2 Juridisk handlingsrom for tilsyn på digitale hjemmeeksamener

I kapittel 7 om eksamen og vurdering har utvalget i 7.4.2.4. vurdert hvorvidt det er hensiktsmessig og juridisk mulig å gjennomføre tilsyn på digitale hjemmeeksamener. Som beskrevet i kapittel 7, vurderer utvalget at det ikke er et behandlingsgrunnlag for dette etter GDPR, ettersom et slikt tilsyn utgjør et sterkt inngrep i personvernet, noe som gjør det nødvendig med en egnet og mer klar og presis hjemmel enn hva som finnes i dag. Selv om det forelå et behandlingsgrunnlag, setter GDPR fortsatt rammer for hvorvidt og hvordan man kan gjennomføre tilsyn ved digital hjemmeeksamen. Disse rammene blir beskrevet i det følgende.

Tilsyn på digitale hjemmeeksamener innebærer omfattende innsamling av persondata. Løsningene kan registrere alt fra tastetrykk og skjermaktivitet til biometriske data og videoopptak av studentens hjemmemiljø.

De grunnleggende prinsippene i GDPR art. 5 er knyttet til hvorvidt et slikt inngrep i studentenes personvern er etisk forsvarlig. Derfor trekker utvalget frem de viktigste juridiske vurderingspunktene og tilsvarende risikoreduserende tiltak. Dette vil en høyere utdanningsinstitusjon1 måtte vurdere konkret i en personvernkonsekvensvurdering (DPIA).

• Proporsjonalitet og nødvendighet: I tråd med GDPR art. 5 nr. 1 bokstav a og art. 6 må det gjøres en avveining mellom institusjonens interesse i å forhindre fusk og studentens rett til privatliv. I den konkrete situasjonen må tilsynet være

  • egnet til å oppnå formålet: Det er ikke gitt at menneskelig tilsyn faktisk reduserer fusk i tilstrekkelig grad til å rettferdiggjøre inngrepet.

  • nødvendig: Dersom kontrollen kan utføres med mindre inngripende alternativer, eller eksamenen kan utformes på en måte som reduserer fuskemuligheter uten tilsynet, svekkes behovet for inngrepet betydelig.

  • proporsjonalt i en interesseavveining: Tilsynets alvor må veies opp mot gevinsten. Her er det relevant at tilsynet skjer i studentens hjem – det klareste eksempelet på en privatlivssfære – og potensielt kan berøre tredjepersoner.

• Formålsbegrensning: Prinsippet om formålsbegrensning etter GDPR art. 5 nr. 1 bokstav b innebærer at data kun kan samles inn for spesifikke, uttrykkelig angitte og legitime formål. Utfordringen oppstår når tilsynet i praksis går utover dette formålet. For eksempel kan opptak brukes til fuske- og utestengingssaker, kvalitetssikring eller andre administrative formål som ikke var klart kommunisert til studenten på forhånd. Dette skaper risiko for såkalt «formålsutglidning» av innsamlet data.2

• Dataminimering: Prinsippet om dataminimering etter GDPR art. 5 nr. 1 bokstav c krever at det kun behandles personopplysninger som er adekvate, relevante og begrenset til det som er nødvendig for formålet. Direkte video fra studentens rom vil imidlertid fange opp mer informasjon enn det som er nødvendig for å kontrollere identitet og hindre fusk – for eksempel informasjon om boforhold, familiemedlemmer eller personlige eiendeler.3 Siden datafangsten er bred og vanskelig å avgrense, vil videoovervåkning i hjemmet som regel gå lenger enn det som er nødvendig (European Data Protection Board, 2020a).

• Lagringsbegrensning: Etter GDPR art. 5 nr. 1 bokstav e bør lagring av videoopptak unngås eller begrenses sterkt; systemer som rutinemessig lagrer opptak for senere kontroll vil ofte være vanskelig å forsvare.

• Datasikkerhet og beskyttelse mot ulovlig overføring av data utenfor EØS.4

• Transparens i form av informasjon til studenter: GDPR art. 5 nr. 1 bokstav a krever at studentene tidsnok informeres om databehandlingen, inkludert risikoer, på en tydelig og relativt detaljert5 måte.6

Personvernprinsippene viser at menneskelig overvåkning av digitale hjemmeeksamener befinner seg i et rettslig grenseland etter GDPR. I praksis vil bruk av videoovervåkning i studenters hjem ofte være vanskelig å forene med disse prinsippene, særlig dersom det finnes realistiske og mindre inngripende alternativer. Selv om tiltaket i enkelte tilfeller kan begrunnes, stilles det svært strenge krav til utforming, begrunnelse og gjennomføring.

Dette er også understreket i praksis fra europeiske tilsynsmyndigheter (tilsvarende Datatilsynet). I en sak fra det italienske datatilsynet ble et universitet ilagt sanksjoner for bruk av overvåkningssystemer som samlet inn for omfattende data og manglet tilstrekkelig rettslig grunnlag. Alle disse avveiningene må institusjonen vurdere konkret i en personvernkonsekvensvurdering etter GDPR art. 35.

For å redusere arbeidsbelastning og øke skalerbarhet av overvåkningssystemer, har flere programvarer til overvåkning innebygd KI som ofte innebærer innhenting av biometriske data og statistisk og prediktiv profilering. Utvalget vil påpeke at slike systemer inneholder et omfattende risikobilde og er juridisk betydelig mer komplekse.7