Er det i overensstemmelse med reglerne, hvis en skole for at kontrollere mod snyd kræver, at elever installerer et digitalt monitoreringsværktøj?

Spørgsmålet forstås således, at der spørges til reglerne på det gymnasiale område. Svaret vedrører derfor de gymnasiale prøver.

Styrelsen for Undervisning og Kvalitet (STUK) oplyser, at institutionens offentlige myndighedsudøvelse i forbindelse med tilrettelæggelsen af prøver ved de gymnasiale uddannelser er udfoldet i § 5 i bekendtgørelse (bekendtgørelse nr. 1276 af 27. november 2017), herunder stk. 1, hvoraf det fremgår, at institutionerne skal tilrettelægge gennemførelsen af prøver, ikke-tilladte hjælpemidler eller i øvrigt overtræder eksamensreglerne. Af § 5, stk. 3, i af eksaminandens computere/tablets mv. Det er et krav, at det fremgår af institutionens lokale eksamensregler, at der anvendes monitorering ved prøverne.

STUK oplyser desuden, at det ikke er frivilligt at deltage i de prøver, som en elev efter lovgivningen skal aflægge i forbindelse med en gymnasial uddannelse for at opnå en eksamen. Tilsvarende kan kursister i gymnasial enkeltfagsundervisning kun afslutte og bestå et fag på et givet niveau, hvis de aflægger den eller de prøver, som er tilknyttet niveauet. En samtykkeerklæring om monitorering af en eksaminands computer må derfor betragtes som unødvendig, da det er et vilkår (hjemlet i ovenstående gennemføre uddannelsen/faget.

For så vidt angår spørgsmålet om reglerne i forhold til krav om, at elever installerer et digitalt monitoreringsværktøj, herunder et såkaldt general purpose-værktøj som ExamCookie, på deres private PC i forbindelse med en prøve eller eksamen, så har STUK oplyst, at institutionernes hjemmel til at anvende monitorering ved prøverne fremgår af § 5 i bekendtgørelse om visse regler om prøver og eksamen i de gymnasiale uddannelser.

STUK oplyser desuden, at det er den enkelte gymnasiale institution, der er dataansvarlig for behandlingen af eksaminandernes oplysninger i forbindelse med prøverne, fordi databehandlingen sker til institutionens formål og på institutionens vegne. Dette følger af databeskyttelsesopfylde minimumskravene, som det fremgår af databeskyttelsesforordningens artikel 28, stk. 3. Det er desuden et krav, at institutionen udarbejder en risikovurdering i forbindelse med behandlingen af eksaminandernes personoplysninger.

For så vidt angår spørgsmålet om, om ministeren vil redegøre for, hvordan det sikres, at man alene overvåger elevens aktivitet i forbindelse med prøven eller eksamen, og at der ikke tilgås øvrige oplysninger på elevens PC, så oplyser Styrelsen for It og Læring (STIL), at der i den databehandleraftale, som indgås mellem den enkelte dataansvarlige institution og leverandøren af monitoreringsværktøjet, skal præciseres, i hvilket omfang leverandøren må indsamle og behandle personoplysninger om dataminimering og formålsbegrænsning i medfør af databeskyttelsesinstitutionerne databehandleraftalen sikre, at leverandøren kun har adgang til de personoplysninger, der er tilstrækkelige, relevante og begrænset til det mellem indsamlingen af personoplysninger og det konkrete formål med brugen af leverandøren af et monitoreringsværktøj. af personoplysninger ved brug af programmet ExamCookie af 16. maj 2019, herunder i forhold til at sikre, at øvrige uddannelsessteder overholder reglerne, så har STIL oplyst, at STIL har haft dialog med leverandøren af ExamCookie. Leverandøren har mundtligt oplyst, at virksomheden blandt andet på baggrund af en række møder med forskellige databeskyttelsesrådgivere og med afsæt i Datatilsynets to afgørelser (herunder den ene vedr. Fredericia Gymnasiums brug af ExamCookie) har justeret produktet, så det stemmer overens med disse afgørelser – navnlig i forhold til omfanget af data som behandles.

STIL har oplyst om denne dialog i brev til lederforeningerne af 10. oktober 2022 og har ved samme lejlighed informeret om Datatilsynets afgørelser, herunder Fredericia Gymnasiums brug af ExamCookie. I brevet opfordrede STIL de dataansvarlige uddannelsesinstitutioner til blandt andet at udføre en risikovurdering af leverandørens produkt.

Endvidere har STUK og STIL deltaget i et webinar for Danske Gymnasiers medlemsskoler om brugen af monitoreringsværktøjer til imødegåelse af snyd under eksamen. På dette webinar redegjorde STIL for de databeskyttelsesmæssige krav, som gymnasierne skal iagttage, når de som dataansvarlige institutioner ønsker at anvende leverandører som ExamCookie.