NSE en verwerking persoonsgegevens

Studiekeuze123 verwerkt persoonsgegevens van studenten bij de uitvoering van de NSE. De Algemene verordening gegevensbescherming (AVG) stelt eisen omtrent de verwerking van persoonsgegevens, waaronder een verantwoordingsplicht.

In het kader van deze verantwoordingsplicht informeert Studiekeuze123 studenten over hoe we omgaan met hun gegevens in de NSE via een specifieke vraag-antwoordpagina: NSE en Privacy. Hier wordt antwoord gegeven op vragen als 'Hoe komen jullie aan mijn e-mailadres?' en 'Welke informatie ontvangt mijn hogeschool of universiteit als ik deelneem aan de NSE?'.

Bekijk de Privacyverklaring Nationale Studenten Enquête 2023.

Beveiliging resultaatbestanden

We zorgen voor een beveiliging van de databestanden die resultaten van de NSE bevatten, waaronder het openbaar Benchmarkbestand en het Instellingsbestand. Lees de notitie Beveiliging Benchmarkbestand.

Specifiek voor de beveiliging van het instellingsbestand is een extra notitie geschreven. Hierin lees je meer over de opbouw en beveiliging van het bestand, over de beveiligingsregels en over wat er in maatwerk mogelijk is wat betreft beveiliging en teruglevering. Lees de notitie Beveiliging Instellingsbestand.

Procedure datalekken

Mocht er zich een datalek voordoen bij de verwerking van persoonsgegevens, dan start de procedure datalekken. Deze is vastgelegd in de gegevensuitwisselingsovereenkomsten tussen de onderwijsinstellingen en Studiekeuze123 en de verwerkersovereenkomst tussen Studiekeuze123 en MWM2.

Wanneer zich in het kader van de NSE een datalek voordoet bij een van de betrokken organisaties, dan legt deze partij de volgende zaken vast:

• De aard van het datalek;
• De geconstateerde en vermoedelijke gevolgen van het datalek voor de verwerking(en) van persoonsgegevens;
• De maatregelen die zijn getroffen om de gevolgen te verhelpen of te matigen.

De partij waar het datalek zich voordoet, stelt de andere contractuele partij binnen 24 uur op de hoogte. Hiervoor is door alle deelnemende universiteiten en hogescholen een contactpersoon aangewezen, waarvan het e-mailadres en het telefoonnummer bekend zijn. De partij waar het datalek zich voordoet, meldt het datalek indien nodig aan de Autoriteit Persoonsgegevens en indien nodig aan de betrokkenen. De functionaris gegevensbescherming bepaalt op basis van de richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens of een melding nodig is. Wanneer de partijen vaststellen dat het datalek aan de betrokkenen gemeld moet worden, vindt dit in onderlinge coördinatie plaats.

Meer over de verwerking van NSE-data in relatie tot de AVG.