Spieken tegen spieken

De coronacrisis maakt de contrasten in privacyland goed inzichtelijk. Van fundamentele kwesties als de corona track & trace app, tot kwesties waarbij je je afvraagt wat eigenlijk het probleem is.

Dat brengt mij op proctoring. Kortgezegd een tool waarmee je op afstand kunt zien of leerlingen en studenten spieken bij examens. Door tegenstanders graag geframed als ‘surveillance software’. Geestig, want de docent die mij vroeger in de gaten hield tijdens mijn examens tegen het spieken, heette……precies: een surveillant.

Ik heb een onderzoekje gedaan in mijn directe omgeving onder mensen die niet voor privacy geleerd hebben. Ongetwijfeld niet representatief, maar de uitkomst is dezelfde als mijn visie. Namelijk, wat is nu het probleem? Eén opmerking in het kader van dit onderzoekje wil ik u niet onthouden. Die slaat op de vergelijking met de ‘ouderwetse’ huisartsenpraktijk en het elektronisch patiëntendossier (EPD): “we doen niet moeilijk als je bij de doktersassistente moet melden wat je klacht is, terwijl de wachtkamer vol zit met andere patiënten die doen alsof ze je niet horen, maar een EPD ligt gevoelig vanwege de privacy“.

Terug naar proctoring. Sinds gisteren zijn we een eerste gerechtelijke uitspraak in Nederland rijker. Voorlopig resultaat: van een onrechtmatige inbreuk op de privacy is in dit geval geen sprake.

De zaak betreft een geschil tussen een student met bijval van een tweetal studentenraden (‘de Studenten’) tegen de UvA Amsterdam. De context is als volgt. Wegens corona en de sluiting van de gebouwen, heeft de UvA de mogelijkheid van ‘online proctoring’ onderzocht. Daarop volgde (i) een pilot, (ii) een positief advies van de Functionaris Gegevensbescherming (FG), en (iii) een Data Protection Impact Assessment (DPIA). Het College van Bestuur (CvB) van de UvA heeft vervolgens besloten om proctoring in te zetten gedurende de Covid-19 crisis, maar enkel bij tentamens waar geen passend alternatief kon worden gevonden. De Studenten hebben tevergeefs bezwaar aangetekend bij het CvB.

De inzet in het kort geding is – in essentie – een verbod op proctoring. De Studenten betogen daartoe onder meer het volgende:

• Er is geen wettelijke grondslag voor de gegevensverwerking en de UvA kan zich als overheidsorgaan niet beroepen op een gerechtvaardigd belang;
• De gegevensverwerking gaat verder dan strikt noodzakelijk voor het doel waarvoor de gegevens worden verwerkt, namelijk het tegengaan van fraude: zo wordt gebruikgemaakt van een room scan, eye tracking en sound recording;
• Er is géén verwerkingsovereenkomst met de aanbieder van Proctorio; en
• De UvA verwerkt gegevens in strijd met het verbod van artikel 9 AVG omtrent bijzondere persoonsgegevens, zoals eyetracking, ademhaling, hoesten en niezen.

Als gezegd, de kort geding rechter gaat hier niet in mee. In mijn ogen een terechte uitspraak. De belangrijkste overwegingen daartoe zijn de volgende:

• De grondslag voor de gegevensverweking ligt in artikel 6 lid 1 sub e AVG. De UvA heeft een in de wet geregelde publieke taak, namelijk om onderwijs te verzorgen, examens af te nemen en diploma’s te verstrekken, waarbij de kwaliteit van dat onderwijs en van de te verstrekken diploma’s is gewaarborgd; en
• In verband met corona is er een noodzaak om proctoring in te zetten bij het afnemen van tentamens die vanuit huis worden gemaakt, met name multiple choice bachelor-tentamens die zijn gericht op kennisreproductie en waaraan grote groepen studenten deelnemen.

De rechter staat overigens nog wat langer stil bij het fenomeen spieken: “vaststaat dat (…) studenten gedurende het gehele tentamen onder toezicht van een surveillant dienen te staan. De vraag is hoe dat vormgegeven kan worden als studenten thuis online tentamens maken (…).”

De rechter stelt vervolgens vast dat fraude bij tentamens van alle tijden is: “studenten zijn (…) gehouden om niet te frauderen, maar desondanks komt fraude voor. Uit door de UvA overgelegde stukken blijkt dat bijvoorbeeld antwoorden worden opgezocht in online leeromgevingen, antwoorden worden gedeeld in WhatsApp-groepen, en dat er studenten zijn die gezamenlijk in één ruimte tentamens maken of hun tentamen door een ander laten maken.” Dit laatste is voor mij persoonlijk goed te weten, met twee puberende kinderen thuis.

Vervolgens zoomt de rechter nader in op de privacy-inbreuk. Hij stelt eerst vast dat het ‘onontkoombaar’ is de persoonlijke omgeving te registreren alsmede dat een student kan worden gevraagd om zijn omgeving en zijn bureau te laten zien: “hoe is anders vast te stellen dat de student geen boeken, aantekeningen of telefoon op of bij zijn bureau heeft liggen, wat bij tentamens op de campus door de surveillant wordt nagegaan.” De rechter neemt hierbij mede in ogenschouw dat – wegens corona – een groot deel van de werknemers wereldwijd vanuit huis werken en dat zij noodgedwongen via videobellen hun persoonlijke omgeving met hun collega’s en werkgever delen.

Ook de opslag van de gegevens is volgens de rechter noodzakelijk “nu het systeem alleen dan de gegevens met elkaar kan combineren en surveillanten alleen dan de mogelijkheid hebben om zorgvuldig te bekijken of sprake is van fraude”. Sterker nog, volgens de rechter is het “live monitoren van alle studenten meer invasief dan proctoring (…), waarbij het grootste deel van de camerabeelden en beeldschermgegevens niet wordt bekeken.”

Voorts geschiedt de verwerking door de UvA enkel ter authenticatie en om effectief frauduleus gedrag vast te stellen: “studenten worden niet live gevolgd tijdens het maken van tentamens, er wordt geen gebruikgemaakt van eye tracking of het vastleggen van ademhaling, stresslevel of biometrische gegevens. Van de verwerking van bijzondere gegevens in de zin van artikel 9 AVG is dan ook geen sprake.”

Tenslotte worden de gegevens na 30 dagen automatisch verwijderd: “met deze bewaartermijn kan de surveillant binnen de nakijktermijn van doorgaans 15 dagen de gegevens bekijken als er vermoedens zijn van onregelmatigheden in het tentamen.”

Kortom: vooralsnog 1-0 vóór proctoring en dus 1-0 vóór spieken tegen spieken.

Maar het laatste woord is hier zeker nog niet over gezegd. Want vanuit mijn hoedanigheid als redactielid van het Tijdschrift voor Internetrecht weet ik dat we bezig zijn met een artikel van zowel een voor- als tegenstander.

Dus de ‘proctoring saga continues’.

Menno Weij is partner bij BDO Legal