaarschema (Word-bestand, Engels) bevat een kolom voor de systemen waarin elk soort gegeven staat.

14. Onderzoek en artikel 89

De AVG is relatief onderzoeksvriendelijk. Artikel 9, lid 2, sub j, staat de verwerking van bijzondere persoonsgegevens voor onderzoek toe op basis van Unierecht of lidstatelijk recht, en artikel 89, lid 1, eist waarborgen, met name minimale gegevensverwerking en waar mogelijk pseudonimisering. Artikel 89, lid 2, laat nationaal recht sommige rechten beperken als die het onderzoek ernstig zouden belemmeren.

Hoe dit uitwerkt, verschilt sterk per land. Een overzichtsgids kan dus alleen de hoofdlijnen geven. Enkele voorbeelden:

• Universiteit Utrecht: "Conducting scientific research is a task of public interest entrusted to the UU" (het verrichten van wetenschappelijk onderzoek is een taak van algemeen belang die aan de UU is opgedragen), waarbij voor bijzondere persoonsgegevens uitdrukkelijke toestemming wordt gevraagd.
• Universiteit van Kopenhagen: zonder toestemming worden gevoelige onderzoeksgegevens verwerkt op grond van artikel 6, lid 1, sub e en artikel 10 van de Deense gegevensbeschermingswet, maar alleen "if the processing is aimed at statistical or scientific studies with potential public interest" (als de verwerking is gericht op statistisch of wetenschappelijk onderzoek met een mogelijk algemeen belang).
• Trinity College Dublin gebruikt artikel 9, lid 2, sub j met de waarborgen van artikel 89, lid 1, en merkt op dat de Ierse regels voor gezondheidsonderzoek nog steeds uitdrukkelijke toestemming eisen voor gezondheidsonderzoek.
• De bibliotheek van University College Dublin herinnert onderzoekers eraan dat de AVG "applies to any research that uses personal data, including scientific research and studies in the arts and humanities" (geldt voor elk onderzoek met persoonsgegevens, ook wetenschappelijk onderzoek en onderzoek in de kunsten en geesteswetenschappen).
• In Noorwegen gebruiken instellingen met een overeenkomst het meldformulier van Sikt; Sikt omschrijft zijn rol als "to advise and guide you on how to process personal data lawfully" (u adviseren en begeleiden bij het rechtmatig verwerken van persoonsgegevens).

Studenten die een afstudeerproject doen, zijn een veelvoorkomende blinde vlek. Uppsala University beschouwt de universiteit als verwerkingsverantwoordelijke voor afstudeerprojecten en vertelt studenten dat "when processing sensitive personal data, consent must be obtained before the processing begins" (bij het verwerken van gevoelige persoonsgegevens toestemming moet zijn verkregen voordat de verwerking begint).

Verdiep u verder met de grondslag voor onderzoek, privacyverklaringen voor onderzoeksdeelnemers, regelingen voor gezamenlijke verwerkingsverantwoordelijken, overeenkomsten voor het delen van gegevens, waar u onderzoeksdata opslaat en de AVG en AI-tools in onderzoek (Engels).

15. AI-tools en de AI-verordening

De AVG geldt voor AI-tools op dezelfde manier als voor elke andere verwerking: een grondslag, een verwerkersovereenkomst, toetsing van doorgifte en vaak een DPIA. De AI-verordening (Verordening (EU) 2024/1689) voegt aparte plichten toe voor instellingen als gebruiksverantwoordelijke. Ze vervangt de AVG niet, en de meeste AI-tools die instellingen nu gebruiken, roepen meer AVG-vragen op dan vragen onder de AI-verordening.

De AI-verordening is gewijzigd door Verordening (EU) 2026/1744 (de digitale omnibus voor AI), die sinds 27 juli 2026 in werking is. Op 9 oktober 2026 is de situatie voor instellingen als volgt:

Validemics analyse De AVG-vragen die u bij elke AI-tool moet stellen: gebruikt de leverancier gegevens van de instelling om modellen te trainen, verschilt dat tussen gratis en institutionele abonnementen, welke aanbieders van AI-modellen zijn subverwerker en waar zitten ze, en neemt of ondersteunt de tool besluiten over studenten waarop artikel 22 van toepassing kan zijn? Instellingen die deze vragen nu beantwoorden, zullen de hoogrisicoplichten van 2027 veel eenvoudiger vinden.

Lees meer: de AI-verordening voor universiteiten (Engels), de AI-verordening uitgelegd, de AI-verordening-check voor het onderwijs, ons sjabloon voor een AI-beleid, AI-tools die Europese universiteiten hebben goedgekeurd en AI-diensten van Noordse universiteiten (Engels). Bibliotheken die over AI-clausules in contentlicenties onderhandelen, kunnen terecht bij bibliotheeklicenties, AI en tekst- en datamining.

16. Handhaving: waarvoor universiteiten en scholen zijn beboet

Toezichthouders hebben niet alleen bedrijven beboet, maar ook universiteiten en hogescholen. Of een overheidsorgaan een boete kan krijgen, bepaalt het nationale recht: volgens artikel 83, lid 7, kan elke lidstaat regels vaststellen over de vraag "of en in hoeverre administratieve geldboeten kunnen worden opgelegd aan in die lidstaat gevestigde overheidsinstanties en overheidsorganen". De onderstaande zaken komen van de eigen pagina's van de toezichthouders.

Validemics analyse Het patroon is consistent. Instellingen worden zelden beboet voor exotische juridische vragen. Ze worden beboet voor gewone beveiliging (e-mail, webservers), voor het invoeren van toezichts- of biometrische technologie zonder deugdelijke grondslag en DPIA, en voor het onderbrengen van gevoelige gegevens in diensten die niet waren beoordeeld. Elk daarvan is te voorkomen met de basismaatregelen uit het plan hieronder.

17. Wie doet wat binnen een instelling

De AVG legt de verantwoordelijkheid bij de instelling als verwerkingsverantwoordelijke, en in de praktijk bij het bestuur en de proceseigenaren. De FG adviseert en houdt toezicht. Het meeste werk wordt door andere onderdelen gedaan, en er ontstaan gaten waar elk onderdeel aanneemt dat een ander iets heeft gecontroleerd.

Leg de taakverdeling vast. Een korte verantwoordelijkheidsmatrix, vastgesteld door het bestuur, voorkomt de meeste discussies en maakt de toezichthoudende rol van de FG mogelijk. Onze gidsen over privacy van bibliotheekgebruikers en toegankelijkheid bij inkoop behandelen twee terreinen waar de verantwoordelijkheid vaak onduidelijk is.

18. Een nalevingsplan van twaalf maanden

Het plan hieronder past bij een instelling die de basis op papier heeft staan, maar die nog moet laten werken. Pas de volgorde aan uw eigen tekortkomingen aan; een instelling met een recent datalek begint met beveiliging. Elk onderdeel moet een document of besluit opleveren.

Bronnen

1. Verordening (EU) 2016/679 (AVG), tekst in het Publicatieblad, overwegingen 43 en 47, artikelen 5, 6, 9, 10, 12 tot en met 14, 17, 22, 28, 30, 32 tot en met 39, 49, 83, 88 en 89 (geraadpleegd op 9 oktober 2026).
2. Verordening (EU) 2024/1689 (AI-verordening), artikelen 4, 5, 26, 27, 50 en bijlage III, en Verordening (EU) 2026/1744 (digitale omnibus voor AI).
3. Uitvoeringsbesluit (EU) 2023/1795 van de Commissie (EU-VS Data Privacy Framework) en hogere voorziening in zaak C-703/25 P.
4. EDPB, Guidelines 1/2024 on processing based on Article 6(1)(f) GDPR, versie 1.0, randnummers 98 en 99 (geraadpleegd op 9 oktober 2026).
5. EDPB, Richtsnoeren 05/2020 inzake toestemming (geraadpleegd op 9 oktober 2026).
6. Groep artikel 29, Richtsnoeren voor functionarissen voor gegevensbescherming (WP243 rev.01) (geraadpleegd op 9 oktober 2026).
7. EDPB, Coordinated Enforcement Action: Designation and Position of Data Protection Officers, rapport gepubliceerd in januari 2024 (geraadpleegd op 9 oktober 2026).
8. Groep artikel 29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen (WP248 rev.01) (geraadpleegd op 9 oktober 2026).
9. EDPB, Richtsnoeren 01/2022 over het recht op inzage (geraadpleegd op 9 oktober 2026).
10. EDPB, Richtsnoeren 9/2022 voor het melden van inbreuken in verband met persoonsgegevens (geraadpleegd op 9 oktober 2026).
11. Data Protection Commission (Ierland): Inquiry into University College Dublin en het besluit van 17 december 2020 (geraadpleegd op 9 oktober 2026).
12. Garante per la protezione dei dati personali: besluit van 16 september 2021 over Università Bocconi (docweb 9703988) en nieuwsbrief van 18 februari 2020 (docweb 9266789) (geraadpleegd op 9 oktober 2026).
13. IMY (Zweden): Umeå universitet en Gymnasienämnden i Skellefteå kommun (geraadpleegd op 9 oktober 2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (geraadpleegd op 9 oktober 2026).
15. Datatilsynet (Denemarken): besluit van 14 juli 2022 in de Chromebook-zaak (Helsingør) (geraadpleegd op 9 oktober 2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, juli 2024 (geraadpleegd op 9 oktober 2026).
17. Sikt: Notification form for personal data (geraadpleegd op 9 oktober 2026).
18. Universiteit van Oslo: Declaration on data protection (students) en Conditions for processing personal data (geraadpleegd op 9 oktober 2026).
19. Uppsala University: Data protection policy en GDPR in degree projects (geraadpleegd op 9 oktober 2026).
20. Lund University: Processing of personal data at Lund University (geraadpleegd op 9 oktober 2026).
21. Stockholm University: Processing of personal data at Stockholm University (geraadpleegd op 9 oktober 2026).
22. Karolinska Institutet: Report information security incidents and personal data breaches (geraadpleegd op 9 oktober 2026).
23. Universiteit van Helsinki: Data protection (geraadpleegd op 9 oktober 2026).
24. Aalto University: Aalto University data protection policy (geraadpleegd op 9 oktober 2026).
25. Universiteit van Kopenhagen: Privacy policy (geraadpleegd op 9 oktober 2026).
26. NTNU: Information security: digital security incidents and deviations (geraadpleegd op 9 oktober 2026).
27. KU Leuven: Processing of student data en Processing of research participants' data (geraadpleegd op 9 oktober 2026).
28. Universiteit van Amsterdam: Privacyverklaring (geraadpleegd op 9 oktober 2026).
29. Universiteit Utrecht: Privacy statement for participants in scientific research, Data protection officer en Functionaris gegevensbescherming (geraadpleegd op 9 oktober 2026).
30. Trinity College Dublin: Legal basis for research en Data breaches (geraadpleegd op 9 oktober 2026).
31. Bibliotheek van University College Dublin: Research data management: GDPR (geraadpleegd op 9 oktober 2026).
32. University of Edinburgh: Data protection impact assessments (geraadpleegd op 9 oktober 2026).
33. Université Paris-Saclay: verklaring over de verwerking van gegevens van aanmelders (eCandidat), september 2026 (geraadpleegd op 9 oktober 2026).
34. Universidad Complutense de Madrid: Delegado de Protección de Datos (geraadpleegd op 9 oktober 2026).
35. Universitat de Barcelona: informatie over gegevensbescherming (SICUE-mobiliteit) (geraadpleegd op 9 oktober 2026).
36. Universidade de Lisboa, Faculdade de Direito: Política de Privacidade (2021) (geraadpleegd op 9 oktober 2026).

Over deze pagina

Bronnen geraadpleegd op 9 oktober 2026. We hebben de AVG gelezen in de versie van het Publicatieblad van het Publicatiebureau van de EU, de documenten van de EDPB en de Groep artikel 29 hierboven, de eigen besluitpagina's van de toezichthouders en de privacypagina's van de genoemde instellingen. Citaten uit de AVG zijn overgenomen uit de officiële Nederlandse tekst. Citaten uit pagina's in andere talen staan in de oorspronkelijke taal, met een Nederlandse vertaling of toelichting tussen haakjes; die vertaling is van ons. Voorbeelden van instellingen laten zien hoe één instelling de AVG toepast onder haar eigen nationale recht; het zijn geen sjablonen voor elk land. De tijdlijn van de AI-verordening en het EU-VS Data Privacy Framework kunnen veranderen; we werken deze pagina dan bij. Onze eigen interpretatie staat gemarkeerd als Validemics analyse. Deze pagina bevat algemene informatie en is geen juridisch advies. Ziet u een fout of een verouderd punt? Neem contact met ons op, dan corrigeren we het.