EdTech, e-learning en schoolplatforms

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
• Regulation (EU) 2024/1689 — AI Act, Annex III education
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA where content is hosted

Wie moet aanwijzen

Leveranciers die buiten de Unie zijn gevestigd en leerplatforms, beoordelingshulpmiddelen of klassoftware aanbieden aan scholen, universiteiten of leerlingen in de EU. Scholen zijn meestal verwerkingsverantwoordelijken en de leverancier een verwerker, maar leveranciers die gegevens gebruiken voor productverbetering of reclame worden voor die doeleinden verwerkingsverantwoordelijken en hebben hun eigen vertegenwoordiger nodig.

Drempels en vrijstellingen

Geen GDPR-drempel. Onder de AI-wet zijn systemen die worden gebruikt om toegang tot onderwijs te bepalen, leerresultaten te evalueren, studenten toe te wijzen of verboden gedrag tijdens toetsen te monitoren hoog risico onder Bijlage III, met verplichtingen die van toepassing zijn vanaf 2 augustus 2026.

Wat op het etiket moet

De identiteit van de vertegenwoordiger in de privacyverklaring en in de contractuele documentatie die aan scholen wordt gegeven. Waar AI wordt gebruikt voor beoordeling, de transparantie-informatie die vereist is door de AI-wet, en bekendmaking aan leerlingen dat zij interactie hebben met een AI-systeem.

Marktplaatsvelden

Openbare aanbestedingen in het onderwijs zijn waar dit in de praktijk wordt gehandhaafd: ministeries en schoolautoriteiten in verschillende lidstaten hebben platforms geblokkeerd of beperkt vanwege overdrachten, telemetrie en reclame, en aanbestedingsvragenlijsten vragen nu om de vertegenwoordiger, de overdrachtsanalyse en de AI-classificatie.

Documentatie die u moet bewaren

Artikel 30 registraties, Artikel 28 verwerkingsvoorwaarden met scholen, de Artikel 27 aanwijzing, een gegevensbeschermingseffectbeoordeling die de gegevens van kinderen dekt, documentatie van overdrachtsmechanismen, en een duidelijke scheiding tussen gegevens die op instructies van de school worden verwerkt en gegevens die voor de eigen doeleinden van de leverancier worden gebruikt. Voor hoog-risico AI: technische documentatie, risicobeheer, gegevensbeheer en de conformiteitsbeoordeling.

Normen en tests

Niet van toepassing op het platform, maar proctoringssystemen roepen nauwkeurigheids- en discriminatieproblemen op die moeten worden aangetoond, en de AI-wet vereist dat nauwkeurigheid, robuustheid en niveaus van cyberbeveiliging worden verklaard en getest.

Taalvereisten

Privacy-informatie in een vorm die kinderen kunnen begrijpen, in de taal van de leerlingen, wat Artikel 12 expliciet vereist voor informatie gericht aan een kind.

Vanaf wanneer

De vertegenwoordiger vóór de verwerking begint. AI-wet hoog-risico verplichtingen vanaf 2 augustus 2026.

Bewaartermijn

Leerlinggegevens alleen voor de periode die met de school is afgesproken, met verwijdering bij beëindiging. Gegevens behouden na afloop van een contract voor productverbetering is een terugkerende bevinding.

Bij niet-naleving

Tot €20 miljoen of 4% van de omzet, en dit is een sector waar autoriteiten doortastend hebben opgetreden omdat de betrokkenen kinderen zijn en toestemming niet vrijelijk wordt gegeven in een klaslokaal. AI-wet sancties zijn bovenop van toepassing voor hoog-risico systemen, tot €15 miljoen of 3%.

Wie handhaaft

Gegevensbeschermingsautoriteiten, onderwijsministeries als besluitvormers voor aanbestedingen, en AI-wet markttoezichtautoriteiten vanaf 2026.

Waar de grens ligt

De lijn tussen verwerker en verwerkingsverantwoordelijke is waar zaken verloren gaan: telemetrie, productanalyse en enige reclame maken de leverancier een verwerkingsverantwoordelijke voor die doeleinden, ongeacht de verwerkingsovereenkomst. Proctoring die het gezicht, de kamer of de toetsaanslagen van een student monitort is hoog-risico AI en, in sommige ontwerpen, een emotieherkenningssysteem, dat is verboden in het onderwijs onder Artikel 5.

Veelgestelde vragen

De school is de verwerkingsverantwoordelijke - hebben we nog steeds een vertegenwoordiger nodig?

Als je persoonlijke gegevens van leerlingen in de Unie verwerkt als verwerker onder Artikel 3(2), heb je je eigen vertegenwoordiger nodig. En voor elk doel dat je zelf bepaalt, ben je een verwerkingsverantwoordelijke.

Is AI-proctoring toegestaan?

Monitoring tijdens toetsen is hoog-risico onder Bijlage III. Systemen die emoties in onderwijsinstellingen afleiden zijn outright verboden onder Artikel 5, dus het ontwerp bepaalt of het gereguleerd of verboden is.