AVGindezwemschool:foto's,leerlinggegevensentoestemmingvanouders[2026]

Nieuwe groepen, nieuwe ouders, nieuwe lijsten: september is bij elke zwemschool het drukste moment van het jaar. En precies dan komen de vragen waar je nooit een afspraak over hebt opgeschreven. Een ouder stuurt terug dat er geen foto's van hun dochter gedeeld mogen worden. Iemand zag een foto van haar kind in zwemkleding op je Instagram staan. Op de badrand ligt een uitdraai met allergieën en wie er niet van de hoge plank mag.

Dit is wat de wet van je vraagt, wat ouders van je mogen verwachten, en hoe je het in een middag op orde brengt.

Waarom dit bij zwemles extra gevoelig ligt

Een foto van een kind in zwemkleding weegt zwaarder

ZwembadBranche wijst erop dat je met foto's van kinderen in zwemkleding extra voorzichtig moet zijn, omdat de wet voorschrijft dat mensen zich in die situatie onbespied moeten kunnen voelen. Dat geldt voor je eigen socialmediapost, maar net zo goed voor de ouder op de tribune die een filmpje maakt waarop de halve groep staat.

Ongeveer de helft van de ouders geeft niet altijd toestemming

In april 2025 ondervroeg het Radar Panel 1513 ouders met kinderen onder de 16 jaar. 92 procent had weleens de vraag gekregen of er foto's van hun kind gemaakt en gebruikt mochten worden, van school, kinderopvang, sportclub of geloofsgemeenschap. Van die ouders geeft 31 procent altijd toestemming, de helft per situatie, en 18 procent in geen enkel geval. Bij een groep van tien kinderen zijn er dus statistisch gezien twee waarvan je geen beeld mag publiceren.

Wat er gebeurt als een ouder nee zegt

15 procent van de ouders zegt dat het gevolgen heeft als ze geen toestemming geven. 3 procent meldt dat hun kind niet mee mocht doen aan een activiteit, en ongeveer 5 procent van de ouders die niet altijd toestemming geven, zegt dat hun kind echt is geweigerd. Vaker gaat het subtieler: het kind moet bij de groepsfoto even aan de kant of uit beeld. Ouders ervaren dat als buitensluiting, en het is precies wat de Autoriteit Persoonsgegevens niet wil. Toestemming moet vrijelijk gegeven worden, zonder nadeel voor wie nee zegt.

Wat er wettelijk geldt

Een herkenbaar kind op de foto is een persoonsgegeven

Een foto is niet automatisch een persoonsgegeven. Dat wordt het zodra iemand herkenbaar in beeld staat. Vanaf dat moment gelden de regels van de AVG: je hebt een reden nodig om het beeld te maken en te gebruiken, en je moet kunnen uitleggen welke dat is. Dat geldt voor publicatie op je website, in een folder en op sociale media. Voor beelden die alleen intern blijven liggen, zoals een sfeerfoto in je eigen map, ligt het anders dan voor een post die de hele wereld kan zien.

De uitzondering voor persoonlijk gebruik geldt niet voor jou

De AVG laat foto's voor persoonlijk en huishoudelijk gebruik buiten beschouwing. Die uitzondering is niet bedoeld voor bedrijven en organisaties. Zodra je als zwemschool beeldmateriaal maakt voor je website, je folder of je socialmediakanalen, val je onder de gewone regels en heb je een grondslag nodig, meestal toestemming van de ouders.

Welke gegevens je vastlegt, bepaalt hoe streng het is

Een naam, een geboortedatum en een zwemniveau zijn gewone persoonsgegevens. Zodra je opschrijft dat een kind astma heeft, eczeem, epilepsie of een beperking, gaat het om gezondheidsgegevens. De AP noemt dat bijzondere persoonsgegevens, en die zijn extra beschermd. Daar komt bij dat je voor het gebruik van zulke gegevens niet met een gewone toestemming klaar bent: er geldt een verzwaarde vorm, uitdrukkelijke toestemming.

In de praktijk betekent dat niet dat je niets mag noteren. Een instructeur moet weten dat een kind geen duikbril verdraagt of medicatie bij zich heeft. Het betekent dat je alleen vastlegt wat echt nodig is, dat je het niet op een briefje laat slingeren en dat je opschrijft waarom je het bewaart.

Wie mag toestemming geven

Tot 16 jaar: een van de ouders of verzorgers

In Nederland kunnen kinderen onder de 16 jaar zelf geen geldige toestemming geven voor het verwerken van hun gegevens. Toestemming is pas geldig als een ouder of verzorger die geeft, en jij moet kunnen aantonen dat het ook echt die ouder was. In een zwemlesgroep zit soms een kind met twee huishoudens. Dan is het verstandig om te weten wie er tekent, en om de andere ouder mee te laten kijken in de voortgang in plaats van te vertrouwen op doorvertellen.

In een aantal EU-landen ligt die grens op 13

De AVG laat landen ruimte om de leeftijdsgrens voor online diensten lager te leggen. Nederland houdt 16 jaar aan, België en Denemarken kiezen 13. Voor een school die met meertalige gezinnen werkt of net over de grens lesgeeft, is dat verschil relevant zodra gegevens via een app of een online portaal lopen. Swimmigo is beschikbaar in vijf talen en meldingen worden weergegeven in de taal van de ontvanger, zodat ouders die geen Nederlands lezen dezelfde informatie krijgen over wat er met de gegevens van hun kind gebeurt.

Vier eisen waar een toestemming aan moet voldoen

Volgens de AP moet toestemming vrijelijk gegeven zijn, ondubbelzinnig, geïnformeerd en specifiek. Vrijelijk betekent dat je een ouder niet benadeelt die nee zegt. Ondubbelzinnig betekent een duidelijke actieve handeling: een vooraf aangevinkt vakje is niet toegestaan, en zwijgen al helemaal niet. Geïnformeerd betekent dat je vooraf vertelt wie je bent, welk doel je hebt, welke gegevens je gebruikt en dat intrekken altijd kan. Specifiek betekent dat je voor elk doel apart toestemming vraagt. Werk je met een formulier in meerdere talen, dan moet de tekst in elke taal dezelfde strekking hebben.

Intrekken moet net zo makkelijk zijn als geven

Een ouder mag de toestemming altijd intrekken, zonder opgaaf van reden, en dat moet even eenvoudig gaan als het geven. De AP heeft daarvoor een voorbeeldbrief voor ouders. Wat er dan gebeurt: beeld dat al in een folder of op een spandoek zit, mag daarna niet meer verspreid worden. Je haalt de foto uit het materiaal of je stopt het materiaal in de kast. Wat online staat verwijder je, en als een andere organisatie het beeld van jou heeft gekregen, geef je die intrekking door.

Het vinkje dat bijna elke school fout doet

Een krabbel bij de inschrijving dekt niet alle doelen

De meeste zwemscholen regelen dit met één regel op het inschrijfformulier, bijvoorbeeld: ik geef toestemming voor het gebruik van beeldmateriaal. Zulke toestemming is te breed om geldig te zijn, want het doel mag niet gaandeweg veranderen. Een ouder die ja zegt voor foto's in de besloten app, heeft daarmee geen ja gegeven voor Facebook, voor je website of voor een artikel in de krant.

Ouders denken per kanaal, niet in één ja of nee

Dat verschil zie je terug in de cijfers. In het Radar-onderzoek laat een ouder weten wel akkoord te zijn met foto's in de kinderopvangapp, omdat ze anders zelf niets van haar kind meekrijgt, maar niet met publicatie op de website of in de krant. Een andere ouder vraagt zich af wat de zestig andere ouders in het portaal met de foto's doen. Wie per doel vraagt, krijgt meer bruikbare ja's en minder discussie dan wie één groot vakje aanbiedt.

Wat je moet kunnen laten zien als er vragen komen

Leg vast wie toestemming gaf, wanneer en waarvoor

De AVG werkt met een verantwoordingsplicht: je moet kunnen aantonen dat je de regels volgt. Voor toestemming betekent dat twee dingen. Je bewaart de toestemming zelf, en je bewaart de informatie die de ouder op dat moment kreeg, zodat duidelijk is waarvoor die ja bedoelde. Een map met ingevulde formulieren, of een veld in je systeem met datum, doel en de versie van de tekst die de ouder zag, is genoeg. Mondeling mag, maar is lastig te bewijzen.

Een privacyverklaring is altijd verplicht

Elke organisatie moet een privacyverklaring hebben waarin staat welke gegevens je gebruikt, waarom, hoe lang je ze bewaart en hoe ouders hun rechten kunnen uitoefenen. Voor een zwemschool is dat één pagina in gewone taal, geen juristenwerk. Zet hem op je site en noem hem bij de inschrijving, dan hoef je niet elke keer uit te leggen waarom je iets vastlegt.

Een datalekregister, en bij een ernstig lek een melding

Ook kleine organisaties houden een datalekregister bij. Denk aan de voorbeelden die in de praktijk het vaakst voorkomen: een telefoon met foto's van de groep die zoekraakt, een deelnemerslijst die naar de verkeerde ouder gaat, een spreadsheet die per ongeluk openbaar staat. Een ernstig lek meld je bij de AP, en soms ook bij de betrokken ouders.

De groepsapp, het schrift en de telefoon langs de badrand

Medische gegevens horen niet op een uitdraai bij het bad

De lijst met allergieën en medicatie is de meest voorkomende plek waar gezondheidsgegevens slingeren. Er staat vaak meer op dan nodig: niet alleen de allergie, maar ook het hele verhaal van de ouders, een telefoonnummer en een aantekening van vorig seizoen. Schrijf op wat een instructeur in het water moet weten en laat de rest in een afgeschermd dossier staan. Een invaller die de groep overneemt, hoeft te weten dat een kind geen dopjes verdraagt, niet dat er een onderzoek loopt.

Een groepsapp met foto's is geen veilig kanaal

Besloten voelt veilig, maar een groep van zestig ouders is geen afgeschermde omgeving. Niemand controleert wat iemand met een gedownloade foto doet, en wie de groep verlaat houdt de foto's. Daar komt bij dat foto's in een app ook een gesprek op gang brengen dat je als school niet kunt sturen, met vragen over het kind van iemand anders. Voor de voortgang en voor het delen van een foto van het eigen kind zijn er kanalen die je zelf in de hand hebt, en voor de rest volstaat een afspraak: geen foto's van andere kinderen in de groep.

Hoe dat gesprek bij veel scholen loopt, staat in ons stuk over WhatsApp-chaos bij zwemles.

Verbodsborden werken niet, afspraken wel

Regels over telefoons in het bad zijn lastig te handhaven; dat blijkt uit een rondgang langs Overijsselse baden en peuterspeelzalen. Een verbodsbord op het hek houdt niemand tegen. Een bad in Steenwijk loste het op met extra controles en huisregels, en met de regel dat er geen kinderen op de achtergrond herkenbaar in beeld komen zonder toestemming. Dat laatste is de afspraak die het meeste werk wegneemt: het gaat zelden om jouw camera, meestal om die van een andere ouder bij een kinderfeestje of tijdens vrij zwemmen.

Wie kan er bij de gegevens

Dataminimalisatie klinkt als een begrip uit een handboek. In de praktijk gaat het over één vraag: wie kan er bij welke gegevens. Een gedeeld inlogaccount waarop vier mensen werken is de zwakste schakel, want dan is achteraf niet te zien wie iets heeft aangepast of gedownload. Werk met eigen accounts per persoon, met rechten die passen bij de rol, en haal de toegang weg op de dag dat iemand stopt.

Wat ouders van je mogen vragen

Inzage, correctie en verwijdering

Ouders hebben recht op inzage in de gegevens die je van hun kind hebt, op correctie als er iets niet klopt, en in een aantal gevallen op verwijdering. Je hoeft daar geen formulier van drie pagina's voor te hebben, wel een afspraak over wie antwoord geeft en binnen welke termijn. Een helder antwoord, binnen een paar dagen, voorkomt bijna altijd een klacht.

Foto's die al online staan krijg je niet volledig terug

Dit is het punt waar eerlijkheid het beste werkt. Een foto van je site of uit je folder haal je weg, maar van een post die is opgeslagen, doorgestuurd of gescreenshot is er geen volledige terugdraai. Zeg dat vooraf in plaats van achteraf. Organisaties die ouders juist positief verrasten, doen het met naselectie: fotografeer de les, kies achteraf de beelden waarop alleen kinderen staan waarvan je toestemming hebt, en maak zo nodig een gezicht onherkenbaar. Het andere punt dat vastligt bij de AP en bij de Britse NSPCC: een kind mag nooit worden uitgesloten van een activiteit omdat er geen toestemming is. Wie niet op de foto mag, doet gewoon mee.

En als het misgaat: een klacht bij de AP

Een ouder die vindt dat je onzorgvuldig met gegevens bent omgegaan, mag een klacht indienen bij de Autoriteit Persoonsgegevens. De praktijk leert dat bijna al dat soort zaken begint met een gesprek dat niet goed liep: een verzoek om een foto te verwijderen dat te laat werd opgepakt, of een reactie in de trant van die post gaat vanzelf weg. Reageren binnen een dag en de foto offline halen kost je vijf minuten.

Een privacycheck van een kwartier

Stap 1: loop je eigen kanalen langs

Open je website, je socialmedia-accounts, de map met drukwerk en de betaalde advertenties. Noteer overal waarop kinderen herkenbaar in beeld staan. Dat is je uitgangspunt.

Stap 2: splits je toestemmingsvraag per doel

Maak van één vraag vier of vijf losse vragen, in de taal van de ouders. Zet erbij wat je met het beeld doet en hoe iemand het weer kan intrekken.

Stap 3: leg vast wie welke gegevens ziet

Kijk per persoon in je team naar de gegevens die diegene nodig heeft. Instructeurs hebben voortgang en medische aandachtspunten nodig, niet de betaalstatus van een gezin. Wie de administratie doet, hoeft geen foto's te zien.

Stap 4: kies bewaartermijnen en schrijf ze op

Spreek af hoe lang je foto's bewaart, hoe lang een afgemeld kind in je systeem blijft staan en wat er gebeurt als een gezin stopt. Leg het vast in één document, ook al is het kort.

Stap 5: zet één moment per jaar in de agenda

Je hoeft niet elk schooljaar opnieuw toestemming te vragen voor hetzelfde doel. Controleer wel of oude toestemmingen nog kloppen, of er nieuwe kanalen bij zijn gekomen en of ouders die net gestart zijn de vraag hebben gezien. Voor nieuwe gezinnen regel je het bij de inschrijving, in één keer mee met de rest van de intake.

Wat de Swimmigo app hiervoor regelt

Een verwerkersovereenkomst in plaats van losse afspraken

In de Swimmigo app is de zwemschool de verwerkingsverantwoordelijke voor de leerling- en lesgegevens die zij zelf vastlegt. Swimmigo verwerkt die gegevens in opdracht van de school, en met elke school wordt daarvoor een verwerkersovereenkomst gesloten. De accountgegevens van ouders, zoals inlog en instellingen, vallen onder Bobika als verwerkingsverantwoordelijke. Dat onderscheid is precies wat de AVG vraagt van een partij die met gegevens van kinderen werkt.

Drie rollen, drie soorten toegang

Binnen een school zijn er rollen voor eigenaar, beheerder en onderwijzer, elk met eigen rechten. Een onderwijzer ziet de groepen en leerlingen die bij hem horen; administratie en omzet zijn voor de beheerder. Andere ouders kunnen niets van jouw leerling zien: alleen de gekoppelde ouder en de instructeurs die de school heeft geaccepteerd, hebben toegang tot de voortgang. Bij een wissel van school wordt de oude toegang ingetrokken, en een ouder kan de koppeling zelf verbreken via de instellingen.

Berichten in de app in plaats van de groepsapp

Berichten tussen ouders en school lopen via de app, met leesbevestiging. De school bepaalt zelf of die functie aan staat; staat hij uit, dan ziet de ouder dat het contact via e-mail gaat. Dat is een andere afweging dan de groepsapp waarin alles door elkaar loopt, en het is de plek waar je afspraken over foto's kunt herhalen in plaats van ze één keer bij de inschrijving te noemen. Meldingen worden weergegeven in de taal van de ontvanger, uit vijf talen, zodat de uitleg niet alleen in het Nederlands aankomt.

Bewaartermijnen die vastliggen

Ouders die hun account verwijderen, verdwijnen direct en definitief. Een ouderaccount zonder gekoppelde zwemmer wordt na zeven dagen automatisch verwijderd, met een waarschuwing op dag vier. Stopt een school met de app, dan gaat de koppeling meteen los en heeft de school dertig dagen om de eigen gegevens te exporteren, waarna alles automatisch wordt verwijderd. Back-ups blijven maximaal dertig dagen staan, en de eigen administratie van de school blijft onder haar fiscale bewaarplicht. Een school die een leerlingfoto verplicht wil stellen, zet dat als instelling aan; staat die uit, dan is de foto optioneel.

Waar de gegevens staan

De opslag zit in de Europese Unie, met databases bij MongoDB Atlas en beeldopslag bij een S3-omgeving in Frankrijk. Betalingen lopen via Stripe Payments Europe in Ierland; kaartgegevens komen niet in de app terecht en worden ook niet door Swimmigo opgeslagen. Voor e-mail en productstatistieken wordt gebruikgemaakt van partijen die gegevens in de Verenigde Staten kunnen verwerken, onder de waarborgen die daarvoor gelden, zoals de EU-VS-afspraken en standaardcontractbepalingen. De volledige lijst met partijen en bewaartermijnen staat in de verklaring, en ouders kunnen hun rechten uitoefenen in de app-instellingen of via een bericht aan Swimmigo.

Wat er verder in de app zit voor het bijhouden van groepen, voortgang en oudercontact staat op de functiepagina, op de pagina voor zwemscholen en onderwijzers en op de pagina voor ouders. Hoe je van losse lijstjes naar één systeem gaat, staat in ons stuk over administratie, communicatie en betalingen in één app. Voor het vastleggen van medische aandachtspunten per leerling is de uitleg over zwemles met eczeem een handig vervolg.

Conclusie

Foto's en leerlinggegevens zijn geen juridisch dossier waar je een advocaat voor nodig hebt, maar ze vragen wel om afspraken die je één keer opschrijft en daarna volgt. Vraag toestemming per doel in de taal van de ouders, leg vast wie wat ziet, noteer alleen de medische informatie die een instructeur in het water echt nodig heeft, en maak intrekken net zo makkelijk als geven. Doe je dat, dan kun je elke ouder die iets vraagt een duidelijk antwoord geven, en hoef je op een drukke zaterdagochtend niet uit te zoeken wie er ook alweer wat had afgesproken.

Bronnen

• Autoriteit Persoonsgegevens: beeldmateriaal, wanneer je foto's en video's mag maken en publiceren, geraadpleegd september 2026
• Autoriteit Persoonsgegevens: beeldmateriaal in het onderwijs, toestemming per doel en beveiliging, geraadpleegd september 2026
• Autoriteit Persoonsgegevens: grondslag toestemming, eisen, aantonen en intrekken, bijgewerkt december 2024
• Autoriteit Persoonsgegevens: verantwoordingsplicht, verwerkingsregister, datalekregister en privacyverklaring, bijgewerkt december 2024
• Autoriteit Persoonsgegevens: gezondheidsgegevens zijn bijzondere persoonsgegevens, bijgewerkt januari 2025
• Autoriteit Persoonsgegevens: voorbeeldbrief voor ouders om toestemming voor beeldmateriaal van hun kind in te trekken (pdf), geraadpleegd september 2026
• ZwembadBranche: foto's posten van kinderen en de AVG, zwemkleding en toestemming van ouders, geraadpleegd september 2026
• Radar (AVROTROS): onderzoek onder 1513 ouders naar toestemming voor foto's van kinderen, april 2025, 28 april 2025
• NSPCC Learning: photographing and filming children, toestemming, bewaren en nooit uitsluiten, bijgewerkt juli 2026
• Information Commissioner's Office: taking photographs, data protection advice for schools and small clubs, geraadpleegd september 2026
• RTV Oost: foto's maken in een zwembad, regels, controle en handhaving, 20 juni 2017
• Italian Journal of Pediatrics: sharenting, 75 procent van de ouders plaatst content over hun kind online, 30 juli 2024
• Swimmigo: privacyverklaring, rollen van school en platform, bewaartermijnen en beveiliging, bijgewerkt september 2026