Covid-19 heeft grote gevolgen voor de manier waarop onderwijs momenteel wordt gegeven. Dit is ook bij de Autoriteit Persoonsgegevens (AP) niet onopgemerkt gebleven. De AP heeft een groot aantal signalen en vragen ontvangen over de verwerking van persoonsgegevens in het digitale onderwijs. Naar aanleiding daarvan heeft zij in mei, juni en juli van dit jaar onderzoek gedaan gericht op de toepassing van de Algemene verordening gegevensbescherming (AVG) bij de inzet van online (video)belapplicaties en online proctoring (software die onderwijsinstellingen gebruiken tijdens een toets of tentamen om fraude te voorkomen).
In tijden waarin online onderwijs een enorme vlucht heeft genomen, is het van groot belang dat wordt stil gestaan bij de verwerking van persoonsgegevens. Ook brengt dit voor onderwijsinstellingen nieuwe risico’s en uitdagingen met zich mee.
Door de AP zijn in totaal 12 onderwijsinstellingen in het middelbaar, hoger en wetenschappelijk onderwijs bevraagd middels een vragenlijst. De resultaten daarvan zijn vastgelegd in het rapport dat de AP onlangs heeft uitgebracht. Lees in dit blog meer over een aantal relevante aanbevelingen die de AP heeft gedaan aan onderwijsinstellingen.
De AP gaat allereerst in op de grondslag van de verwerking van persoonsgegevens, waarbij de AP wijst op de eigen verantwoordelijkheid van de onderwijsinstelling om de noodzakelijkheid van de verwerking te beoordelen. De AP geeft aan dat het voor een onderwijsinstelling mogelijk is om zich te beroepen op de grondslag vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (publieke taak), wanneer de verwerking noodzakelijk is om deze taak uit te voeren. Vereist is dat deze taak in de wet moet zijn vastgelegd. In veel gevallen zal het echter lastig zijn om te bepalen welke grenzen er liggen aan een publieke taak, en of de betreffende publieke taak een voldoende nauwkeurige grondslag biedt voor bepaalde gegevensverwerkingen, aldus de AP.
Ook is van belang dat de noodzakelijkheid voor de uitvoering van een publieke taak van tijd tot tijd kan verschillen. Zo wordt door de AP aangegeven dat het voor een onderwijsinstelling bijvoorbeeld mogelijk is om tot de conclusie te komen dat het door de Covid-19 maatregelen noodzakelijk is om in specifieke situaties videobeelden van studenten te verwerken om de publieke taken die in de Wet educatie en de Wet op het hoger onderwijs en wetenschappelijk onderzoek worden opgelegd uit te voeren.
De AP geeft verder aan dat, net als voor andere overheidsinstanties, het voor onderwijsinstellingen op grond van de AVG niet mogelijk is een beroep te doen op de grondslag gerechtvaardigd belang.
Verder wordt door de AP aangegeven dat de grondslag toestemming problematisch kan zijn, nu het in veel gevallen de vraag is of studenten daadwerkelijk de vrijheid hebben om toestemming te weigeren tegenover de onderwijsinstelling wanneer hier consequenties aan verbonden zijn.
Met betrekking tot het uitvoeren van een Data Protection Impact Assessment (DPIA) zegt de AP het volgende. Veel onderwijsinstellingen hebben de keuze gemaakt om online (video)belapplicaties in te zetten, wat mede gezien de externe tijdsdruk een goede keuze kan zijn. Hierbij dient wel opgemerkt te worden dat wanneer een (video)belapplicatie voor andere doeleinden wordt ingezet dan waarvoor deze initieel is aangeschaft, de gegevensverwerking andere risico’s met zich mee kan brengen en een nieuwe DPIA vereist kan zijn. Hierbij wordt als voorbeeld gegeven dat de inzet van een (video)belapplicatie tijdens een vergadering een andere impact kan hebben op de bescherming van persoonsgegevens dan wanneer dezelfde applicatie wordt gebruikt voor het geven van een les of college aan een grote groep studenten.
Ten aanzien van de besluitvorming over het inzetten van (video)belapplicaties en online proctoring software en het creëren van passende waarborgen, wordt door de AP aangegeven dat dit vraagt om tijdige en actieve betrokkenheid van de Functionaris Gegevensbescherming (FG). Het is onvoldoende om de FG (achteraf) te informeren over gemaakte keuzes. Verder moedigt de AP onderwijsinstellingen aan om, naast partijen als de medezeggenschapsraad, de examencommissie en het College van Bestuur, ook studenten en andere betrokkenen te betrekken bij de inrichting en evaluatie van het afstandsonderwijs, dus ook partijen die geen instemmings- of adviesrecht hebben.
In het kader van de verantwoordingsplicht dient een onderwijsinstelling goed te kunnen motiveren waarom de inzet van online proctoring noodzakelijk is om fraude te voorkomen. Afhankelijk van de aard en specifieke kenmerken van een toets of tentamen kan dit verschillen per situatie. Het is van belang om online proctoring te beschouwen als laatste redmiddel, waardoor eerst dient te worden onderzocht of er andere toetsvormen voor handen zijn die minder inbreuk maken op het gegevensbeschermingsrecht voor studenten, aldus de AP.
Er wordt door de AP aangegeven dat het belang is instellingsbreed beleid of richtlijnen op te stellen over de omgang met beeldmateriaal bij online (video)bellen, waarbij in ieder geval over het volgende afspraken moeten worden opgenomen:
het in beeld brengen van studenten en documenten en het maken van opnamen;
het informeren van betrokkenen over onder meer het doel van de opname en de bewaartermijn;
veilige opslag, de bewaartermijn en wie verantwoordelijk is voor tijdige verwijdering van de opgeslagen beelden (indien van toepassing).
Voor toetsing op afstand dienen eveneens instellingsbreed beleid of richtlijnen over toetsing op afstand te worden opgesteld, waarin in ieder geval afspraken over het volgende moeten worden opgenomen:
de gevallen waarin online proctoring kan worden ingezet;
de verplichting om altijd eerst de opties te overwegen die de minste inbreuk maken op de bescherming van persoonsgegevens van studenten;
het documenteren van de afweging die wordt gemaakt indien de onderwijsinstelling besluit dat voor een bepaalde toets of tentamen online proctoring wordt ingezet;
met welke middelen en op welke wijze persoonsgegevens van betrokkenen worden verwerkt;
de identificatie van studenten tijdens digitale toetsen (het door de student laten tonen van een volledig (niet-afgeschermd) identiteitsbewijs is niet toegestaan);
de verplichting op menselijke tussenkomst bij de beoordeling of een student mogelijk fraude pleegt tijdens een toets of tentamen.
Door de AP wordt verder gewezen op de invloed die studenten en docenten zelf hebben op de gegevens die zij delen tijdens een digitale les of toets. De AP raadt aan om docenten en studenten (indien zij in beeld zijn) te adviseren voor een neutrale omgeving te zorgen waarin persoonlijke voorwerpen buiten beeld worden gehouden. Ook wordt aanbevolen om studenten te instrueren de camera en microfoon uit te schakelen wanneer dit niet noodzakelijk is voor het volgen van een digitale les.
Tevens wijst de AP erop dat studenten geïnformeerd dienen te worden over hun recht om bezwaar te maken tegen de verwerking van persoonsgegevens. Wanneer een student bezwaar maakt tegen online proctoring en de onderwijsinstelling niet kan aantonen dat de belangen van de instelling zwaarder wegen dan die van studenten, dan is de onderwijstelling gehouden een passend alternatief aan te bieden die de privacybezwaren in voldoende mate wegneemt, zoals een alternatieve toetsvorm zonder online proctoring of het aanbieden van een toets op een andere locatie. Hierbij dient opgemerkt te worden dat dit alternatief geen nadelige gevolgen voor de student mag meebrengen, zoals onevenredige studievertraging.
Onlangs kwam naar buiten dat online proctoring tot grote problemen heeft geleid voor diverse studenten. Doordat het online proctoring systeem in een aantal gevallen niet werkte, zijn van bijna 100 studenten tentamenbeoordelingen ongeldig verklaard. Uiteindelijk is van 15 studenten het diploma ingetrokken. Dergelijke systeemfouten kunnen dus verstrekkende gevolgen hebben.
Het onderzoek van de AP laat dus in het midden in welke gevallen online (video)bellen en online proctoring is toegestaan. Het is voor onderwijsinstellingen in ieder geval van belang dat voorafgaand aan de betreffende verwerking van persoonsgegevens is onderbouwd op welke grondslag deze verwerking rust.
Onderwijsinstellingen dienen echter te allen tijde een deugdelijke afweging te maken ten aanzien van de noodzakelijkheid wanneer zij online video(bellen) of online proctoring willen inzetten. Wanneer dit wordt ingezet, dienen onderwijsinstellingen er ten minste zorg voor te dragen dat de inbreuk op de privacy zo beperkt mogelijk is.
De resultaten van het door de AP uitgevoerde onderzoek zullen door de AP worden besproken met koepelorganisaties in het onderwijs. De AP geeft aan dat zij de verschillende koepelorganisaties nadrukkelijk zal wijzen op de verbeteringen die volgens de AP nodig zijn.
Meer artikelen van AKD
