Je wilt even een app installeren op de iPad van je kind, maar het installatieknopje doet niets. Of je opent de instellingen van het schoolchromebook en ziet dat driekwart van de opties grijs is met de tekst “Beheerd door organisatie”. Dat is MDM: software die de school op afstand beheert en waarmee bepaalde instellingen op slot zitten. Dit artikel legt uit wat MDM precies doet op het schoolapparaat van je kind, waar jij als ouder nog wel invloed hebt, en wanneer het zinvol is om het gesprek aan te gaan met school.
Wat je merkt als je het apparaat openslaat
Er zijn een paar herkenbare tekenen dat MDM actief is. Instellingen die normaal bewerkbaar zouden zijn, zijn grijs en klikken doet niets. Er staan apps op het apparaat die je niet kunt verwijderen, ook al gebruik je ze nooit. De webbrowser heeft geen adresbalk die je kunt aanpassen. En soms is er een melding bij het scherm van systeeminstellingen: “Dit apparaat wordt beheerd door [schoolnaam].” Dat is MDM, ofwel Mobile Device Management, een systeem waarmee de school op afstand apparaten configureren, beveiligen en bewaken kan.
Wat de school wél en niet kan zien
Dit is waar veel ouders zich zorgen over maken. Kan de school meekijken wat je kind doet? Het antwoord is: beperkt, en aan regels gebonden. MDM geeft de school toegang tot apparaatbeheer: welke apps zijn geïnstalleerd, of het apparaat up-to-date is en welke netwerken het verbindt. Dat is functioneel beheer, geen actieve bewaking.
Wat de school via standaard MDM niet ziet: de inhoud van berichten, toetsaanslagen of schermopnames in realtime. Voor actieve monitoring van gedrag gelden in Nederland strenge regels vanuit de AVG. Scholen moeten in hun privacybeleid beschrijven wat ze bijhouden en waarvoor. Ze mogen geen disproportionele data verzamelen over minderjarigen. Wil je precies weten wat jouw school doet, vraag dan naar het privacybeleid én het MDM-beleidsdocument.
Wat MDM typisch blokkeert
Scholen configureren MDM meestal zo dat leerlingen geen apps kunnen installeren buiten de goedgekeurde lijst, browserinstellingen niet kunnen aanpassen, geen VPN kunnen activeren en geen nieuwe accounts kunnen aanmaken op het apparaat. Systeemkritische updates worden juist wél automatisch uitgerold. Kortom: het apparaat is functioneel voor school, maar beperkt voor al het andere.
Wat jij als ouder buiten MDM om kunt regelen
De school dekt het apparaat af, maar niet jouw thuisnetwerk, niet de afspraken in het gezin, niet wat er buiten schooltijd op dat apparaat gebeurt en niet hoe je kind omgaat met privacygevoelige situaties. Dat zijn vier lagen die jij zelf kunt invullen, en die net zo belangrijk zijn als de technische instellingen van de school.
Stap 1: Vraag de school om het MDM-beleidsdocument
Elke school die een MDM-systeem gebruikt op apparaten van of voor leerlingen, is verplicht om dit vast te leggen. Dit document beschrijft welk platform gebruikt wordt, welke data verzameld wordt en voor welk doel. Je kunt het opvragen bij de ICT-coördinator of via de schoolleiding. Vraag ook specifiek: worden locatiegegevens bijgehouden? Worden browsergeschiedenissen opgeslagen? En hoe lang worden die data bewaard? Je hebt als ouder het recht om dit te weten.
Stap 2: Controleer welk MDM-platform gebruikt wordt
De drie meest gebruikte systemen in Nederlandse scholen zijn Jamf (veel bij iPads en Macs), Microsoft Intune (veelal bij Windows-apparaten) en Google Admin (bij Chromebooks). Elk platform heeft andere standaardinstellingen en andere mogelijkheden voor de schoolbeheerder. Bij Jamf is de controle over Apple-apparaten erg grondig. Google Admin voor Chromebooks werkt sterk via het Google-schoolaccount en beperkt veel functies automatisch als het kind inlogt op dat account. Microsoft Intune is flexibeler per instelling. Weet je welk systeem de school gebruikt, dan weet je ook globaal wat wel en niet mogelijk is op het apparaat thuis.
Stap 3: Stel op het thuisnetwerk een eigen filter in
Dit is de meest effectieve stap die volledig buiten het schoolapparaat zelf valt. Via de router thuis kun je DNS-filtering instellen. Dat betekent dat bepaalde categorieën websites geblokkeerd worden voor alle apparaten op jouw wifi, ongeacht wat het apparaat zelf toestaat. Bekende opties zijn CleanBrowsing of de gezinsfilters van providers zoals KPN of Ziggo. Dit werkt ook voor schoolapparaten, omdat ze verbinding maken via jouw netwerk. Let op: als je kind een mobiele dataverbinding gebruikt, omzeil je de routerfilter automatisch, dus maak ook daar afspraken over.
Stap 4: Maak afspraken over een apart thuisprofiel als het apparaat dat toestaat
Sommige MDM-configuraties laten wel toe dat er een tweede gebruikersaccount aangemaakt wordt, of dat een gastmodus beschikbaar is. Dit is handig als het apparaat ook voor privégebruik thuis bedoeld is. Controleer dit bij de ICT-coördinator voordat je het probeert; het aanmaken van accounts buiten de MDM-regels om kan problemen opleveren. Bij Chromebooks van school is dit vrijwel altijd dichtgezet. Bij Windows-apparaten soms niet.
Stap 5: Zet schermtijdlimieten in via de router of een toegestane gezinsapp
Apps als Google Family Link of de gezinsbeheerfuncties van je routersoftware werken naast MDM, zonder er direct mee in conflict te komen. Ze beperken geen schoolfuncties, maar laten je wel instellen hoelang en wanneer het apparaat internettoegang heeft. Zo kun je na negen uur ’s avonds het wifi-signaal voor het schoolapparaat afsnijden zonder dat het apparaat zelf aangepast wordt. Dat respecteert de schoolconfiguratie én geeft jou grip op thuisgebruik.
Stap 6: Spreek met je kind af wat het apparaat wél en niet voor privégebruik mag
Techniek helpt, maar een gesprek werkt net zo goed. Maak duidelijk waarom het schoolapparaat anders is dan een eigen tablet. Leg uit dat de school meekijkt op beheerniveau en dat dit niet hetzelfde is als een privéapparaat. Bespreek samen wat je kind op school gebruikt, wat thuis mag en waarom bepaalde apps er niet op horen. Kinderen die begrijpen waarom de regels er zijn, houden ze vanzelf beter. Tieners die dat niet begrijpen, zoeken de mazen.
Wat je nooit zelf moet proberen
Jailbreaken of het MDM-profiel zelf verwijderen klinkt verleidelijk als je meer controle wil, maar het is een slecht idee. Op een beheerd apparaat is het MDM-profiel verankerd in het systeem, en pogingen om het te verwijderen kunnen het apparaat in een onbruikbare staat brengen. Bovendien schendt het vrijwel altijd de gebruikersovereenkomst die je of je kind met de school heeft getekend. In het ergste geval draai je op voor de reparatiekosten van een apparaat dat eigendom is van de school.
Wanneer je naar school stapt
Er zijn situaties waarin je als ouder het recht hebt om bezwaar te maken tegen de MDM-configuratie. Dat geldt als het privacybeleid niet beschikbaar of onduidelijk is, als blijkt dat er meer data verzameld worden dan functioneel noodzakelijk, als je kind door de MDM-instellingen thuiswerk niet kan maken, of als de school weigert informatie te geven over wat het systeem bijhoudt. Je kunt je in dat geval richten tot de schoolleiding, de functionaris gegevensbescherming van de school (elke school is verplicht die te hebben) of in het uiterste geval de Autoriteit Persoonsgegevens.
Als ouder heb je op een MDM-beheerd apparaat minder directe invloed dan op een eigen toestel, maar je staat niet met lege handen. Je thuisnetwerk, gesprekken met je kind over schermgebruik en zo nodig contact met de school zijn concrete aanknopingspunten. Wat de school beheert, beheert de school. Wat er buiten schooltijd thuis mee gebeurt, valt grotendeels binnen jouw bereik.
