Een tweejarig onderzoek naar educatieve technologie-apps (EdTech-apps) die door scholen in Utah worden gebruikt, heeft uitgewezen dat veel apps leerlinggegevens verzamelen en delen op manieren die niet stroken met hun privacybeloftes.
EdTech is een enorme commerciële industrie en sommigen beweren dat het, net als traditionele grote technologiebedrijven, prioriteit geeft aan winst, schaalbare software en het verzamelen van gebruikersgegevens boven bewezen leerresultaten.
Het project is gepubliceerd door de Utah State Board of Education in samenwerking met Brigham Young University en Internet Safety. Labs Ze onderzochten het netwerkverkeer van 100 EdTech-apps tussen 2023 en 2025. In plaats van alleen te vertrouwen op privacybeleid of garanties van leveranciers, keken de onderzoekers naar wat de apps daadwerkelijk verstuurden tijdens het gebruik.
Wat ze ontdekten was zorgwekkend. Van de 85 geteste apps met relevante privacyovereenkomsten verzamelde 52% naar verluidt minstens één element met studentgegevens dat niet was toegestaan volgens de overeenkomst. Onderzoekers ontdekten dat 61% van alle geteste apps gegevens deelde met derden, terwijl 36% gegevens doorgaf aan adverteerders.
Een schooldistrict kan een getekende overeenkomst over gegevensbescherming hebben met een EdTech-aanbieder, waarin is vastgelegd welke informatie het bedrijf mag verzamelen, waarvoor het deze mag gebruiken en met wie het deze mag delen. Maar contractuele afspraken worden niet altijd weerspiegeld in hoe een app zich gedraagt. Een app kan analysesoftware van derden, advertentiediensten of andere ingebedde componenten bevatten die informatie naar andere locaties verzenden zonder dat de school of het district een duidelijk beeld heeft van deze gegevensoverdracht.
Dit laat zien hoe technische tests, waaronder het onderzoeken van live netwerkverkeer, gedrag aan het licht kunnen brengen dat bij papieren beoordelingen niet wordt gevonden. Het rapport concludeerde dat dergelijke onderzoeken potentiële niet-naleving kunnen blootleggen die niet via traditionele beoordelingsprocessen aan het licht zou komen.
De reactie van de staat ging verder dan alleen het publiceren van de bevindingen. Leveranciers met mogelijke problemen werden gevraagd deze toe te lichten of op te lossen. Bedrijven die de problemen aanpakten, konden anoniem blijven in het openbare rapport. Deze aanpak was bedoeld om corrigerende maatregelen aan te moedigen en tegelijkertijd leveranciers die niet reageerden ter verantwoording te roepen.
Naar aanleiding van het onderzoek heeft Utah HB 55, Privacy Compliance for Education Technology Vendors (2026) , aangenomen, die op 1 juli van kracht is geworden. Deze wet wijzigt Utah Code § 53E-9-309. Naast andere wijzigingen vereist de wet dat onderwijsinstellingen specifieke beschermingsmaatregelen voor leerlinggegevens opnemen in contracten met leveranciers, leveranciers op de hoogte stellen van ongeoorloofd gebruik van leerlinggegevens en contracten beëindigen wanneer een leverancier een bevestigde privacyschending niet herstelt nadat hij hiervan op de hoogte is gesteld.
Aangezien we niet allemaal in Utah wonen, is de belangrijkere vraag voor elk schoolsysteem: hoe presteren jullie apps?
Het beschermen van leerlinggegevens vereist meer dan alleen vertrouwen op een privacybeleid. Scholen hebben nauwkeurige inventarissen nodig van de gebruikte tools, duidelijke contractuele beperkingen en toegang tot de technische expertise om te controleren of die beperkingen worden nageleefd.
Wist je trouwens al van het Malwarebytes Student Protection-programma ?
