Identiteiten

In het Ecosysteem worden gegevens over Onderwijsorganisaties, Onderwijsdeelnemers en Onderwijsmedewerkers uitgewisseld. Daarnaast vervullen Onderwijsdeelnemers en Onderwijsmedewerkers activiteiten in de diverse praktijksituaties. Daarvoor is het van belang dat deze Personen geïdentificeerd en geauthenticeerd worden.

Voor de correcte werking van het Ecosysteem is het daarom van belang om afspraken te maken over deze drie digitale identiteiten. Deze afspraken worden op deze pagina nader toegelicht.

ECK iD als primaire identifier voor Onderwijsdeelnemers in het Ecosysteem

Het ECK iD is een ketenpseudoniem dat wordt gebruikt voor het uitwisselen van identiteiten van onderwijsdeelnemers en onderwijsmedewerkers. Dit ketenId komt onder strikte voorschriften tot stand en is ook voorgeschreven vanuit de Wet Regeling pseudonimisering persoonsgegevens. Voor meer informatie zie Achtergrondinformatie ECK iD.

Het ECK iD is derhalve een hoog betrouwbare identifier voor een Onderwijsdeelnemer. Binnen het Ecosysteem hanteren we dit ECK iD dan ook als primaire identifier om te communiceren over Onderwijsdeelnemers.

Primaire identifier voor Onderwijsmedewerkers in het Ecosysteem

Het is mogelijk om ook voor onderwijsmedewerkers een ECK iD te genereren. In de praktijk blijkt echter dat dit niet altijd op een eenduidige wijze gebeurd. Binnen het Ecosysteem hanteren we sectorspecifieke identifiers als primaire identifier om te communiceren over Onderwijsmedewerkers. Dit kunnen zijn:

• Een medewerkernummer

• BasispoortId

• ECK iD

Primaire identifier voor Stagebegeleiders in het Ecosysteem

In het mbo wordt een deel van het onderwijs uitgevoerd op stagebedrijven. Vanuit deze bedrijven zijn geaccrediteerde stagebegeleiders betrokken bij de uitvoering en de evaluatie van het onderwijs. Deze stagebegeleiders zijn in dienst van het stagebedrijf en kunnen betrokken zijn bij één of meerdere onderwijsorganisaties. Deze specifieke context voor het mbo vraagt om aandacht in het Ecosysteem. Er zijn op dit moment nog geen uniforme afspraken over de digitale identiteit van een stagebegeleider.

Digitale identiteit Onderwijsorganisaties

De afspraak Registratie Instellingen en Opleidingen (RIO) beschrijft de onderwijsorganisaties in relatie tot het onderwijs wat ze aanbieden, hoe ze het aanbieden en waar ze dat aanbieden. De afspraak bestaande uit een set van canonieke modellen geeft onder meer inzicht in een aantal kernobjecten (onderwijsbesturen, onderwijsaanbieders, onderwijslocaties, opleidingseenheden, opleidingskenmerken en aangeboden opleidingen) in het onderwijsdomein met hun eigenschappen en relaties.

In het Ecosysteem hanteren we het canonieke model van RIO om onderwijsorganisaties op verschillende niveaus te kunnen identificeren. We maken daarbij gebruik van twee niveaus:

• Onderwijsbestuur: een orgaan van een rechtspersoon krachtens publiekrecht ingesteld met een BevoegdGezagErkenning. In het mbo wordt hiermee het Bevoegd Gezag bedoeld.

  • Het Onderwijsbestuur heeft een BevoegdGezagErkenning. Dit betreft een erkenning als bestuur in het onderwijs door OCW van een orgaan van een rechtspersoon krachtens publiekrecht ingesteld (a-orgaan) of een persoon of college met enig openbaar gezag bekleed (b- orgaan)

• Onderwijsaanbieder: een organisatie die door een onderwijsbestuur is ingesteld voor het verzorgen van onderwijs.

Bij het verwerven en in gebruik nemen van leermiddelen worden fysieke leermiddelen geleverd op een locatie. We hanteren voor deze situatie vanuit RIO:

• Onderwijslocatie: een punt op een geografische kaart waar onderwijs wordt aangeboden.

Deze niveaus hebben ieder hun eigen unieke identifier in het RIO register.

Digitale identiteit Stagebedrijven

In het mbo wordt een deel van het onderwijs uitgevoerd op stagebedrijven. Deze specifieke context voor het mbo vraagt om aandacht in het Ecosysteem. Er zijn op dit moment nog geen uniforme afspraken over de digitale identiteit van een stagebedrijf.

Bijlage: Achtergrondinformatie over het ECK iD

Hieronder is meer informatie te vinden over de het wettelijk kader en de totstandkoming van het ECK iD.

Wet: Regeling pseudonimisering persoonsgegevens

Sinds 17 mei 2018 is de Regeling pseudonimisering persoonsgegevens actief voor het Nederlandse onderwijs. De wet heeft tot doel om een veiliger, betrouwbaarder en meer efficiënte digitale uitwisseling van gegevens door onderwijsinstellingen mogelijk te maken, waarbij zo min mogelijk persoonsgegevens worden gebruikt van leerlingen, deelnemers of studenten.

De praktische uitwerking van de wet is dat er een uniek ketenId is voor een Onderwijsdeelnemer in vier categorieën:

1. categorie po: basisonderwijs, speciaal basisonderwijs, speciaal onderwijs en voortgezet speciaal onderwijs;

2. categorie vo: voortgezet onderwijs en voortgezet algemeen volwassenenonderwijs;

3. categorie mbo: beroepsonderwijs;

4. categorie ho: wetenschappelijk onderwijs en hoger beroepsonderwijs.

ketenId: implementatie ketenpseudoniem in het ECK iD

Het ECK iD is een ketenpseudoniem dat wordt gebruikt voor het uitwisselen van identiteiten van onderwijsdeelnemers tussen partijen. Het ECK iD wordt gegenereerd op basis van drie variabelen:

1. persoonsgebonden nummer (pgn)

2. sectorId

3. ketenId

In de praktijk is het ketenId een vaste variabele. Het sectorId verschilt per categorie (po, vo, mbo of ho). Het pgn wordt bepaald op basis van het burgerservicenummer (of onderwijsnummer) van de onderwijsdeelnemer.

In onderstaande figuur is het conceptueel model toegelicht hoe het ECK iD tot stand komt en beschikbaar wordt gesteld in het Ecosysteem. De stappen worden hieronder nader toegelicht.

Figuur 2. Stappen in het aanvragen en beschikbaar stellen van het ECK iD

Stap 1. Inschrijving onderwijsdeelnemer op onderwijsorganisatie

Allereerst schrijft de onderwijsdeelnemer zich in op een onderwijsorganisatie. Hierbij worden de persoonsgegevens geregistreerd in het Administratiesysteem onderwijsdeelnemers (LAS) van de onderwijsorganisatie.

Stap 2. BSN check

Vervolgens wordt het BSN van de leerling gecontroleerd. Deze controle wordt uitgevoerd door de Dienst Uitvoering Onderwijs (DUO).

De onderwijsorganisatie levert aan DUO het burgerservicenummer, de geboortedatum, geslacht en achternaam aan. Vervolgens controleert DUO deze combinatie van gegevens bij de Basisregistratie Personen (BRP). Na een succesvolle controle wordt de onderwijsdeelnemer bij DUO op de onderwijsorganisatie ingeschreven en krijgt de onderwijsorganisatie meer informatie over de onderwijsdeelnemer terug. De set aan informatie verschilt per onderwijssector. Dit heeft te maken met doelbinding van deze persoonsgegevens voor de verschillende onderwijssectoren.

Indien de onderwijsdeelnemer geen BSN heeft dan kan DUO tijdelijk een onderwijsnummer genereren. Dit is bijvoorbeeld het geval in de uitzonderingssituaties dat een onderwijsdeelnemer niet ingeschreven is in Nederland. Voorbeelden zijn onderwijsdeelnemers die in het buitenland wonen en onderwijsdeelnemers die asiel zoeken. Het burgerservicenummer en het onderwijsnummer zijn beiden varianten van het persoonsgebonden nummer (pgn) waarop de onderwijsdeelnemer bekend is binnen de registraties van DUO.

Stap 3. ECK iD ophalen

Zodra de verificatie van het burgerservicenummer (of onderwijsnummer) succesvol is mag het Administratiesysteem onderwijsdeelnemers een ECK iD aanvragen. Zoals hierboven toegelicht is het pgn één van de drie variabelen om een ECK iD te kunnen genereren. Het Administratiesysteem onderwijsdeelnemers vraagt een ECK iD aan bij de Nummervoorziening. De Nummervoorziening is een dienst van Stichting Kennisnet en kan alleen benaderd worden door een Administratiesysteem onderwijsdeelnemers dat voldoet aan strikte (veiligheids)eisen en geaccrediteerd is om te communiceren met de dienst. Andere partijen kunnen de Nummervoorziening niet benaderen en krijgen het ECK iD via het Administratiesysteem onderwijsdeelnemers van de onderwijsorganisatie.

Het aanvragen van een ECK iD gaat in een aantal stappen. Allereerst wordt een stampseudoniem aangevraagd op basis van een hash van het pgn. De hash van het pgn wordt uitgevoerd door het het Administratiesysteem onderwijsdeelnemers en moet voldoen aan Voorschrift NV-1. Dit stampseudoniem wordt gecombineerd met het sectorId en het ketenId. Op basis van deze drie variabelen kan de Nummervoorziening een ECK iD genereren.

Ieder Administratiesysteem onderwijsdeelnemers dat beschikt over het pgn (BSN of onderwijsnummer) kan een ECK iD aanvragen bij de Nummervoorziening. Bij het laten genereren van een stampseudoniem hanteert het Administratiesysteem onderwijsdeelnemers een salt die is verkregen van Stichting Kennisnet. Deze salt is voor ieder Administratiesysteem onderwijsdeelnemers gelijk waardoor uiteindelijk het ECK iD dat gegenereerd wordt door de Nummervoorziening gelijk is voor ieder LAS dat een ECK iD voor hetzelfde pgn en voor dezelfde sector aanvraagt.

Stap 4. ECK iD beschikbaar stellen aan andere partijen

In de derde stap wordt het ECK iD vanuit het Administratiesysteem onderwijsdeelnemers beschikbaar gesteld aan andere partijen. Dit kan een Leverancier zijn in de rol van Beheerder Identiteiten ten behoeve van de identificatie en authenticatie van Personen. Ook kan het een Leverancier zijn in één van de Business rollen die via de SIS API gegevens ontvangt van Onderwijsdeelnemers of Onderwijsmedewerkers.

Release notes