Na de DPIA van SIVON

Dit is er veranderd in ParnasSys de Basis

Een pdf die je bekijkt zonder hem direct te downloaden. Een BSN dat je minder vaak onnodig tegenkomt. En binnenkort een overzicht van wie cijfers wijzigde of gegevens exporteerde. Kleine aanpassingen, met één doel: privacyrisico's verkleinen. Ze komen voort uit de Data Protection Impact Assessment (DPIA) die SIVON in november 2025 uitvoerde op ParnasSys de Basis.

Volgens SIVON kunnen scholen ParnasSys de Basis veilig gebruiken, en daar zijn we blij mee. Toch kregen we ook een aantal aanbevelingen mee. Omdat oktober de Europese maand van de cyberbeveiliging is, laten we graag zien waar we staan: een deel is inmiddels klaar, de rest volgt voor eind 2026.

Vier verbeteringen die je nu al merkt

De eerste aanpassingen draaien om één uitgangspunt: gegevens alleen tonen of delen als dat nodig is. Dat klinkt logisch, maar in de praktijk zie je soms meer dan nodig is, of deel je gegevens sneller dan je denkt. En daar hebben we iets aan gedaan. Soms betekent dat minder gegevens in beeld, zoals het BSN dat je op minder plekken tegenkomt. Soms juist meer, zoals een exportknop die je niet over het hoofd kan zien. Dit zijn de vier verbeteringen op een rij:

Pdf’s bekijken zonder te downloaden
Wil je een document even inzien? Dan hoef je het niet meer eerst te downloaden. Pdf’s openen voortaan eerst als voorbeeld in ParnasSys zelf. Een bestand met gevoelige leerlinginformatie dat je alleen wil bekijken, hoort niet in de downloadmap van je laptop.

Minder BSN in beeld
Voor veel taken in ParnasSys heb je het burgerservicenummer (BSN) niet nodig. Daarom hebben we het waar mogelijk uit bestaande schermen en functies gehaald. Zo worden alleen  de persoonsgegevens getoond die echt nodig zijn.

BSN-rechten herkenbaar in Privacybasis
Gebruik je Privacybasis? Dan krijg je als beheerder direct meer inzicht. Rechten die het BSN zichtbaar maken, hebben nu de toevoeging “incl. BSN” gekregen. Bij het toekennen van rechten weet je dus meteen waar je ‘ja’ tegen zegt.

Herkenbare exportknoppen
Alle knoppen waarmee je gegevens exporteert, zijn roze en bevatten het woord “Export”. Zo zie je meteen wanneer gegevens ParnasSys verlaten.

Dit volgt voor het einde van 2026

Naast de verbeteringen die al klaar zijn, werken we aan maatregelen die niet direct zichtbaar of op bestuursniveau te vinden zijn.

Een extra beveiligingslaag voor medische gegevens
De databaseservers en back-ups van ParnasSys zijn al versleuteld. Voor specifieke medische velden voegen we daar een extra beveiligingslaag aan toe. Zo versterken we de bescherming van juist deze gevoelige gegevens.
In de DPIA hebben we toegezegd dat voor 1 september 2026 te doen. Die datum hebben we niet gehaald. De extra laag volgt nu voor het einde van dit jaar, samen met het nieuwe auditlogdashboard.

Uitgebreide logging voor besturen
Met het nieuwe auditlogdashboard zien gebruikers met de juiste rol binnen het bestuur wie cijfers heeft toegevoegd, gewijzigd of verwijderd, en wie gegevens heeft geëxporteerd of gedownload. Omdat een auditlog zelf ook gevoelige informatie bevat, is de toegang bewust beperkt.

Daarmee kun je als bestuur zelf nagaan wat er met leerlinggegevens gebeurt, en dat ook aantonen. Dat sluit aan bij het IBP-normenkader, waarin logging en monitoring een belangrijke plek hebben.

De komende maanden bouwen we verder, met een duidelijke stip op de horizon: voor het einde van 2026 zijn alle verbeterpunten uit de DPIA doorgevoerd.

Wat kun je als bestuur zelf doen? 4 handige tips

Ook als bestuur kun je iets doen met de aanbevelingen van SIVON. Hiermee kun je vandaag al aan de slag:

  • Zet groepsautorisatie aan. Leerkrachten en andere medewerkers zien dan alleen de gegevens van de groepen waar ze bij betrokken zijn.
    Sinds augustus nemen we je daarbij een deel van het werk uit handen: bij een nieuwe of gewijzigde aanstelling gaat groepsautorisatie automatisch aan voor de rollen Leerkracht, Leerkracht beperkt, Leerlingkaart en Map. Voor bestaande aanstellingen en andere rollen is het goed om nog even zelf te kijken of alles klopt.
  • Stel tweestapsverificatie (2FA) in. ParnasSys dwingt dit niet standaard af, maar je kunt hier als bestuur zelf voor kiezen. Dit maakt het voor onbevoegden een stuk moeilijker om toegang te krijgen tot gegevens.
  • Beperk het aantal beheerdersaccounts. De rol van applicatiebeheerder geeft namelijk brede toegang tot persoonsgegevens. Elk extra beheerdersaccount is dus een extra deur naar al die gegevens.
  • Houd zicht op rechten en rollen. Medewerkers wisselen van functie of gaan weg, en hun rechten blijven vaak ongemerkt staan. Gebruik je Privacybasis? Dan zie je in één overzicht wie welke rechten heeft binnen je organisatie, en ruim je makkelijk op wat niet meer nodig is.

Meer lezen?

Lees de volledige DPIA Basis ParnasSys en de veelgestelde vragen over de DPIA op de website van SIVON.