30 okt
2026

Onder de loep - Privacy op kamp: onder de top van de ijsberg

Met de herfstvakantie voor de deur schalen jeugdzorgorganisaties en kinderopvanginitiatieven hun activiteiten op naar tijdelijke vakantiekampen en dagopvang. Voor Data Protection Officers (DPO's) en privacy professionals is dit het uitgelezen moment om de naleving van het recht op gegevensbescherming van deze minderjarigen na te gaan en op punt te stellen. Tijdens de afgelopen drie jaar stegen de compliance-risico's aanzienlijk, met name rondom de verwerking van bijzondere persoonsgegevens (zoals informatie betreffende een allergie, het opvragen van een uittreksel strafregister of de publicatie van beeldmateriaal). Gelet op  de risico’s en de kwetsbaarheid van de doelgroep is een proactieve aandacht voor deze risico’s en het correct handhaven van de regels voor de bescherming van de persoonsgegevens van kinderen, jongeren en monitoren bij instanties die instaan voor opvang en jeugdzorg een aandachtspunt voor de Inspectiedienst.

Er is in de sector (terecht) veel aandacht voor het overmatig delen van foto’s van kinderen. De “sharenting” risico’s die het (overmatig) delen van foto’s van de eigen kinderen  met zich meebrengt werden door de GBA nog recent bij de start van het nieuwe schooljaar via sociale media  aangekaart en dit volgend op eerdere initiatieven van de Franse  en Ierse  autoriteiten. Het “sharenting” risico plaatst het verwijzen naar de ouderlijke toestemming als legitimatie voor de verwerking van persoonsgegevens van (jongere) minderjarigen in een andere context en belicht de nood aan het actief beheren van dit risico bij de verwerking van persoonsgegevens van minderjarigen.

Maar ‘sharenting’ is slechts het topje van de ijsberg. Uit onderzoek van de inspectiedienst blijkt dat er sprake is van toename van andere risico’s in de sector van jeugdzorg en kinderopvang. Door de toename aan plichten in de federale en regionale reglementering groeide de afgelopen jaren de complexiteit voor verwerkingsverantwoordelijken die actief zijn in sector van jeugdzorg en kinderopvang. We wijzen naar voorbeelden zoals de recent verruimde controleplicht op het uittreksel strafregister (“model 596_2”) van monitoren via Decreten in Wallonië en Vlaanderen om (terecht) het risico op misbruik van kinderen tegen te gaan en de plicht op basis van federale wetgeving om op de fiscale modelformulieren de nummers van het rijksregister van ouder en kind te vermelden. 

We verwijzen ook naar de praktijk van bezorgde ouders om informatie over de gezondheid van minderjarigen (bv. allergieën, …) te (laten) verwerken via e-mail of op  geautomatiseerde platformen terwijl een verwerkingsverbod bestaat en er wettelijke en veilige alternatieven bestaan via de klassieke gezondheidszorg die mogelijkheden bieden voor het delen van informatie over de gezondheid op veilige en wettelijke wijze (huisartsen, ziekenhuisnetwerken en elektronisch patiëntendossier). Anderzijds is het vertrouwen op de toestemming van de ouders niet altijd zonder risico (“sharenting”), bovendien is de gegeven toestemming niet altijd goed geregeld of voldoende geïnformeerd (bewaren op media zonder duidelijke beperking qua bewaring of respect voor de regels om een geldige toestemming te kunnen verlenen, intrekken en bewijzen).

Op dit gebied bestaan er misvattingen en zien we nog onvoldoende investering in het onderzoek van risico’s. Daarbij is de indruk dat de private sector van jeugdzorg en kinderopvang nog dient te werken aan praktische oplossingen zoals we zien in de publieke sector (bv. beroep op advies van gemeenschappelijke externe FG’s die ook bekend zijn met de eigenheid van de sector).

Bij onderzoek gaat de Inspectiedienst courant na of verwerkingsverantwoordelijken tijdig investeren in advies op maat en beoordeling van risico’s. Typische vragen en formele controlepunten zijn of er een correcte privacyverklaring werd opgesteld, of een FG werd aangeduid en of er aandacht wordt besteed aan de risico’s via een (correcte) DPIA. Dit als bewijs van een investering in risicobeheersing en behoorlijke documentatie. 

De Inspectiedienst stelde bij een achtergrondonderzoek van meerdere privacyverklaringen vast dat gesubsidieerde landelijke jeugdverenigingen wel vaak een privacyverklaring hebben maar dat zelden wordt verwezen naar een aangestelde functionaris voor gegevensbescherming. Ook online zien we geen duidelijke bevestiging van deze plicht om (in de private sector) een FG aan te stellen en lijkt er zelfs twijfel te bestaan. Van zodra fiscale attesten moeten worden aangemaakt waarbij de nummers van het rijksregister van ouders en kinderen moeten worden verwerkt is nochtans de tussenkomst van een functionaris verplicht sinds eind 2018 (artikel 10 van de wet van 8 augustus 1983 op het Rijksregister). 

Door de groeiende complexiteit zijn de afgelopen jaren de risico’s toegenomen dat foute inschattingen worden gemaakt waarbij de wettelijke plichten verkeerd of op een onevenredige wijze worden uitgelegd en alternatieven niet worden overwogen of onderzocht.  Een opvallende misvatting is bv. dat kandidaat monitoren steeds een blanco uittreksel strafregister zouden moeten kunnen voorleggen. 

De GBA kan als onafhankelijke instantie die o.m. belast is met taken van inspectie niet de rol van persoonlijk adviseur opnemen voor elke verwerkingsverantwoordelijken in de sector die vaak een totaal andere werkwijze en situatie heeft. 

We merken ook dat er steeds vaker gebruik wordt gemaakt van AI om de verplichtingen op het gebied van privacy te begrijpen en na te leven. Publieke en (voor niet juristen) begrijpelijke informatie is evenwel online te vinden via draaiboeken en op websites (*) zonder dat gebruik moet worden gemaakt van AI tools om informatie te krijgen die niet  steeds accuraat is of aangepast aan de concrete situatie. Aanvullend kan een professioneel advies op het juiste moment zoeken naar wettelijke en meer evenredige oplossingen. Dit liefst nog voor een inspectie start zodat geen  structurele inbreuken op de AVG gedurende meerdere jaren moeten worden vastgesteld en een verzuim om te investeren in de bescherming van persoonsgegevens van kinderen, jongeren en monitoren.

In afwachting van meer investering in het onderzoek naar de risico’s is verzuim van investeringsgedrag derhalve geen excuus om de AVG te (blijven) schenden. De GBA wil daarom aandacht vestigen op deze aspecten, in het belang van zowel jongeren als organisaties : pak het topje van de ijsberg aan, maar vergeet ook niet de risico’s die eronder schuilgaan.

Volgende maand onder de loep : e-mails bewijzen hun nut! 

 

(*) Voorbeelden :