Het Gerechtshof Amsterdam velt zijn oordeel en stelt de Centrale Studentenraad van de Universiteit van Amsterdam in het ongelijk. De inzet van de software van Proctorio is op grond van de AVG toegestaan.
De Universiteit van Amsterdam (UvA) is gedurende de eerste golf van de coronapandemie begonnen met het inzetten van de surveillancesoftware Proctorio tijdens het online (vanuit huis) afnemen van tentamens. De Centrale Studentenraad van de UvA (CSR) heeft privacy bezwaren tegen de inzet van Proctorio en vordert in kort geding (kortgezegd) een verbod op het gebruik van Proctorio door de UvA omdat het in strijd zou zijn met de Algemene Verordening Gegevensbescherming (AVG). In eerste aanleg heeft de voorzieningenrechter de vordering van de CRS afgewezen. Het Hof bekrachtigt dit. Volgens het Hof voldoet de inzet van Proctorio door de UvA aan de eisen van de AVG.
Proctorio is software waarmee afwijkend gedrag van een student tijdens het maken van een online tentamen kan worden geïdentificeerd. Proctorio neemt als het ware de rol van de fysieke surveillant over. Proctorio werkt samengevat als volgt. Bij het opstarten van het tentamenplatform via de webbrowser van de computer van de student wordt automatisch de surveillancesoftware geactiveerd. De software vraagt de student om zijn microfoon en de webcam te activeren en zijn beeldscherm te delen. Vervolgens wordt de student gevraagd zijn studentenkaart te laten zien en een deskscan te maken om te controleren of de student bijvoorbeeld geen aantekeningen, telefoon of tweede computer voor zich heeft. Gedurende het online tentamen worden (onder andere) beeld, geluid en browsergegevens opgenomen. Op een geautomatiseerde wijze controleert de software deze gegevens op afwijkend gedrag dat zou kunnen wijzen op fraude, zoals het regelmatig wegkijken door de student of veel omgevingsgeluid (wat zou kunnen duiden op appcontact of overleg met medestudenten). Na afronden van het tentamen kan de surveillant steekproefsgewijs de deskscans controleren én van elke student een score op afwijkend gedrag raadplegen. Indien de software significant afwijkend gedrag heeft vastgesteld en er dus een vermoeden van fraude bestaat, kan een surveillant de opgeslagen gegevens (beeld, geluid en browsergegevens) raadplegen om de situatie te beoordelen.
Met de inzet van Proctorio verwerkt de UvA persoonsgegevens van studenten. Studenten worden gedurende het maken van een online tentamen met beeld en geluid in de gaten gehouden. Dat is ingrijpend en mag alleen wanneer is voldaan aan de vereisten uit de AVG. De grondslag voor de verwerking staat niet ter discussie. Kennelijk zijn partijen het erover eens dat de UvA Proctorio inzet ter vervulling van een taak in het kader van het openbaar gezag dat aan de UvA is opgedragen in de Wet op het Hoger Onderwijs en Wetenschappelijk onderzoek (artikel 6 (i)(e) AVG). Maar om de gegevensverwerking op die grondslag te kunnen baseren, moet de gegevensverwerking daarvoor ook noodzakelijk en proportioneel zijn. De CSR bestrijdt dat dit het geval is. Ook zou de UvA volgens de CSR met de inzet van Proctorio, in strijd handelen met het doelbindingsbeginsel en het beginsel van dataminimalisatie, zonder grondslag bijzondere persoonsgegevens verwerken en onvoldoende transparant zijn over de inzet van Proctorio. Wij begrijpen overigens dat met Proctorio geen biometrische gegevens worden verwerkt. Daarvoor zou wat ons betreft ook niet snel een grondslag bestaan.
De UvA betoogt dat het, gelet op de (op dat moment) geldende coronamaatregelen (waaronder de sluiting van de universiteiten en het dringende advies om zo veel mogelijk thuis te blijven), noodzakelijk is om online tentamens aan te bieden zodat studenten geen studievertraging oplopen. Volgens de UvA is het toepassen van effectieve fraudebestrijding – net als bij fysieke tentaminering – bij online tentamens noodzakelijk om een eerlijke en betrouwbare tentaminering – en daarmee de waarde van de diploma’s – te waarborgen. Het Hof volgt de UvA in haar redenering en oordeelt dat het aanbieden van online tentamens en het inzetten van surveillance software noodzakelijk is ter vervulling van haar taak. Volgens het Hof voldoet de inzet van Proctorio door de UvA verder ook aan de eisen van de AVG. Volgens het Hof is de verwerking van persoonsgegevens door de UvA slechts gericht op het ontdekken van eventuele fraude en gaat niet verder dan dat. In dat kader acht het Hof het relevant dat (i) de opgeslagen beelden en geluid slechts gedurende een beperkte termijn worden bewaard, namelijk gedurende het nakijken van de tentamens, en dat (ii) visuele controle van de opgeslagen gegevens achteraf slechts plaatsvindt in het geval significant afwijkend gedrag is vastgesteld. De suggestie van de CSR dat de surveillanten de opgeslagen gegevens ook zonder concrete aanwijzingen van fraude zouden bekijken is door de CSR niet met concrete aanwijzingen daarvoor onderbouwd.
Wat het Hof niet met zo veel woorden benoemt, maar volgens ons wel een belangrijke rol kan hebben gespeeld bij het oordeel van het Hof, is dat de Functionaris Gegevensbescherming (FG) van de UvA actief is betrokken bij de inzet van Proctorio en de UvA vooraf ook een Data Protection Impact Assessment (DPIA) heeft uitgevoerd. Met andere woorden, de UvA is bij de inzet van Proctorio niet over één nacht ijs gegaan en heeft de privacy risico’s zorgvuldig in kaart gebracht.
De CSR heeft verder nog aangevoerd dat fraudebestrijding door de UvA ook kan worden bereikt met alternatieven die minder privacygevoelig zijn, zoals het blurren van het beeld en het slechts af en toe opnemen van geluid. Het Hof oordeelt echter dat hiermee met minder zekerheid is vast te stellen of daadwerkelijk sprake is geweest van fraude en dus in de weg staat aan een doelmatige bestrijding van tentamenfraude. Ook de stelling van CSR dat de UvA met de inzet van Proctorio (bijvoorbeeld bij het tonen van de studentenkaart) bijzondere persoonsgegevens over het ras of de religie van studenten zou verwerken, wordt door het Hof verworpen. In lijn met eerdere rechtspraak en het huidige standpunt van de Autoriteit Persoonsgegevens (AP), oordeelt het Hof dat beeldopnamen niet per definitie aan te merken zijn als bijzondere persoonsgegevens en dat niet aannemelijk is gemaakt dat de inzet van Proctorio gericht is op het verzamelen van dergelijke gegevens of om op grond van deze gegevens onderscheid te maken. Ten slotte wijst het Hof ook het beroep van de CSR op artikel 8 EVRM en artikelen 10 en 13 van de Grondwet af.
Kortom, volgens het Hof is de inzet van online proctoring door de UvA in lijn met de AVG. Dat betekent overigens niet dat de UvA online proctoring in de toekomst steeds mag inzetten. Dit zal steeds afhangen van de omstandigheden. In dat kader oordeelt het Hof dan ook dat wanneer de noodzaak voor online tentaminering komt te vervallen, er een geheel ander debat ontstaat. De noodzaak voor online proctoring en de daarmee verband houdende (vergaande) inbreuk op de privacy van de studenten wordt daarmee moeilijk vol te houden.
Online proctoring heeft gedurende de coronapandemie veel aandacht gekregen. De AP heeft naar de toepassing van online proctoring onderzoek gedaan en naar aanleiding daarvan praktische aanbevelingen opgesteld voor onderwijsinstellingen die overwegen online proctoring in te zetten. De aanbevelingen van de AP maken een onderwijsinstelling wegwijs in de stappen die ondernomen moeten worden voor de inzet van online proctoring, waaronder (i) het bepalen van het doel, (ii) het vaststellen van de noodzaak, (iii) het bepalen van de grondslag, (iv) het beperken van de inbreuk op de privacy van de studenten of leerlingen, (v) het uitvoeren van een DPIA en (vi) het betrekken van de FG.
