Gewaarborgde gegevens
We gaan ervan uit dat op een ontvangende onderwijsinstelling alleen daartoe geautoriseerde personen de leergegevens van een leerling/student kunnen opvragen. De leverende onderwijsinstelling levert deze aan met daarin gewaarborgde gegevens. Hiermee geeft de leverende onderwijsinstelling aan in te staan voor de volledigheid en de juistheid van de verstrekte gegevens. Voor de ondertekening wordt gebruik gemaakt van een digitaal certificaat, waarmee de dossiers in opdracht van de eindverantwoordelijke van de onderwijsinstelling automatisch stuk voor stuk worden ondertekend. Dit veronderstelt dat de onderwijsinstelling bijzondere aandacht besteedt aan het op orde zijn van de informatiehuishouding, zodat de inhoud van het ondertekende dossier correct en volledig is.

Vertrouwelijkheid en beveiliging
De opgestuurde dossiers worden tijdelijk opgeslagen op het digitale postkantoor (voorheen Landelijk SchakelPunt of LSP). De dossiers kunnen daar worden ingezien door zowel de leverende onderwijsinstelling als de leerling/student en zijn ouders/voogd. De ontvangende onderwijsinstelling kan daar een dossier ophalen. Om de vertrouwelijkheid te waarborgen bestaat de beveiliging van de gegevens uit de volgende onderdelen:

1. Via digitale certificaten kunnen onderwijsinstellingen en het postkantoor uniek geïdentificeerd (wie is het?) en geauthenticeerd (is dit daadwerkelijk degene die men zegt te zijn?) worden. Communicatie is dus alleen mogelijk tussen bekende, geregistreerde partijen.
2. Als aan beide zijden de certificaten geverifieerd zijn, wordt een veilige transportverbinding tussen onderwijsinstelling en postkantoor opgezet.
3. Na het door de leverende onderwijsinstelling digitaal ondertekenen van de gegevens is iedere latere wijziging – waar dan ook aangebracht – direct te detecteren. De ontvangende onderwijsinstelling krijgt direct een waarschuwing, wanneer gegevens tussentijds – bijvoorbeeld op het postkantoor gewijzigd zijn.
4. De toegang tot de gegevens binnen de eigen onderwijsinstelling dient binnen het eigen schoolinformatiesysteem adequaat geregeld te zijn. Het werken met de gegevens vereist dat de onderwijsinstelling maatregelen neemt om ervoor te zorgen dat alleen geautoriseerde personen dossiers kunnen aanmaken, inzien en uitwisselen met het postkantoor. Bij de administratieve implementatie wordt gecontroleerd of deze maatregelen zijn genomen.
5. Een leerling/student (en tot 18 jaar diens ouders/voogd) heeft via het openbare internet met DigiD+ toegang tot het leerlingportaal op het postkantoor om het eigen dossier in te zien en eventueel bezwaar te maken. Ook kan aan de hand van een persoonlijke logfile gezien worden wat er met zijn dossier(s) gebeurd is. Mogelijk misbruik van dossiers is zichtbaar. DigiD+ is gebaseerd op gebruikersnaam, wachtwoord en een ontvangen SMS-bericht met daarin een unieke code. Deze toegangsbeveiliging is zwaarder dan de belastingdienst hanteert.

In het concept zijn dus allerlei waarborgen ingebouwd voor de kwaliteit van de gegevens en een betrouwbare uitwisseling. Natuurlijk kan het nog veiliger, maar dat zou onpraktisch en duur worden, en – nog belangrijker – afwijken van andere processen van uitwisseling van gegevens, waarmee onderwijsinstellingen ook te maken hebben of zullen
krijgen. Het niveau van beveiliging van voldoet aan de normen die de overheid stelt aan de uitwisseling van persoonlijke gegevens.