Een privacyverklaring voor de kinderopvang moet verder gaan dan een standaardtekst. U verwerkt gegevens van kinderen, vaak ook over hun gezondheid en ontwikkeling, en u deelt gegevens met partijen als de GGD en de Belastingdienst. De privacyverklaring richt zich vooral op ouders: zij moeten kunnen lezen wat u over hun kind vastlegt, waarom, met wie u dat deelt en hoe lang u het bewaart.
In het kort
- Een kinderopvangorganisatie verwerkt gegevens van kinderen, ouders, medewerkers, sollicitanten en soms gastouders. Elke groep hoort in de privacyverklaring.
- Gegevens over gezondheid, zoals allergieën en medicatie, zijn bijzondere persoonsgegevens met strengere regels (artikel 9 AVG).
- Voor foto's en video's van kinderen jonger dan 16 heeft u toestemming van de ouders nodig, per doel.
- Een deel van uw verwerkingen volgt uit de Wet kinderopvang, zoals de meldcode en het toezicht door de GGD. Dat hoort ook in de verklaring.
Wiens gegevens verwerkt een kinderopvang?
Een kinderopvang verwerkt gegevens van meer groepen dan de meeste bedrijven. In de privacyverklaring beschrijft u per groep wat u verwerkt:
- kinderen: naam, geboortedatum, opvangdagen, ontwikkeling, gezondheid, foto's;
- ouders en verzorgers: contactgegevens, gezinssituatie, betaal- en contractgegevens;
- medewerkers, stagiairs en vrijwilligers: personeelsgegevens en de inschrijving in het personenregister kinderopvang;
- sollicitanten: cv, motivatie en de verklaring omtrent het gedrag (VOG) bij aanname;
- websitebezoekers en belangstellenden: gegevens uit het inschrijf- of rondleidingsformulier.
Voor ouders is één duidelijke privacyverklaring het belangrijkst. Voor medewerkers en sollicitanten kunt u een aparte tekst maken, of een eigen hoofdstuk in dezelfde verklaring.
Welke gegevens en grondslagen horen in de privacyverklaring?
Voor elke verwerking noemt u het doel en de grondslag: de wettelijke reden waarom u de gegevens mag verwerken (artikel 6 AVG). In de kinderopvang zien de belangrijkste verwerkingen er zo uit:
| Gegevens | Waarvoor | Grondslag |
|---|---|---|
| Naam, adres, contactgegevens ouders en kind | Plaatsing, planning, facturatie | Uitvoering van de opvangovereenkomst |
| Burgerservicenummer (BSN) van ouder en kind | Maandelijkse opgave aan de Belastingdienst voor de kinderopvangtoeslag | Wettelijke verplichting; het BSN mag u alleen gebruiken waar een wet dat voorschrijft (artikel 46 UAVG) |
| Allergieën, medicatie, dieet, medische bijzonderheden | Veilige verzorging | Uitdrukkelijke toestemming van de ouders, of het vitaal belang van het kind in een noodsituatie (artikel 9 AVG) |
| Observaties en ontwikkeling (kindvolgsysteem) | Pedagogisch beleid en mentorgesprekken | Uitvoering van de overeenkomst en de kwaliteitseisen uit de Wet kinderopvang |
| Foto's en video's | Ouderapp, website, sociale media | Toestemming van de ouders, per doel |
| Signalen van huiselijk geweld of kindermishandeling | Werken volgens de meldcode | Wettelijke verplichting (artikel 1.51a Wet kinderopvang) |
| Gegevens bij de overdracht naar de basisschool | Doorgaande ontwikkellijn | Na overleg met de ouders, bij voorkeur met hun toestemming |
Gebruik in uw eigen verklaring de verwerkingen die u werkelijk uitvoert. Een gastouderbureau heeft bijvoorbeeld andere verwerkingen dan een kinderdagverblijf met buitenschoolse opvang.
Hoe gaat u om met gezondheidsgegevens van kinderen?
Gegevens over gezondheid vallen onder de bijzondere persoonsgegevens van artikel 9 AVG. Die mag u alleen verwerken als een van de uitzonderingen uit dat artikel geldt. In de kinderopvang is dat meestal de uitdrukkelijke toestemming van de ouders, of het vitale belang van het kind als er acuut iets moet gebeuren.
In de privacyverklaring vermeldt u welke gezondheidsgegevens u vastlegt, waarom, en wie ze kan inzien. Beperk dat tot wat de pedagogisch medewerkers nodig hebben om het kind veilig te verzorgen. Een allergie hoort op de groep bekend te zijn; een volledig medisch verslag meestal niet.
Wat zegt de privacyverklaring over foto's en video's?
Voor foto's en video's van kinderen jonger dan 16 jaar heeft u toestemming van de ouders nodig. Dat volgt uit artikel 5 van de Uitvoeringswet AVG, en de Autoriteit Persoonsgegevens licht het toe in haar uitleg over beeldmateriaal in het onderwijs, die ook voor de kinderopvang bruikbaar is.
De toestemming moet per doel gevraagd worden. Een foto in de besloten ouderapp is iets anders dan een foto op uw website of Instagram. Ouders moeten de toestemming even makkelijk kunnen intrekken als geven (artikel 7 lid 3 AVG).
De privacyverklaring legt uit hoe u met beeldmateriaal omgaat. De toestemming zelf vraagt u apart, bijvoorbeeld met een formulier bij de inschrijving. Een voorbeeldformulering voor de verklaring:
"Wij plaatsen foto's van de groep alleen in de ouderapp, en alleen van kinderen van wie de ouders daarvoor toestemming hebben gegeven. Voor publicatie op onze website of sociale media vragen wij apart toestemming. U kunt uw keuze altijd wijzigen via de app of bij de locatiemanager."
Gebruikt u geen ouderapp of publiceert u nooit foto's, pas de formulering dan aan; een tekst die beschrijft wat u niet doet, wekt verwarring.
Met wie deelt een kinderopvang gegevens?
De ontvangers vormen het onderdeel waarin een kinderopvang het meest afwijkt van een gewoon bedrijf. Denk aan:
- de GGD, die namens de gemeente toezicht houdt en daarvoor gegevens mag inzien (artikel 1.61 en 1.67 Wet kinderopvang);
- de Belastingdienst, die maandelijks onder meer het BSN van kind en ouders, de afgenomen uren en het uurtarief ontvangt voor de kinderopvangtoeslag (zie Ondernemersplein);
- de gemeente, bijvoorbeeld bij voorschoolse educatie of een gemeentelijke regeling;
- de basisschool, bij de overdracht wanneer het kind vier wordt;
- Veilig Thuis, als u volgens de meldcode een melding doet;
- softwareleveranciers, zoals uw planningssysteem, ouderapp en administratiepakket.
Softwareleveranciers zijn verwerkers: zij verwerken gegevens in uw opdracht. Met hen sluit u een verwerkersovereenkomst (artikel 28 AVG). In de privacyverklaring noemt u ze bij naam of als categorie, en u vermeldt het als gegevens buiten de Europese Economische Ruimte worden opgeslagen.
Hoe lang bewaart een kinderopvang gegevens?
Voor uw financiële administratie, zoals contracten en facturen, geldt de fiscale bewaarplicht van zeven jaar. Voor kinddossiers, observaties en gezondheidsgegevens schrijft de AVG geen vaste termijn voor: u bewaart ze niet langer dan nodig voor het doel. Leg daarom per soort gegeven een eigen termijn vast en zet die in de privacyverklaring.
Een voorbeeld van een concrete formulering: "Observaties en het kinddossier bewaren wij tot het einde van de opvang. Na de overdracht naar de basisschool verwijderen wij ze binnen een jaar." Een wettelijke termijn voor kinddossiers is er niet; de termijn in dit voorbeeld is een keuze. Kies een termijn die u kunt onderbouwen, bijvoorbeeld met de afhandeling van vragen of klachten na het einde van de opvang.
Waar schiet een standaardtekst tekort in de kinderopvang?
Een algemene privacyverklaring is geschreven voor bedrijven die vooral contactgegevens van volwassen klanten verwerken. In de kinderopvang mist zo'n tekst meestal:
- de gegevens van kinderen en de rol van ouders als wettelijk vertegenwoordiger;
- gezondheidsgegevens en de grondslag uit artikel 9 AVG;
- de verwerkingen die de Wet kinderopvang voorschrijft, zoals de meldcode en het toezicht;
- de ontvangers die eigen zijn aan de sector, zoals GGD, Toeslagen en de basisschool;
- afspraken over foto's, de ouderapp en toestemming per doel;
- bewaartermijnen voor kinddossiers.
Werkt u met meerdere locaties, een gastouderbureau of voorschoolse educatie, dan komen daar verwerkingen bij. Bij twijfel over de grondslag van een specifieke verwerking is persoonlijk advies verstandig.
Wat u nu kunt doen
Leg de tabel hierboven naast uw huidige privacyverklaring en streep af welke verwerkingen erin staan. Controleer daarna of uw toestemmingsformulier voor foto's per doel een keuze geeft, en of uw verwerkersovereenkomsten met de leveranciers van de planning en de ouderapp rond zijn.
Gebruikt u de term privacyreglement voor uw interne afspraken, lees dan het verschil tussen een privacyverklaring, privacybeleid en privacyreglement. Meer over de basis staat in het artikel over de privacyverklaring. Wilt u een verklaring die op uw eigen organisatie is afgestemd, dan kunt u een privacyverklaring laten opstellen.
Dit artikel bevat algemene informatie en is geen persoonlijk juridisch advies. Of iets voor uw onderneming geldt, hangt af van uw specifieke situatie.