AVG en leerdata: wat mag je vastleggen in je leerplatform?
7 min lezen · gepubliceerd 29 september 2026 · door Guillaume van Genk, L&D Expert
Een leerplatform verwerkt persoonsgegevens, dus de AVG is van toepassing. Je mag leerdata vastleggen als je er een duidelijk doel en een geldige grondslag voor hebt, niet meer verzamelt dan nodig, een verwerkersovereenkomst hebt met de leverancier en medewerkers informeert. In Nederland heeft de ondernemingsraad bovendien instemmingsrecht.
Welke leerdata verwerkt een LMS?
- Identiteitsgegevens: naam, e-mailadres, personeelsnummer
- Organisatiegegevens: functie, afdeling, leidinggevende, locatie
- Leeractiviteit: ingeschreven trainingen, voortgang, tijdsbesteding, inlogmomenten
- Resultaten: toetsscores, pogingen, certificaten en verloopdata
- Bij xAPI: ook activiteiten buiten het platform, zoals bekeken video’s of geraadpleegde instructies
Leerdata: alle gegevens over het leergedrag en de leerresultaten van een persoon. Omdat ze te herleiden zijn tot een medewerker, zijn het persoonsgegevens in de zin van de AVG.
Op welke grondslag verwerk je leerdata?
Voor verplichte trainingen, zoals veiligheid of compliance, is dat meestal een wettelijke verplichting of de uitvoering van de arbeidsovereenkomst. Voor ontwikkeling en analyse is het vaak gerechtvaardigd belang, waarbij je het belang van de organisatie afweegt tegen de privacy van de medewerker. Toestemming is in een arbeidsrelatie zelden een goede grondslag, omdat een medewerker niet echt vrij is om te weigeren.
Wat regel je met de leverancier?
- Verwerkersovereenkomst. De leverancier verwerkt gegevens namens jou; leg vast wat hij mag en hoe hij ze beveiligt.
- Locatie van de data. Vraag waar de data staan. Opslag binnen de EU maakt het eenvoudiger.
- Subverwerkers. Welke andere partijen, zoals hosting of e-mail, hebben toegang?
- Bewaartermijnen en verwijderen. Wat gebeurt er met gegevens van medewerkers die vertrekken, en bij het einde van het contract?
- Beveiliging. Vraag naar certificering zoals ISO 27001 of SOC 2.
Spike Academy is zelf ISO 27001-gecertificeerd en regelt de verwerkersovereenkomst voor de platformen die we leveren. Lees meer over onze informatiebeveiliging.
Wie mag welke leerdata zien?
Pas dataminimalisatie toe op rechten, niet alleen op verzamelen. Een leidinggevende moet zien of een verplichte training is afgerond, maar hoeft niet te weten hoeveel pogingen iemand nodig had voor een toets. HR ziet overzichten, niet per se individuele scores. Richt rollen in je leerplatform daarop in.
| Rol | Ziet meestal | Ziet meestal niet |
|---|---|---|
| Medewerker | Eigen voortgang, scores en certificaten | Gegevens van collega’s |
| Leidinggevende | Afronding van verplichte trainingen in het team | Individuele toetspogingen en tijdsbesteding |
| HR of L&D | Overzichten per afdeling, certificaten met verloopdatum | Meer detail dan nodig voor het doel |
| Beheerder | Technische gegevens voor support | Rapportages buiten de beheertaak |
Wanneer beslist de ondernemingsraad mee?
In Nederland heeft de ondernemingsraad instemmingsrecht bij regelingen over systemen waarmee aanwezigheid, gedrag of prestaties van medewerkers kunnen worden gevolgd. Een leerplatform met rapportage valt daar in de regel onder. Betrek de ondernemingsraad daarom vóór de invoering en leg vast welke gegevens je gebruikt en waarvoor.
En als je AI inzet op leerdata?
Gebruik je AI om leerpaden aan te bevelen of kennisniveaus in te schatten, dan is sprake van profilering. Wees daar transparant over, laat belangrijke beslissingen over mensen niet volledig aan een systeem over en controleer of de toepassing onder de AI Act valt. AI-systemen die worden ingezet voor beslissingen over werving, promotie of beoordeling van werknemers gelden onder de AI Act als hoog risico.
Dit artikel is een praktische uitleg en geen juridisch advies. Stem je keuzes af met je functionaris gegevensbescherming of privacyjurist.
Veelgestelde vragen
Valt een LMS onder de AVG?
Ja. Een leerplatform verwerkt persoonsgegevens zoals naam, voortgang en toetsscores, dus de AVG is van toepassing.
Mag een leidinggevende toetsscores zien?
Alleen als dat nodig is voor het doel. Vaak volstaat inzicht in de afronding van verplichte trainingen.
Heb ik een verwerkersovereenkomst nodig met mijn LMS-leverancier?
Ja. De leverancier verwerkt persoonsgegevens namens jou, dus een verwerkersovereenkomst is verplicht.
Moet de ondernemingsraad instemmen met een nieuw LMS?
In Nederland meestal wel, omdat een leerplatform prestaties van medewerkers kan volgen. Betrek de ondernemingsraad vóór de invoering.
Guillaume adviseert organisaties in Nederland en België over leerplatformen, e-learning content en de toepassing van AI binnen Learning & Development.
Volg Spike Academy op LinkedIn