Vinnsla persónuupplýsinga af hálfu Háskóla Íslands

Mál nr. 2022040716

22.2.2024

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Háskóla Íslands í máli nr. 2022040716:

I.

Málsmeðferð

Hinn 7. apríl 2022 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hann af hálfu Háskóla Íslands. Nánar tiltekið lýtur kvörtunin að því að kennari við Háskóla Íslands hafi viðhaft ólöglega rafræna vöktun með kvartanda með því að skoða virkni hans í námskeiði með því að kanna notkun hans á kennsluvef í Canvas námsumsjónarkerfinu. Undir rekstri málsins lagði kvartandi fram nýja kvörtun á hendur sama kennara við Háskóla Íslands, með bréfi dags. 13. september 2023. Laut seinni kvörtunin að notkun kennarans á jafningjamati samnemenda kvartanda við einkunnagjöf fyrir námskeiðið. Seinni kvörtun kvartanda var sameinuð fyrri kvörtun hans undir málsnúmeri 2022040716 hjá Persónuvernd.

Persónuvernd bauð Háskóla Íslands að tjá sig um kvörtunina með bréfi, dags. 26. júní 2023, og bárust svör háskólans 1. september s.á. Með bréfi, dags. 5. s.m., óskaði Persónuvernd eftir frekari upplýsingum frá Háskóla Íslands og bárust þær með bréfi, dags. 26. s.m. Þá var Háskóla Íslands tilkynnt um að kvartandi hefði aukið við kvörtun sína og háskólanum boðið að tjá sig um umkvörtunarefnið með bréfi, dags. 12. október s.á. Bárust svör háskólans með bréfi, dags. 28. nóvember s.á. Jafnframt var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Háskóla Íslands með bréfum, dags. 4. september 2023 og 30. nóvember s.á., og bárust athugasemdir kvartanda með bréfi, dags. 17. desember s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Ágreiningur er um heimild kennara við Háskóla Íslands til þess að kanna virkni kvartanda í námskeiði, með því að kanna notkun hans í Canvas námsumsjónarkerfinu, en kvartandi var á þeim tíma nemandi kennarans í námskeiði sem kennt er við háskólann. Einnig er ágreiningur um heimild kennarans til þess að nota jafningjamat við einkunnagjöf í námskeiðinu.

Kvartandi byggir á því að umræddur kennari hafi viðhaft ólöglega rafræna vöktun með honum sem nemanda með því að fylgjast með því sem hann skoðaði í Canvas námsumsjónarkerfi Háskóla Íslands, án þess að hann hefði verið upplýstur um það eða veitt samþykki fyrir slíkri rafrænni vöktun. Þá telur kvartandi að kennarinn hafi brotið gegn meginreglum persónuverndarlöggjafarinnar um áreiðanleika, gagnsæi, sanngirni og meðalhóf með því að nota jafningjamat við einkunnagjöf í námskeiði sem kvartandi sat hjá kennaranum.

Í svarbréfi Háskóla Íslands kemur fram að samkvæmt kennsluáætlun í því námskeiði sem kvartandi sat við háskólann og umræddur kennari kenndi hafi námsmat verið þríþætt, þ.e. (1) hópverkefni, (2) þátttaka og virkni og (3) lokapróf. Einn liður í námsmatinu „þátttaka og virkni“ hafi falist í því að nemendur voru beðnir um að horfa á myndbönd í kennslustund og setja inn ábendingar og spurningar í gegnum Canvas námsumsjónarkerfið. Hafi kennarinn því kannað virkni kvartanda í námskeiðinu með því að athuga notkun hans á kennsluvefnum í Canvas kerfinu. Byggir Háskóli Íslands á því að vinnsla persónuupplýsinga nemenda í Canvas námsumsjónarkerfinu styðjist við heimild samkvæmt 3. tölul. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Vísað er til þess að samkvæmt 1. mgr. 2. gr. laga um háskóla, nr. 63/2006, er háskóli sjálfstæð menntastofnun sem sinnir kennslu, rannsóknum, varðveislu þekkingar, þekkingarleit og sköpun á sviðum vísinda, fræða, tækniþróunar eða lista. Í 1. mgr. 7. gr. er svo kveðið á um að háskólar ákveði fyrirkomulag kennslu. Samkvæmt framangreindu noti Háskóli Íslands Canvas námsumsjónarkerfið til að sinna kennslu nemenda. Þá vísar háskólinn til þess að eiginleiki Canvas kerfisins sé hugsaður til þess að námsmat í fjarnámi og einkunnagjöf geti byggst á ástundun nemenda og geti því kennari ákveðið að það hafi vægi við einkunnagjöf að nemendur skoði skrár, upptökur, skjöl, síður og fleira. Samkvæmt svörum Háskóla Íslands fékk kvartandi á hinn bóginn ekki fræðslu um vinnslu persónuupplýsinga hans í Canvas námsumsjónarkerfinu.

Hvað varðar notkun kennarans á jafningjamati til grundvallar einkunnagjöf fyrir námskeiðið veitti Háskóli Íslands ekki efnisleg svör við spurningum Persónuverndar undir rekstri málsins en vísaði til fylgiskjals með niðurstöðu deildarforseta [hjá] Háskóla Íslands í máli vegna kvörtunar kvartanda yfir námsmati í námskeiðinu, samkvæmt 50. gr. reglna Háskóla Íslands nr. 569/2009, sem og til álits kærunefndar í málefnum nemenda í máli nr. [....] í tilefni af kæru kvartanda.

II.

Niðurstaða

1.

Lögmæti vinnslu

Mál þetta lýtur að heimild kennara við Háskóla Íslands til þess skoða virkni kvartanda í námskeiði, með því að kanna notkun hans á tilteknum kennsluvef í Canvas námsumsjónarkerfinu, sem og heimild kennarans til þess að nota jafningjamat samnemenda kvartanda við einkunnagjöf fyrir námskeiðið. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Háskóli Íslands telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt framangreindum ákvæðum laganna og reglugerðarinnar, enda almennt litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Eins og atvikum hefur verið lýst af hálfu aðila var skoðun kennara við Háskóla Íslands á virkni nemenda í námskeiðum, með því að kanna notkun þeirra á tilteknum kennsluvef í Canvas námsumsjónarkerfinu, ekki viðvarandi eða endurtekin reglulega. Að mati Persónuverndar er því ekki um að ræða rafræna vöktun samkvæmt tilvísuðu lagaákvæði.

Öll vinnsla persónuupplýsinga verður engu að síður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þegar stjórnvöld og opinberar stofnanir vinna með persónuupplýsingar er helst að líta til 3. tölul. lagagreinarinnar, sbr. c-lið reglugerðarákvæðisins, sem kveður á um að vinnsla geti verið heimil ef hún er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, og 5. tölul. lagagreinarinnar, sbr. e-lið reglugerðarákvæðisins, sem mælir fyrir um að vinnsla geti verið heimil ef hún er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Við mat á því hvort vinnsla persónuupplýsinga byggist á 3. eða 5. tölul. 9. gr. laganna er mikilvægt að hafa í huga að samkvæmt 3. tölul. er gert ráð fyrir að löggjafinn hafi ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram. Þegar byggt er á 5. tölul. er á hinn bóginn gert ráð fyrir að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum viðkomandi stjórnvalds með vísan til almannahagsmuna og beitingu opinbers valds.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins. Í tengslum við mat á gagnsæi við vinnslu, samkvæmt framangreindri meginreglu, er einnig að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráða, sbr. 17. gr. laga nr. 90/2018 og 12.-14. gr. reglugerðar (ESB) 2016/679.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Koma hér einkum til skoðunar lög nr. 63/2006 um háskóla. Í 7. gr. laganna segir að háskólar ákveði fyrirkomulag kennslu, rannsókna, náms og námsmats. Þá segir í athugasemdum við frumvarp til laganna að lögunum sé ætlað að tryggja áfram sveigjanleika í skipulagi háskóla þar sem svigrúm og sjálfstæði þeirra er í fyrirrúmi.

Háskóli Íslands hefur í svörum sínum vísað til þess að námsmat í því námskeiði sem kvartandi sat hjá kennaranum hafi verið þríþætt og að einn hluti þess hafi verið „þátttaka og virkni“ og annar „hópverkefni“. Byggir háskólinn á því nauðsynlegt hafi verið að kanna virkni kvartanda í tilteknu námskeiði, með því að skoða notkun hans á kennsluvefnum í Canvas námsumsjónarkerfinu, til grundvallar einkunnagjöf fyrir matsþáttinn „þátttaka og virkni“. Þá liggur fyrir í gögnum málsins að jafningjamat samnemenda kvartanda í hópverkefni hafi verið einn þáttur þess sem lá til grundvallar einkunnagjöf er varðar matsþáttinn „hópverkefni“. Þegar vinnsla persónuupplýsinga fer fram af hálfu stjórnvalda í tengslum við lögbundin verkefni þeirra hefur Persónuvernd litið svo á að vinnslan geti einkum stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Að mati Persónuverndar verður talið að Háskóli Íslands geti byggt umrædda vinnslu persónuupplýsinga á þessum grundvelli, í ljósi þeirra verkefna sem háskólanum eru falin með lögum nr. 63/2006.

Háskóli Íslands hefur hins vegar fallist á það með kvartanda að honum hafi ekki verið kynntir nægilega vel möguleikar kennarans til að skoða virkni hans í námskeiðinu með því að kanna notkun hans á kennsluvef í Canvas námsumsjónarkerfinu og leggja það til grundvallar einkunnagjöf. Þá kom einnig fram í svarbréfi Háskóla Íslands að þegar kvartandi skráði sig inn í Canvas námsumsjónarkerfið hafi upplýsingasíða um vinnslur í kerfinu, sem birtist einstaklingum þegar þeir tengja sig við kerfið, verið óvirk. Þá liggur ekkert fyrir um að Háskóli Íslands hafi veitt kvartanda upplýsingar um að jafningjamat yrði notað til grundvallar einkunnagjöf.

Með vísan til framangreinds verður því talið að vinnsla Háskóla Íslands á persónuupplýsingum um kvartanda, sem fólst í skoðun á notkun kvartanda á tilteknum kennsluvef í Canvas námsumsjónarkerfinu og notkun jafningjamats við einkunnagjöf, hafi ekki samrýmst gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Þá verður ekki talið að Háskóli Íslands hafi veitt kvartanda viðeigandi fræðslu samkvæmt 1.-2. mgr. 17. gr. laganna og 12.-13. gr. reglugerðarinnar.

Ú r s k u r ð a r o r ð:

Vinnsla Háskóla Íslands á persónuupplýsingum um [A] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679 um sanngjarna og gagnsæja vinnslu og fræðsluskyldu.

Persónuvernd, 22. janúar 2024

Valborg Steingrímsdóttir                                   Edda Þuríður Hauksdóttir