Voor theorieonderwijs zijn er allerlei manieren gevonden waarop de lessen, vaak op afstand, veilig doorgang kunnen vinden. De ontwikkeling van digitaal onderwijs lijkt in een stroomversnelling te zijn gekomen en de systemen die nu worden ontdekt zullen mogelijk (in ieder geval deels) ook na de Covid-19-crisis gangbaar blijven.

Ook voor examinering/tentaminering op afstand wordt met software geëxperimenteerd die een alternatief moet bieden voor de gecontroleerde omgeving van het examenlokaal en de surveillant.

Om deze software te kunnen gebruiken moet de student vaak een vergaande inbreuk op zijn privacy accepteren. Zo zijn er systemen die via de camera van de computer de (vaak huiselijke) omgeving van de student in de gaten houden, meeluisteren of er geen anderen in de ruimte aanwezig zijn die antwoorden voorzeggen en monitoren welke acties de student nog meer uitvoert op zijn computer behalve het afleggen van het examen/tentamen.

Hoewel het doel, het voorkomen van fraude, nobel lijkt is het de vraag in hoeverre het gebruik van dergelijke systemen zich verhoudt tot de wet- en regelgeving op het gebied van privacy, zoals de Algemene verordening gegevensbescherming (AVG).

Discussie over het proctoring-systeem van de UvA

De Universiteit van Amsterdam (UvA) heeft aan den lijve mogen ondervinden dat dit tot discussie kan leiden in een kort geding dat aanhangig was gemaakt door (onder meer) twee studentenraden.

Het zogenaamde proctoring-systeem dat de UvA gebruikt zou gebruik kunnen maken van een room scan, eye tracking, sound recording en data-analyse. Volgens de eisers was dit overmatig gebruik van technische opties onrechtmatig en in strijd met de AVG.

De voorzieningenrechter kwam tot het oordeel dat de UvA het gebruik van het proctoring-systeem niet hoefde te staken (ECLI:NL:RBAMS:2020:2917). Dat lijkt de deur open te zetten voor andere onderwijsinstellingen om ook van dergelijke systemen gebruik te gaan maken. Het is daarbij wel van belang om te zien welke afwegingen de voorzieningenrechter maakt om tot zijn oordeel te komen en of die afwegingen hout snijden.

Er lijkt terecht geen discussie te bestaan over de vraag of een dergelijk systeem kan leiden tot een verwerking van persoonsgegevens. Het systeem is juist bedoeld om de gegevens die worden geregistreerd (beelden, geluiden, data) te koppelen aan een persoon. Het worden daarmee gegevens die iets zeggen over die persoon en dus zijn het persoonsgegevens.

De grondslag voor verwerking van persoonsgegevens in een proctoring-systeem

Op grond van de AVG moet voor iedere verwerking van persoonsgegevens een grondslag  bestaan. De zes mogelijke grondslagen zijn limitatief opgesomd in artikel 6 lid 1 AVG. In eerste instantie had de UvA zich beroepen op de (‘rest’)grondslag gerechtvaardigd belang (sub f). Op de zitting is de UvA echter terecht meegegaan in de stelling van de eisers dat aan de UvA, daar waar het de examinering betreft, geen beroep op de grondslag van sub f toekomt. De UvA is een publiekrechtelijke rechtspersoon op grond van de Wet op het hoger onderwijs en wetenschappelijk onderzoek en dus een bestuursorgaan. Voor zover het gaat om het uitoefenen van hun wettelijke taken kunnen overheidsinstellingen en bestuursorganen zich, ook volgens de Autoriteit Persoonsgegevens, nooit op de grondslag van sub f beroepen.

Niet alle onderwijsinstellingen zijn echter een publiekrechtelijke rechtspersoon. Instellingen voor middelbaar beroepsonderwijs zijn bijvoorbeeld privaatrechtelijke rechtspersonen. Zij zijn slechts een bestuursorgaan voor zover het gaat om besluiten betreffende de uitoefening van openbaar gezag. Daarvan is bijvoorbeeld sprake bij het afgeven van getuigschriften (diploma’s). Het is echter de vraag of daarvan ook sprake is bij het afnemen van tentamens. Mogelijk zouden onderwijsinstellingen die in stand worden gehouden door privaatrechtelijke rechtspersonen wel degelijk een beroep kunnen doen op de grondslag van sub f.

Het beroep op de grondslag vervulling van een taak van openbaar gezag (sub e)

De UvA kon dat niet en beriep zich daarom op de grondslag vervulling van een taak van openbaar gezag (sub e). Terecht overweegt de voorzieningenrechter dat voor een beroep op de grondslag van sub e niet is vereist dat de betreffende taak specifiek in de wet is beschreven, dat het voldoende is dat de taak in hoofdlijnen uit de wet kenbaar is en dat in dit geval uit de wet voor de UvA de verplichting volgt om tentamens af te nemen. Een andere conclusie lijkt niet denkbaar omdat er anders weinig (of zelfs geen) grondslagen zijn waarop een partij als de UvA de gegevensverwerking in het kader van de publieke taak kan baseren.

Voor een succesvol beroep op de grondslag van sub e is (net als voor alle andere grondslagen) vereist dat de verwerking noodzakelijk is. In dat kader vindt de voorzieningenrechter de volgende omstandigheden van belang.

1. De Onderwijs- en examenregeling (OER) en de regels en richtlijnen van de examencommissie schrijven voor dat studenten gedurende het gehele tentamen onder toezicht van een surveillant dienen te staan en beschrijven uitgebreid wat wel en niet is toegestaan tijdens tentamens, op welke wijze gesurveilleerd wordt, hoe wordt vastgesteld dat sprake is van fraude en wat daar de gevolgen van zijn.
2. Hoewel de fraudeurs vermoedelijk een kleine minderheid vormen, is fraude bij tentamens van alle tijden. Door de UvA was bijvoorbeeld met stukken onderbouwd dat tijdens tentamens antwoorden worden opgezocht in online leeromgevingen, antwoorden worden gedeeld in WhatsApp-groepen en dat er studenten zijn die gezamenlijk in één ruimte tentamens maken of hun tentamen door een ander laten maken.
3. De kwaliteit van het onderwijs en de waarde van het diploma dienen gewaarborgd te worden.
4. Er lijkt geen andere goede manier van controle mogelijk. De door de eisers genoemde alternatieven (zoals live monitoring via Zoom) zijn praktisch niet haalbaar bij grote groepen. Bovendien kan daarmee niet gemonitord worden wat de student allemaal nog meer op zijn/haar computer doet.

De voorzieningenrechter oordeelt uiteindelijk dat aan de UvA voor wat betreft het proctoring-systeem een beroep op de grondslag van sub e toekomt, dat het voldoende aannemelijk is dat, zolang er als gevolg van de Covid-19-crisis geen tentamens op de campus kunnen plaatsvinden, de gegevensverwerking in het kader van het proctoring-systeem noodzakelijk is en dat de gegevensverwerking voldoet aan de door de AVG gestelde (zorgvuldigheids-)eisen.

Overige relevante omstandigheden

Voor het oordeel van de voorzieningenrechter zijn vermoedelijk ook de volgende omstandigheden van belang geweest.

1. Er is door de UvA voorafgaand aan de invoering van het systeem een zogenaamde Data Protection Impact Assessment (DPIA) gedaan, waarbij de risico’s van het systeem in kaart zijn gebracht.
2. Er zijn diverse gegevensbeschermingsfunctionarissen betrokken (geweest) bij de DPIA en het proces.
3. De geregistreerde persoonsgegevens worden relatief kort (30 dagen) bewaard en de partij die ze bewaart (de verwerker) heeft geen toegang tot de persoonsgegevens.
4. Er wordt geen gebruik gemaakt van eye tracking of het vastleggen van ademhaling, stresslevel of biometrische gegevens. Dat lijkt overigens maar goed ook, want dat zou vermoedelijk tot onoverkomelijke privacyrechtelijke problemen leiden. Het monitoren van studenten tijdens tentamens lijkt, met uitzondering van het geval dat toestemming wordt gegeven, niet onder een van de in artikel 9 AVG genoemde uitzonderingen op het absolute verbod op de verwerking van bijzondere categorieën van persoonsgegevens te vallen. Toestemming lijkt hier geen reële optie, omdat die altijd vrijwillig moet zijn. Dat betekent dat toestemming voor het verwerken van (bijzondere categorieën van) persoonsgegevens geen voorwaarde kan zijn voor deelname aan het online examen/tentamen.
5. Er is voldaan aan alle eisen van de AVG op het gebied van informatievoorziening.

Gelet op de huidige bijzondere omstandigheden én het reële risico op fraude bij tentamens/examens lijkt de uitkomst van deze zaak alleszins begrijpelijk. Daarbij is het voor de voorzieningenrechter vermoedelijk wel van belang geweest dat de UvA er blijk van heeft gegeven dat zij zich de privacyproblematiek terdege realiseert en dat door de UvA moeite gedaan lijkt te zijn om te voldoen aan de procedurele eisen die de AVG stelt en aan documentatie daarvan.

Gevolgen van de uitspraak van de voorzieningenrechter voor onderwijsinstellingen

Allereerst moet bedacht worden dat het hier een voorlopige uitspraak (uitspraak in kort geding) betreft in eerste aanleg. Het is niet ondenkbaar dat een andere voorzieningenrechter, de bodemrechter of de beroepsrechter (of zelfs cassatierechter) hier anders over denken.

Uit deze uitspraak volgt ook niet dat iedere onderwijsinstelling in alle gevallen zonder meer een vergelijkbaar systeem kan invoeren. De omstandigheden rondom Covid-19 en de daaruit voortvloeiende noodzaak om zoveel mogelijk thuis te blijven, veranderen continu. Ook is het denkbaar dat er voor bepaalde onderwijsinstellingen minder vergaande alternatieven denkbaar zijn. In alle gevallen is het van belang om de afweging zorgvuldig te maken, die goed vast te leggen en om daarnaast te voldoen aan alle andere eisen die de AVG stelt.