Om maar meteen met de deur in huis te vallen: nee, dit mag niet zonder reden. Wanneer leerlingen en studenten namelijk verplicht worden om hun camera te gebruiken voor het online onderwijs, kunnen zij – zonder dat de onderwijsinstelling een bijzondere inspanning levert – geïdentificeerd worden. Wanneer de onderwijsinstellingen deze persoonsgegevens vervolgens gebruiken voor educatieve doeleinden, dan is sprake van de verwerking van persoonsgegevens. Om die reden is op deze situatie, waarbij zowel docenten als studenten herkenbaar in beeld zijn, de Algemene verordening gegevensbescherming (hierna: AVG) van toepassing. De verwerking van persoonsgegevens is alleen rechtmatig indien aan tenminste een van de rechtvaardigingsgronden uit artikel 6 AVG is voldaan. Als rechtmatig wordt bestempeld, mits noodzakelijk:

1. Het uitvoeren van een overeenkomst;
2. Het gehoor geven aan een wettelijke verplichting;
3. De bescherming van vitale belangen;
4. Het uitvoeren van een taak van algemeen belang of openbaar gezag;
5. Het behartigen van een gerechtvaardigd belang.

De verwerker van persoonsgegevens dient af te wegen of de inbreuk op de belangen van de betrokkene niet onevenredig is in verhouding tot het met de verwerking te dienen doel (proportionaliteit) en of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van de persoonsgegevens betrokkene minder nadelige wijze kunnen worden verwezenlijkt (subsidiariteit).

Indien de conclusie luidt dat verwerking niet noodzakelijk is, dan is verwerking enkel rechtmatig indien de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden. Toestemming wordt geacht te zijn gegeven indien de betrokkene een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting heeft gedaan waarmee hij actief verklaart dat hij de verwerking van zijn persoonsgegevens heeft aanvaard.

Is de verwerking van persoonsgegevens noodzakelijk of is toestemming door de betrokkene verleend, dan nog hebben onderwijsinstellingen geen vrij speelveld. Zij zijn namelijk volgens de AVG verantwoordelijk voor het verwerken van de persoonsgegevens. Zo mogen er niet meer gegevens verwerkt worden dan noodzakelijk en mogen deze gegevens niet langer bewaard worden dan noodzakelijk. Daarnaast dienen zij betrokkenen te allen tijde op de hoogte te stellen van de gegevensverwerking en mede te delen wat er precies met de gegevens gaat gebeuren. Voordat een onderwijsinstelling gegevens gaat verwerken dient zij tenslotte eerst nog de MR om advies te vragen.

Tot dusver lijkt het erop dat de studenten het gebruik van camera’s – in het belang van het continueren van onderwijs – tijdens online lessen accepteren. Dit in tegenstelling tot het gebruik van camera’s tijdens examens. Hieromtrent heeft de voorzieningenrechter in Amsterdam recentelijk een interessante uitspraak gewezen, nadat studentenraden bezwaar hadden gemaakt tegen het gebruik van een online surveillancesoftware (proctoring) bij tentamens. Zij waren van mening dat de universiteit hen eerst om toestemming had moeten vragen. Ook vonden zij dat de surveillancesoftware inbreuk maakte op hun privacy en dus in strijd was met de AVG.

De voorzieningenrechter ging hier niet in mee en oordeelde dat het gebruik van proctoring rechtmatig is. Ten eerste is er in de wettelijke regelingen voor het afnemen van tentamens expliciet opgenomen dat studentenraden geen instemming hebben wanneer het aankomt op regels rondom surveilleren. De universiteit had hen dus niet eerst om toestemming hoeven vragen. Daarnaast wordt er volgens de voorzieningenrechter geen onrechtmatige inbreuk gemaakt op de privacy van studenten. De publieke taak van de universiteit als onderwijsinstelling – en daarmee het afnemen van tentamens – is wettelijk vastgelegd. De AVG biedt daarmee ruimte om persoonsgegevens te verwerken indien noodzakelijk voor het uitoefenen van die taak. Daarbij maken de coronaregels het noodzakelijk dat bepaalde tentamens online worden afgelegd en in dat verband maatregelen worden genomen ter bestrijding van fraude. Ook de manier waarop de gegevens worden verzameld is conform de AVG. Zo is de universiteit een overeenkomst aangegaan met het surveillancebedrijf, waardoor ook zij aan de AVG gebonden is. Daarnaast speelt mee dat studenten niet live gevolgd worden en dat de surveillant pas toegang heeft tot de gegevens als de computer significant afwijkend gedrag vaststelt. Ten slotte worden de gegevens versleuteld opgeslagen en na 30 dagen automatisch vernietigd.

De voorzieningenrechter komt dus tot het oordeel dat de verwerking van de persoonsgegevens bij tentamens noodzakelijk is. Derhalve is toestemming niet langer vereist. Wel rust op de onderwijsinstelling een verantwoordelijkheid voor het deugdelijk verwerken van de persoonsgegevens. Ook hieraan is volgens de voorzieningenrechter voldaan. Niet alleen zijn de studenten tijdig geïnformeerd, ook worden zij niet live gevolgd, kan een surveillant pas aan de gegevens nadat de computer significant afwijkend gedrag vaststelt en worden de gegevens versleuteld opgeslagen en na 30 dagen vernietigd. De onderwijsinstelling handelt derhalve conform de AVG.

Aanbeveling

Aanbeveling verdient om te allen tijde alle betrokkenen zo goed mogelijk op de hoogte te stellen over waarom gekozen wordt voor de verwerking van persoonsgegevens en wat er met deze gegevens gaat gebeuren. Raadzaam is voorts om vervolgens tot een oplossing te komen in samenwerking met de medezeggenschapsraad, of met de studentenraden indien het gaat om het digitaal afleggen van tentamens. Is er geen oplossing voorhanden, dan dient de inbreuk op de privacy – veroorzaakt door het cameratoezicht – noodzakelijk te zijn. Is dit niet noodzakelijk? Dan is het verlenen van toestemming door de betrokkenen de enige mogelijke uitweg voor het alsnog verwerken van persoonsgegevens.

De vraag die resteert is of het cameragebruik bij thuisonderwijs niet veel verder gaat dan het gebruik bij tentamens. Ook de Autoriteit Persoonsgegevens heeft hieromtrent veel vragen ontvangen. Dit nu allereerst alle handelingen van studenten tijdens de lessen gemonitord worden. Daarnaast zijn ook bijvoorbeeld religieuze uitingen zichtbaar evenals wat gezinsleden doen in de achtergrond. In tegenstelling tot in de normale lespraktijk, kunnen deze observaties nu makkelijk worden opgeslagen en verspreid. De Autoriteit Persoonsgegevens is een onderzoek gestart. Wanneer de resultaten verwacht worden is nog niet bekend. De Autoriteit Persoonsgegevens heeft op haar website wel al tips voor beeldbellen en proctoring gepubliceerd.