Artikel 3

1. Het bevoegd gezag draagt er zorg voor dat de aanbieders van de systemen waarin de onderwijsdeelnemers zijn geregistreerd passende beveiligingsmaatregelen treffen ter voorkoming van onbevoegde verwerking en misbruik van het pseudoniem en het ketenID door derden. Hieronder vallen in ieder geval maatregelen die ervoor zorgen dat het persoonsgebonden nummer en het pseudoniem door het bevoegd gezag veilig kunnen worden verstuurd naar de nummervoorziening die het desbetreffende pseudoniem of ketenID genereert. Deze maatregelen leiden er in ieder geval toe dat het persoonsgebonden nummer, het pseudoniem en het ketenID versleuteld en beveiligd volgens de aansluitvoorwaarden van de nummervoorziening worden uitgewisseld.
2. Een passend niveau van beveiliging voor het pseudoniem en het ketenID wordt in ieder geval gerealiseerd door toepassing van het Certificeringsschema informatiebeveiliging en Privacy ROSA. Een passend niveau van beveiliging kan eveneens worden gerealiseerd door toepassing van een soortgelijk normenkader voorzover dat tot een gelijkwaardig niveau van beveiliging leidt.
3. Het pseudoniem en het ketenID worden gescheiden van elkaar en van andere persoonsgegevens opgeslagen. Het pseudoniem wordt niet aan derden verstrekt.