We krijgen vaak vragen over hoe de Children’s Online Privacy Protection Act van toepassing is in de schoolomgeving. DE CUP-regel geeft ouders controle over welke informatie “een exploitant van een website of online dienst” – ja, inclusief apps – kan verzamelen van hun kinderen jonger dan 13 jaar. COPPA vereist onder meer dat entiteiten die onder de wet vallen, ouders op de hoogte stellen en hun goedkeuring verkrijgen voordat ze persoonlijke informatie van kinderen verzamelen, gebruiken of openbaar maken. Hoe is COPPA van toepassing op scholen? Hier is het korte antwoord: scholen – die meestal deel uitmaken van de lokale overheid – vallen niet onder de wettelijke definitie van wie onder de COPPA valt, omdat ze geen commerciële ‘exploitanten’ zijn. Dat gezegd hebbende, staan scholen soms toe, of eisen ze zelfs, dat leerlingen gebruik maken van door COPPA gedekte sites en diensten die kennisgeving moeten doen en verifieerbare toestemming van de ouders moeten verkrijgen.
Deze vraag is niet nieuw. Toen de FTC in 1999 de oorspronkelijke COPPA-regel uitvaardigde, werd ingegaan op de vraag hoe scholen kunnen optreden als tussenpersoon tussen aanbieders en ouders in het kennisgevings- en toestemmingsproces, of als ouderagent, die namens ouders optreedt. Dit is wat we toen over dit onderwerp zeiden in de Verklaring van de grondslagen en doeleinden van COPPA:
“Talrijke commentatoren uitten hun bezorgdheid over de manier waarop de regel van toepassing zou zijn op internetgebruik op scholen. Sommige commentatoren uitten hun bezorgdheid dat het vereisen van toestemming van de ouders voor het online verzamelen van informatie de activiteiten in de klas zou verstoren, vooral als er voor slechts één of twee kinderen geen toestemming van de ouders werd ontvangen. In reactie daarop merkt de Commissie op dat de regel scholen er niet van weerhoudt om als tussenpersoon tussen aanbieders en ouders op te treden in het kennisgevings- en toestemmingsproces, of om als ouderagent in het proces op te treden. Veel scholen vereisen bijvoorbeeld al de toestemming van de ouders voor internettoegang op school bij Daarom, Wanneer een exploitant door een school toestemming heeft gekregen om persoonlijke gegevens van kinderen te verzamelen, mag de exploitant, nadat hij de school op de hoogte heeft gesteld van de verzamelings-, gebruiks- en openbaarmakingspraktijken van de exploitant, ervan uitgaan dat de toestemming van de school gebaseerd is op het verkrijgen van ouderlijke toestemming door de school.
(Heb je hiervoor het citaat nodig? Het is 64 Fed. Reg. 59888, 59903.)
De mogelijkheid van de school om toestemming te geven namens een ouder is echter beperkt tot de educatieve context – met andere woorden, het is alleen van toepassing wanneer een exploitant persoonlijke informatie van leerlingen uitsluitend voor educatieve doeleinden verzamelt en niet voor andere commerciële doeleinden. Daarom hebben scholen, naast de centrale rol die zij spelen bij het creëren van een boeiende leeromgeving, ook een rol te spelen bij het beschermen van de privacy van leerlingen.
Onlangs hebben FTC-medewerkers vragen ontvangen over de vraag of COPPA online testaanbieders omvat, met name tests die twee consortia van staatsonderwijsinstellingen ontwikkelen. Het Partnership for Assessment of Readiness for College and Careers (PARCC) is een non-profitorganisatie die zichzelf omschrijft als “een alliantie van staten die samenwerken om gemeenschappelijke beoordelingen te ontwikkelen ten behoeve van bijna 24 miljoen studenten.” Het Smarter Balanced Assessment Consortium bestaat uit lidstaten en andere overheidsinstanties. Het idee is dat de tests online worden afgenomen bij schoolkinderen in het hele land. Hoewel we alle soorten entiteiten aanmoedigen om de privacy van kinderen te respecteren, strekt de handhavingsautoriteit van de FTC zich niet uit tot het verzamelen van informatie door deelstaatregeringen of de meeste non-profitorganisaties. Daarom vallen deze specifieke consortia, evenals de ontwikkeling en het beheer van hun tests, niet onder COPPA. Het is belangrijk om in gedachten te houden dat scholen om vele redenen tests afnemen, bijvoorbeeld om de prestaties van leerlingen en scholen te evalueren, maar dat scholen in veel gevallen ook moeten voldoen aan de wettelijke verplichtingen om leerlingen te testen onder federale, staats- en lokale wetten.
Meer in het algemeen is het doel van COPPA echter om de privacy van kinderen te beschermen tegen het online verzamelen van persoonlijke informatie door commerciële entiteiten. Veel ouders geven om de privacy van hun kinderen en verwachten terecht dat scholen deze beschermen. Maar COPPA was niet bedoeld om de traditionele ouder-schoolrelatie te vervangen als het gaat om het verzamelen van informatie uitsluitend voor educatieve doeleinden in de schoolcontext en met toestemming van de school. Dit geldt ook wanneer dergelijke informatie online wordt verzameld.
Uiteraard hebben onderwijsinstellingen en instellingen op grond van de Family Educational Rights and Privacy Act (FERPA) specifieke verplichtingen om de privacy van studenten te beschermen, inclusief het beschermen van persoonlijke informatie in de onderwijsdossiers van kinderen tegen verdere openbaarmaking of gebruik zonder schriftelijke toestemming van de ouders, tenzij dit op grond van FERPA is toegestaan.
Samenvattend biedt COPPA belangrijke bescherming voor de persoonlijke informatie van kinderen in de commerciële ruimte en erkent het ook de speciale rol die scholen kunnen spelen bij het verlenen van toestemming voor het online verzamelen van kinderinformatie, uitsluitend voor educatieve diensten, zoals online testen.
