Identiteiten

In het afsprakenstelsel worden gegevens over Onderwijsorganisaties, Onderwijsdeelnemers en Onderwijsmedewerkers uitgewisseld. Daarnaast vervullen Onderwijsdeelnemers en Onderwijsmedewerkers activiteiten in de diverse praktijksituaties. Daarvoor is het van belang dat deze Personen geïdentificeerd en geauthenticeerd worden.

Voor de correcte werking van het afsprakenstelsel is het daarom van belang om afspraken te maken over deze drie digitale identiteiten. Deze afspraken worden op deze pagina nader toegelicht.

Digitale identiteit voor Onderwijsdeelnemers

Het ECK iD is een ketenpseudoniem dat wordt gebruikt voor het uitwisselen van identiteiten van onderwijsdeelnemers en onderwijsmedewerkers. Dit ketenId komt onder strikte voorschriften tot stand en is ook voorgeschreven vanuit de Wet Regeling pseudonimisering persoonsgegevens. Voor meer informatie zie Achtergrondinformatie ECK iD.

Het ECK iD is derhalve een hoog betrouwbare identifier voor een Onderwijsdeelnemer. Binnen het afsprakenstelsel hanteren we dit ECK iD dan ook als primaire identifier (de eerste voorkeur) om te communiceren over Onderwijsdeelnemers.

Digitale identiteit voor Onderwijsmedewerkers

Het is mogelijk om ook voor onderwijsmedewerkers een ECK iD te genereren. In de praktijk blijkt echter dat dit niet altijd op een eenduidige wijze gebeurd. Binnen het afsprakenstelsel hanteren we daarom geen identifiers als primaire identifier (de eerste voorkeur) om te communiceren over Onderwijsmedewerkers. Voor Onderwijsmedewerkers hanteren we enkel secundaire identifiers (door ontbreken van eerste voorkeur).

Digitale identiteit voor Onderwijsorganisaties

In deze paragraaf wordt toegelicht op welke wijze de digitale identiteit van onderwijsorganisaties wordt toegepast binnen Edu-V.

Uitgangspunt: Register Instellingen en Opleidingen

De afspraak Registratie Instellingen en Opleidingen (RIO) beschrijft de onderwijsorganisaties in relatie tot het onderwijs wat ze aanbieden, hoe ze het aanbieden en waar ze dat aanbieden. De afspraak bestaande uit een set van canonieke modellen geeft onder meer inzicht in een aantal kernobjecten (onderwijsbesturen, onderwijsaanbieders, onderwijslocaties, opleidingseenheden, opleidingskenmerken en aangeboden opleidingen) in het onderwijsdomein met hun eigenschappen en relaties.

Open

Figuur 1. RIO informatiemodel

In het Edu-V afsprakenstelsel hanteren we het canonieke model van RIO om onderwijsorganisaties op verschillende niveaus te kunnen identificeren. In Figuur 1 is het RIO informatiemodel weergegeven. Meer informatie is te vinden in het Edustandaard document Informatiemodel RIO – communicatieversie d.d. 13 mei 2022. We maken daarbij gebruik van twee niveaus:

• Onderwijsbestuur: een orgaan van een rechtspersoon krachtens publiekrecht ingesteld met een erkenning. In het mbo wordt hiermee het Bevoegd Gezag bedoeld.

  • Het Onderwijsbestuur heeft een BevoegdGezagErkenning. Dit betreft een erkenning als bestuur in het onderwijs door OCW van een orgaan van een rechtspersoon krachtens publiekrecht ingesteld (a-orgaan) of een persoon of college met enig openbaar gezag bekleed (b- orgaan)

• Onderwijsaanbieder: een organisatie die door een onderwijsbestuur is ingesteld voor het verzorgen van onderwijs.

Bij het verwerven en in gebruik nemen van leermiddelen worden fysieke leermiddelen geleverd op een locatie. We hanteren voor deze situatie vanuit RIO:

• Onderwijslocatie: een punt op een geografische kaart waar onderwijs wordt aangeboden.

Primaire en secundaire identifiers

Deze niveaus hebben ieder hun eigen unieke identifier in het RIO register. In het Afsprakenstelsel hanteren we de volgende primaire identifier (eerste voorkeur) en secundaire identifiers (bij ontbreken eerste voorkeur) voor deze niveaus:

Onderwijsinrichting versus Onderwijserkenningen (BRIN)

De Onderwijsaanbieder en de Onderwijslocatie hebben in het RIO model nieuwe identifiers gekregen om een beter aan te sluiten op de wijze waarop het onderwijs is ingericht, domein Onderwijsinrichting.

Deze identifiers zijn niet gelijk aan de codering van de onderwijsinstellingerkenning en de vestigingserkenning. BRIN wordt gehanteerd voor een erkende onderwijsinstelling (BRIN4) of onderwijslocatie (BRIN6) en zitten in het domein van Onderwijserkenningen.

In de huidige praktijk zijn veel van de identifiers die leverancier gebruiken voor onderwijsorganisaties gebaseerd op de vestigingserkenning (BRIN6). De uitdaging is dat deze niet 1-op-1 te koppelen valt aan een onderwijsaanbieder.

Open

Figuur 2. Relaties tussen Vestigingserkenning (BRIN6) en Onderwijsaanbieder

In Figuur 2 wordt deze problematiek toegelicht. Een Onderwijsaanbieder kan in de praktijk door de verschillende 1..n relaties:

• Meerdere instellingserkenningen hebben. Bijvoorbeeld bij een speciaal onderwijs school die door twee onderwijsbesturen gezamenlijk is opgericht. Ieder onderwijsbestuur heeft een eigenstandige financiering voor deze school.

• Meerde onderwijsbesturen en bevoegd gezag erkenningen hebben. Deze zelfde speciaal onderwijs school behoort zoals toegelicht bij twee onderwijsbesturen.

• Meerdere aangeboden opleidingen hebben. Op een voortgezet onderwijs school wordt zowel vmbo, havo als vwo opleidingen aangeboden.

• Meerdere onderwijslocaties hebben. Het vmbo onderwijs wordt voor de onderbouw op een andere onderwijslocatie gegeven dan de bovenbouw. Of de havo opleiding wordt op een andere onderwijslocatie gegeven dan de vmbo opleiding.

• Onderwijslocaties hebben die geen vestigingserkenning hebben. Deze onderwijslocaties worden ook wel dislocaties genoemd. Voor deze onderwijslocaties heeft het onderwijsbestuur nog geen vestigingserkenning aangevraagd.

Bij het hanteren van de identifiers over onderwijsaanbieders is de gegevensuitwisselingen is het van belang om bewust te zijn van de relaties. Dit kan consequenties hebben voor de registraties van onderwijsorganisaties in de backofficesystemen van leveranciers. het RIO register is publiek te raadplegen waarbij voor een bepaalde onderwijsorganisatie de relaties ingezien kunnen worden.

Eisen aan het Register onderwijsorganisaties

Voor een goede werking van het Edu-V afsprakenstelsel is het cruciaal dat het Register onderwijsorganisaties volledig, betrouwbaar, actueel en onder beheer is. Op dit moment voldoet het RIO Register nog niet aan deze eis. Daarnaast is de huidige praktijk dat veel leveranciers hun Diensten hebben ingericht op basis van vestigingserkenningen (BRIN6).

De migratie naar de de primaire identifiers uit de Onderwijsinrichting is wenselijk omdat deze beter aansluit bij de daadwerkelijke organisatie van het onderwijs in onderwijsorganisaties. Echter het is hiervoor van cruciaal belang dat de registratie van deze gegevens in het RIO Register ook voldoet aan de eisen van volledigheid, betrouwbaarheid, actualiteit en onder beheer.

Vanuit het Edu-V afsprakenstelsel zijn de volgende eisen aan het Register onderwijsorganisaties van belang voor de contuititeit van de digitale infrastructuur:

• Het register is volledig en bevat gegevens van alle onderwijsorganisaties binnen het werkingsgebied van Edu-V. Dit betreft erkende en niet erkende onderwijsorganisaties.

• De onderwijsorganisaties zijn volledig, correct en actueel geregistreerd in het deel van zowel de onderwijserkenningen als de onderwijsinrichting.

• Er is een transparant en beheersbaar proces voor het doorvoeren van wijzigingen en het verwerken van fusies en splitsingen met betrekking tot de registratie van de onderwijserkenningen en onderwijsinrichting.

• De gegevens uit het Register onderwijsorganisaties zijn beschikbaar als open data middels een API.

• De gegevens uit het Register onderwijsorganisaties bevatten ook de secundaire identifiers om migratie vanuit de bestaande praktijk te bevorderen.

• De huidige DUO Open onderwijsdata (leerlingen, prognoses, personeel, bekostiging) is beschikbaar vanuit zowel het perspectief van de onderwijserkenning (onderwijsinstellingerkenning, bevoegd gezag) als vanuit de onderwijsinrichting (onderwijsaanbieder en onderwijsbestuur).

• De leverancier van het Register onderwijsorganisaties biedt een professionele en beschikbare helpdesk aan ter ondersteuning van:

  • Meldingen met betrekking tot de gegevenskwaliteit vanuit onderwijsaanbieders en/of leveranciers.

  • Ondersteuningsvragen vanuit onderwijsorganisaties voor een correcte vulling van het Register Onderwijsorganisaties.

  • Ondersteuningsvragen vanuit onderwijsorganisaties bij wijzigingen, fusies en splitsingen.

Bijlage: Achtergrondinformatie over het ECK iD

Hieronder is meer informatie te vinden over de het wettelijk kader en de totstandkoming van het ECK iD.

Wet: Regeling pseudonimisering persoonsgegevens

Sinds 17 mei 2018 is de Regeling pseudonimisering persoonsgegevens actief voor het Nederlandse onderwijs. De wet heeft tot doel om een veiliger, betrouwbaarder en meer efficiënte digitale uitwisseling van gegevens door onderwijsinstellingen mogelijk te maken, waarbij zo min mogelijk persoonsgegevens worden gebruikt van leerlingen, deelnemers of studenten.

De praktische uitwerking van de wet is dat er een uniek ketenId is voor een Onderwijsdeelnemer in vier categorieën:

1. categorie po: basisonderwijs, speciaal basisonderwijs, speciaal onderwijs en voortgezet speciaal onderwijs;

2. categorie vo: voortgezet onderwijs en voortgezet algemeen volwassenenonderwijs;

3. categorie mbo: beroepsonderwijs;

4. categorie ho: wetenschappelijk onderwijs en hoger beroepsonderwijs.

ketenId: implementatie ketenpseudoniem in het ECK iD

Het ECK iD is een ketenpseudoniem dat wordt gebruikt voor het uitwisselen van identiteiten van onderwijsdeelnemers tussen partijen. Het ECK iD wordt gegenereerd op basis van drie variabelen:

1. persoonsgebonden nummer (pgn)

2. sectorId

3. ketenId

In de praktijk is het ketenId een vaste variabele. Het sectorId verschilt per categorie (po, vo, mbo of ho). Het pgn wordt bepaald op basis van het burgerservicenummer (of onderwijsnummer) van de onderwijsdeelnemer.

In onderstaande figuur is het conceptueel model toegelicht hoe het ECK iD tot stand komt en beschikbaar wordt gesteld in het afsprakenstelsel. De stappen worden hieronder nader toegelicht.

Open

Figuur 3. Stappen in het aanvragen en beschikbaar stellen van het ECK iD

Stap 1. Inschrijving onderwijsdeelnemer op onderwijsorganisatie

Allereerst schrijft de onderwijsdeelnemer zich in op een onderwijsorganisatie. Hierbij worden de persoonsgegevens geregistreerd in het Administratiesysteem onderwijsdeelnemer (LAS) van de onderwijsorganisatie.

Stap 2. BSN check

Vervolgens wordt het BSN van de leerling gecontroleerd. Deze controle wordt uitgevoerd door de Dienst Uitvoering Onderwijs (DUO).

De onderwijsorganisatie levert aan DUO het burgerservicenummer, de geboortedatum, geslacht en achternaam aan. Vervolgens controleert DUO deze combinatie van gegevens bij de Basisregistratie Personen (BRP). Na een succesvolle controle wordt de onderwijsdeelnemer bij DUO op de onderwijsorganisatie ingeschreven en krijgt de onderwijsorganisatie meer informatie over de onderwijsdeelnemer terug. De set aan informatie verschilt per onderwijssector. Dit heeft te maken met doelbinding van deze persoonsgegevens voor de verschillende onderwijssectoren.

Indien de onderwijsdeelnemer geen BSN heeft dan kan DUO tijdelijk een onderwijsnummer genereren. Dit is bijvoorbeeld het geval in de uitzonderingssituaties dat een onderwijsdeelnemer niet ingeschreven is in Nederland. Voorbeelden zijn onderwijsdeelnemers die in het buitenland wonen en onderwijsdeelnemers die asiel zoeken. Het burgerservicenummer en het onderwijsnummer zijn beiden varianten van het persoonsgebonden nummer (pgn) waarop de onderwijsdeelnemer bekend is binnen de registraties van DUO.

Stap 3. ECK iD ophalen

Zodra de verificatie van het burgerservicenummer (of onderwijsnummer) succesvol is mag het Administratiesysteem onderwijsdeelnemer een ECK iD aanvragen. Zoals hierboven toegelicht is het pgn één van de drie variabelen om een ECK iD te kunnen genereren. Het Administratiesysteem onderwijsdeelnemer vraagt een ECK iD aan bij de Nummervoorziening. De Nummervoorziening is een dienst van Stichting Kennisnet en kan alleen benaderd worden door een Administratiesysteem onderwijsdeelnemer dat voldoet aan strikte (veiligheids)eisen en geaccrediteerd is om te communiceren met de dienst. Andere partijen kunnen de Nummervoorziening niet benaderen en krijgen het ECK iD via het Administratiesysteem onderwijsdeelnemer van de onderwijsorganisatie.

Het aanvragen van een ECK iD gaat in een aantal stappen. Allereerst wordt een stampseudoniem aangevraagd op basis van een hash van het pgn. De hash van het pgn wordt uitgevoerd door het het Administratiesysteem onderwijsdeelnemer en moet voldoen aan Voorschrift NV-1. Dit stampseudoniem wordt gecombineerd met het sectorId en het ketenId. Op basis van deze drie variabelen kan de Nummervoorziening een ECK iD genereren.

Ieder Administratiesysteem onderwijsdeelnemer dat beschikt over het pgn (BSN of onderwijsnummer) kan een ECK iD aanvragen bij de Nummervoorziening. Bij het laten genereren van een stampseudoniem hanteert het Administratiesysteem onderwijsdeelnemer een salt die is verkregen van Stichting Kennisnet. Deze salt is voor ieder Administratiesysteem onderwijsdeelnemer gelijk waardoor uiteindelijk het ECK iD dat gegenereerd wordt door de Nummervoorziening gelijk is voor ieder LAS dat een ECK iD voor hetzelfde pgn en voor dezelfde sector aanvraagt.

Stap 4. ECK iD beschikbaar stellen aan andere partijen

In de derde stap wordt het ECK iD vanuit het Administratiesysteem onderwijsdeelnemer beschikbaar gesteld aan andere partijen. Dit kan een Leverancier zijn die de referentiecomponent (authenticerende of delegerende) Identity Provider vervult ten behoeve van de identificatie en authenticatie van eindgebruikers. Ook kan het een Leverancier zijn die een referentiecomponent heeft geïmplementeerd in de applicatie en gegevens over eindgebruikers ontvangt via de gegevensdiensten uit de administratiesystemen onderwijsdeelnemer of onderwijsmedewerker.

Release notes