Digitale certificaten en de AVG: wat opleiders moeten weten

Voor opleiders in Nederland en België is zorgvuldig omgaan met de gegevens op certificaten geen extraatje meer, maar een vast onderdeel van het werk.

Certificaten gaan steeds vaker digitaal de deur uit. Dat scheelt administratie en maakt delen eenvoudiger, maar het betekent ook dat opleidingsbedrijven, hogescholen, HR-afdelingen en adviesbureaus persoonsgegevens verwerken via een online platform. In dit artikel lees je waar je op let: opslag in de EU, de AVG, een verwerkersovereenkomst en een controle die niet meer laat zien dan nodig. Dit artikel is geen juridisch advies; raadpleeg bij twijfel je functionaris gegevensbescherming of de Autoriteit Persoonsgegevens.

Belangrijkste inzichten

• Opslag in de EU maakt het eenvoudiger. Als de gegevens binnen de EU blijven, heb je geen extra waarborgen nodig voor doorgifte naar landen daarbuiten.
• Privacy hoort in het ontwerp. Een platform dat vanaf het begin rekening houdt met de AVG scheelt je achteraf veel aanpassingen.
• Controle moet eenvoudig zijn. Een certificaat is pas nuttig als iemand het zonder inlog kan controleren, zonder dat er meer gegevens zichtbaar worden dan nodig.
• Een digitale handtekening helpt. Een gewijzigde kopie komt niet overeen met wat de verificatiepagina laat zien.

Waarom certificaten onder de AVG vallen

Een certificaat bevat bijna altijd persoonsgegevens: de naam van de deelnemer, de gevolgde cursus, de datum en soms meer. Wie die gegevens verwerkt voor mensen in de EU, valt onder de Algemene verordening gegevensbescherming (AVG). Als opleider ben je meestal de verwerkingsverantwoordelijke; het platform waarmee je certificaten maakt en verstuurt, is je verwerker.

De keuze voor een platform is daarom niet alleen technisch. Het bepaalt waar de gegevens staan, wie erbij kan en hoe je verzoeken van deelnemers afhandelt.

Opslag in de EU

De AVG stelt strenge regels aan doorgifte van persoonsgegevens naar landen buiten de EU. Staan de gegevens van je certificaten op servers buiten de EU, dan heb je vaak extra waarborgen nodig, zoals modelcontractbepalingen en een beoordeling van het beschermingsniveau in dat land. Dat kost tijd en geeft onzekerheid als de regels of uitspraken veranderen.

Als de gegevens van je certificaten binnen de EU blijven, vervalt een groot deel van het werk rond doorgifte naar andere landen.

Met een platform dat de gegevens in de EU opslaat, blijven ze onder de Europese privacywetgeving. Voor organisaties in de publieke sector en in sterk gereguleerde sectoren is dat vaak een harde eis. Diplino slaat de gegevens op in Stockholm. Dat is een eis waar we aan voldoen, geen bijzonder kenmerk; vraag het bij elke aanbieder na.

Privacy vanaf het ontwerp

Naast de opslaglocatie telt hoe een platform met gegevens omgaat. De AVG vraagt om gegevensbescherming door ontwerp en standaardinstellingen. Voor een certificatenplatform betekent dat onder meer:

• Dataminimalisatie: alleen de gegevens vastleggen die het certificaat nodig heeft, zoals naam, cursus en datum.
• Een verwerkersovereenkomst: heldere afspraken over wat de aanbieder met de gegevens doet. Bij Diplino is een verwerkersovereenkomst onderdeel van de voorwaarden voor alle abonnementen.
• Rechten van betrokkenen: je moet verzoeken om inzage, correctie of verwijdering kunnen afhandelen. Vraag de aanbieder hoe dat in de praktijk werkt. Een fout in een Diplino-certificaat herstel je door het in te trekken en een nieuw certificaat uit te geven.
• Beveiliging en toegang: wie in je organisatie kan certificaten uitgeven, intrekken en inzien?

Een platform dat vanaf het begin rekening houdt met de AVG, maakt het voor de opleider eenvoudiger om aan de regels te voldoen.

De AVG kent ook certificeringsmechanismen en keurmerken voor gegevensbescherming. Diplino heeft zo'n keurmerk niet. Kijk bij elke aanbieder naar wat er feitelijk is vastgelegd: de opslaglocatie, de verwerkersovereenkomst en de lijst met subverwerkers.

Een digitale handtekening in plaats van experimentele techniek

Een certificaat is pas iets waard als een werkgever kan nagaan of het klopt. Bij Diplino krijgt elk certificaat een unieke code en worden de kerngegevens (naam, cursus, datum en serienummer) digitaal ondertekend. Verandert iemand iets in een kopie, dan wijkt die af van wat de verificatiepagina laat zien.

Daar is geen blockchain, token of cryptomunt voor nodig. Die technieken voegen niets toe aan de controleerbaarheid van een certificaat, maar wel complexiteit. Een beproefde digitale handtekening en een goed beheerde database volstaan. Meer daarover lees je in verifieerbare certificaten.

Controleren zonder meer te laten zien dan nodig

Een certificaat moet eenvoudig te controleren zijn door werkgevers, beroepsorganisaties en de deelnemer zelf. Elk Diplino-certificaat heeft een eigen verificatiepagina, te openen via de link in de e-mail, de QR-code op de pdf of de code op diplino.com/verify. Er is geen inlog of speciale software nodig. De server zoekt het certificaat op en controleert de digitale handtekening wanneer de pagina wordt geopend.

Vanuit de AVG is het belangrijk dat die pagina niet meer toont dan nodig. De verificatiepagina van Diplino laat de status (geldig of ingetrokken), naam, cursus, datum, uitgever en serienummer zien. De pagina wordt niet door zoekmachines geïndexeerd, en de deelnemer bepaalt zelf met wie hij de link deelt.

Een openbare controle zonder inlog is nodig om certificaten bruikbaar te maken, zolang de pagina alleen toont wat voor de controle nodig is.

Voor werkgevers betekent dit een snelle controle zonder telefoontjes naar de opleider. Voor de deelnemer betekent het dat hij zijn certificaat met vertrouwen kan delen.

Ontwerp en uitgifte

Een certificaat is ook een visitekaartje van je organisatie. Met Diplino ontwerp je certificaten in je eigen huisstijl, in een van dertien talen of als tweetalig certificaat, bijvoorbeeld in het Nederlands en Engels.

Je geeft certificaten één voor één uit of voor een hele groep in één keer vanuit een CSV-bestand. Elk certificaat komt als pdf met een QR-code die naar de verificatiepagina leidt. Let bij het CSV-bestand op dataminimalisatie: zet er alleen in wat op het certificaat moet staan.

Delen op LinkedIn

Deelnemers willen hun certificaat laten zien. Op de verificatiepagina staat een knop waarmee ze het certificaat toevoegen aan het onderdeel "Licenties en certificaten" van hun LinkedIn-profiel, met de verificatielink erbij. Dat delen is een keuze van de deelnemer zelf. Voor opleiders levert het zichtbaarheid op in het netwerk van elke deelnemer.

Conclusie

Wie in de EU digitale certificaten uitgeeft, verwerkt persoonsgegevens en moet aan de AVG voldoen. Kies een platform dat de gegevens in de EU opslaat, een verwerkersovereenkomst biedt, alleen vastlegt wat nodig is en een controle mogelijk maakt die niet meer toont dan nodig.

Diplino slaat de gegevens op in Stockholm, biedt een verwerkersovereenkomst bij alle abonnementen en ondertekent elk certificaat digitaal, zonder blockchain. Zo geef je certificaten uit die werkgevers eenvoudig kunnen controleren en blijft de privacy van je deelnemers beschermd.