Identiteiten

In het Ecosysteem worden gegevens over Onderwijsorganisaties, Onderwijsdeelnemers en Onderwijsmedewerkers uitgewisseld. Daarnaast vervullen Onderwijsdeelnemers en Onderwijsmedewerkers activiteiten in de diverse praktijksituaties. Daarvoor is het van belang dat deze Personen geïdentificeerd en geauthenticeerd worden.

Voor de correcte werking van het Ecosysteem is het daarom van belang om afspraken te maken over deze drie digitale identiteiten. Deze afspraken worden op deze pagina nader toegelicht.

Digitale identiteit voor Onderwijsdeelnemers

Het ECK iD is een ketenpseudoniem dat wordt gebruikt voor het uitwisselen van identiteiten van onderwijsdeelnemers en onderwijsmedewerkers. Dit ketenId komt onder strikte voorschriften tot stand en is ook voorgeschreven vanuit de Wet Regeling pseudonimisering persoonsgegevens. Voor meer informatie zie Achtergrondinformatie ECK iD.

Het ECK iD is derhalve een hoog betrouwbare identifier voor een Onderwijsdeelnemer. Binnen het Ecosysteem hanteren we dit ECK iD dan ook als primaire identifier (de eerste voorkeur) om te communiceren over Onderwijsdeelnemers.

Digitale identiteit voor Onderwijsmedewerkers

Het is mogelijk om ook voor onderwijsmedewerkers een ECK iD te genereren. In de praktijk blijkt echter dat dit niet altijd op een eenduidige wijze gebeurd. Binnen het Ecosysteem hanteren we daarom geen identifiers als primaire identifier (de eerste voorkeur) om te communiceren over Onderwijsmedewerkers. Voor Onderwijsmedewerkers hanteren we enkel secundaire identifiers (door ontbreken van eerste voorkeur).

Digitale identiteit voor Onderwijsorganisaties

De afspraak Registratie Instellingen en Opleidingen (RIO) beschrijft de onderwijsorganisaties in relatie tot het onderwijs wat ze aanbieden, hoe ze het aanbieden en waar ze dat aanbieden. De afspraak bestaande uit een set van canonieke modellen geeft onder meer inzicht in een aantal kernobjecten (onderwijsbesturen, onderwijsaanbieders, onderwijslocaties, opleidingseenheden, opleidingskenmerken en aangeboden opleidingen) in het onderwijsdomein met hun eigenschappen en relaties.

Open

Figuur 1. RIO informatiemodel

In het Ecosysteem hanteren we het canonieke model van RIO om onderwijsorganisaties op verschillende niveaus te kunnen identificeren. In Figuur 1 is het RIO informatiemodel weergegeven. Meer informatie is te vinden in het Edustandaard document Informatiemodel RIO – communicatieversie d.d. 13 mei 2022. We maken daarbij gebruik van twee niveaus:

• Onderwijsbestuur: een orgaan van een rechtspersoon krachtens publiekrecht ingesteld met een erkenning. In het mbo wordt hiermee het Bevoegd Gezag bedoeld.

  • Het Onderwijsbestuur heeft een BevoegdGezagErkenning. Dit betreft een erkenning als bestuur in het onderwijs door OCW van een orgaan van een rechtspersoon krachtens publiekrecht ingesteld (a-orgaan) of een persoon of college met enig openbaar gezag bekleed (b- orgaan)

• Onderwijsaanbieder: een organisatie die door een onderwijsbestuur is ingesteld voor het verzorgen van onderwijs.

Bij het verwerven en in gebruik nemen van leermiddelen worden fysieke leermiddelen geleverd op een locatie. We hanteren voor deze situatie vanuit RIO:

• Onderwijslocatie: een punt op een geografische kaart waar onderwijs wordt aangeboden.

Deze niveaus hebben ieder hun eigen unieke identifier in het RIO register. In het Afsprakenstelsel hanteren we de volgende primaire identifier (eerste voorkeur) en secundaire identifiers (bij ontbreken eerste voorkeur) voor deze niveaus:

In de huidige praktijk zijn veel van de identifiers die leverancier gebruiken voor onderwijsorganisaties gebaseerd op de vestigingserkenning (BRIN6). De uitdaging is dat deze niet 1-op-1 te koppelen valt aan een onderwijsaanbieder.

Open

Figuur 2. Relaties tussen Vestigingserkenning (BRIN6) en Onderwijsaanbieder

In Figuur 2 wordt deze problematiek toegelicht. Een Onderwijsaanbieder kan in de praktijk door de verschillende 1..n relaties:

• Meerdere instellingserkenningen hebben. Bijvoorbeeld bij een speciaal onderwijs school die door twee onderwijsbesturen gezamenlijk is opgericht. Ieder onderwijsbestuur heeft een eigenstandige financiering voor deze school.

• Meerde onderwijsbesturen en bevoegd gezag erkenningen hebben. Deze zelfde speciaal onderwijs school behoort zoals toegelicht bij twee onderwijsbesturen.

• Meerdere aangeboden opleidingen hebben. Op een voortgezet onderwijs school wordt zowel vmbo, havo als vwo opleidingen aangeboden.

• Meerdere onderwijslocaties hebben. Het vmbo onderwijs wordt voor de onderbouw op een andere onderwijslocatie gegeven dan de bovenbouw. Of de havo opleiding wordt op een andere onderwijslocatie gegeven dan de vmbo opleiding.

• Onderwijslocaties hebben die geen vestigingserkenning hebben. Deze onderwijslocaties worden ook wel dislocaties genoemd. Voor deze onderwijslocaties heeft het onderwijsbestuur nog geen vestigingserkenning aangevraagd.

Bij het hanteren van de identifiers over onderwijsaanbieders is de gegevensuitwisselingen is het van belang om bewust te zijn van de relaties. Dit kan consequenties hebben voor de registraties van onderwijsorganisaties in de backofficesystemen van leveranciers. het RIO register is publiek te raadplegen waarbij voor een bepaalde onderwijsorganisatie de relaties ingezien kunnen worden.

Bijlage: Achtergrondinformatie over het ECK iD

Hieronder is meer informatie te vinden over de het wettelijk kader en de totstandkoming van het ECK iD.

Wet: Regeling pseudonimisering persoonsgegevens

Sinds 17 mei 2018 is de Regeling pseudonimisering persoonsgegevens actief voor het Nederlandse onderwijs. De wet heeft tot doel om een veiliger, betrouwbaarder en meer efficiënte digitale uitwisseling van gegevens door onderwijsinstellingen mogelijk te maken, waarbij zo min mogelijk persoonsgegevens worden gebruikt van leerlingen, deelnemers of studenten.

De praktische uitwerking van de wet is dat er een uniek ketenId is voor een Onderwijsdeelnemer in vier categorieën:

1. categorie po: basisonderwijs, speciaal basisonderwijs, speciaal onderwijs en voortgezet speciaal onderwijs;

2. categorie vo: voortgezet onderwijs en voortgezet algemeen volwassenenonderwijs;

3. categorie mbo: beroepsonderwijs;

4. categorie ho: wetenschappelijk onderwijs en hoger beroepsonderwijs.

ketenId: implementatie ketenpseudoniem in het ECK iD

Het ECK iD is een ketenpseudoniem dat wordt gebruikt voor het uitwisselen van identiteiten van onderwijsdeelnemers tussen partijen. Het ECK iD wordt gegenereerd op basis van drie variabelen:

1. persoonsgebonden nummer (pgn)

2. sectorId

3. ketenId

In de praktijk is het ketenId een vaste variabele. Het sectorId verschilt per categorie (po, vo, mbo of ho). Het pgn wordt bepaald op basis van het burgerservicenummer (of onderwijsnummer) van de onderwijsdeelnemer.

In onderstaande figuur is het conceptueel model toegelicht hoe het ECK iD tot stand komt en beschikbaar wordt gesteld in het Ecosysteem. De stappen worden hieronder nader toegelicht.

Stap 1. Inschrijving onderwijsdeelnemer op onderwijsorganisatie

Allereerst schrijft de onderwijsdeelnemer zich in op een onderwijsorganisatie. Hierbij worden de persoonsgegevens geregistreerd in het Administratiesysteem onderwijsdeelnemer (LAS) van de onderwijsorganisatie.

Stap 2. BSN check

Vervolgens wordt het BSN van de leerling gecontroleerd. Deze controle wordt uitgevoerd door de Dienst Uitvoering Onderwijs (DUO).

De onderwijsorganisatie levert aan DUO het burgerservicenummer, de geboortedatum, geslacht en achternaam aan. Vervolgens controleert DUO deze combinatie van gegevens bij de Basisregistratie Personen (BRP). Na een succesvolle controle wordt de onderwijsdeelnemer bij DUO op de onderwijsorganisatie ingeschreven en krijgt de onderwijsorganisatie meer informatie over de onderwijsdeelnemer terug. De set aan informatie verschilt per onderwijssector. Dit heeft te maken met doelbinding van deze persoonsgegevens voor de verschillende onderwijssectoren.

Indien de onderwijsdeelnemer geen BSN heeft dan kan DUO tijdelijk een onderwijsnummer genereren. Dit is bijvoorbeeld het geval in de uitzonderingssituaties dat een onderwijsdeelnemer niet ingeschreven is in Nederland. Voorbeelden zijn onderwijsdeelnemers die in het buitenland wonen en onderwijsdeelnemers die asiel zoeken. Het burgerservicenummer en het onderwijsnummer zijn beiden varianten van het persoonsgebonden nummer (pgn) waarop de onderwijsdeelnemer bekend is binnen de registraties van DUO.

Stap 3. ECK iD ophalen

Zodra de verificatie van het burgerservicenummer (of onderwijsnummer) succesvol is mag het Administratiesysteem onderwijsdeelnemer een ECK iD aanvragen. Zoals hierboven toegelicht is het pgn één van de drie variabelen om een ECK iD te kunnen genereren. Het Administratiesysteem onderwijsdeelnemer vraagt een ECK iD aan bij de Nummervoorziening. De Nummervoorziening is een dienst van Stichting Kennisnet en kan alleen benaderd worden door een Administratiesysteem onderwijsdeelnemer dat voldoet aan strikte (veiligheids)eisen en geaccrediteerd is om te communiceren met de dienst. Andere partijen kunnen de Nummervoorziening niet benaderen en krijgen het ECK iD via het Administratiesysteem onderwijsdeelnemer van de onderwijsorganisatie.

Het aanvragen van een ECK iD gaat in een aantal stappen. Allereerst wordt een stampseudoniem aangevraagd op basis van een hash van het pgn. De hash van het pgn wordt uitgevoerd door het het Administratiesysteem onderwijsdeelnemer en moet voldoen aan Voorschrift NV-1. Dit stampseudoniem wordt gecombineerd met het sectorId en het ketenId. Op basis van deze drie variabelen kan de Nummervoorziening een ECK iD genereren.

Ieder Administratiesysteem onderwijsdeelnemer dat beschikt over het pgn (BSN of onderwijsnummer) kan een ECK iD aanvragen bij de Nummervoorziening. Bij het laten genereren van een stampseudoniem hanteert het Administratiesysteem onderwijsdeelnemer een salt die is verkregen van Stichting Kennisnet. Deze salt is voor ieder Administratiesysteem onderwijsdeelnemer gelijk waardoor uiteindelijk het ECK iD dat gegenereerd wordt door de Nummervoorziening gelijk is voor ieder LAS dat een ECK iD voor hetzelfde pgn en voor dezelfde sector aanvraagt.

Stap 4. ECK iD beschikbaar stellen aan andere partijen

In de derde stap wordt het ECK iD vanuit het Administratiesysteem onderwijsdeelnemer beschikbaar gesteld aan andere partijen. Dit kan een Leverancier zijn in de rol van Beheerder Identiteiten ten behoeve van de identificatie en authenticatie van Personen. Ook kan het een Leverancier zijn in één van de Business rollen die via de SIS API gegevens ontvangt van Onderwijsdeelnemers of Onderwijsmedewerkers.

Release notes