Bu çözümlere başvurulduğu sürece, hangi araç seçilirse seçilsin ve hatta kendini “GDPR’a uygun” olarak sunsa dahi, kuruluş, bu işlemenin sorumlusu olarak, veri koruma ilkelerine ve ilgili öğrencilerin haklarına saygı duymalıdır. Bunu yapabilmek için, kendi veri koruma görevlisinin(DPO) tavsiyelerine güvenebilir.

Herhangi bir kişisel veri işlemede olduğu gibi, veri sorumlusu bu cihazı yalnızca hukuki temeline karar verdikten sonra uygulayabilecektir.

Rıza, özellikle özgür iradeye dayalı olmak kaydıyla, yani ne zorlama ne de etkilenme olmaksızın (örn. veri sorumlusunun yetkilisinin konumu), geçerli bir hukuki temel teşkil eder. Özellikle öğrencilere,  reddetmeleri halinde olumsuz sonuçlara katlanmak zorunda olmayacakları gerçek bir tercih sunulmuş olmalıdır. Bu koşullar altında,   online olarak organize edilen ve izlenen sınavlardaki gözetleme işlemler için rızanın bir hukuki temel olarak korunabilmesi çok zordur.

Diğer taraftan veri sorumlusu, bu işleme şeklini, kamu yararına olan bir görevinin yerine getirilmesi gibi, farklı bir temele dayandırabilir. Bu hukuki temel, bir kamu yararı misyonunu takip ettikleri sürece, hem üniversiteler hem de özel yükseköğrenim kuruluşları tarafından kullanılabilir. Bu bağlamda,  her kuruluş tarafından öğretiminin geçerliliğinin kaydileştirilmesi (kayıt altında alınması) seçimine, yıl başlangıcında karar verilmelidir (Eğitim Kanunu’nun D.611-12. maddesi).

• Sınav sırasında gerçek zamanlı video gözetimi;
• Ad hoc (plansız) ya da rastgele şekilde fotoğraf ya da vide akışı ya da ses kaydı almak.

Diğer yandan, şu amaçlar için orantılı görülmemektedir:

• Öğrencinin kişisel bilgisayarının kontrolünü ele alan izleme araçları (özellikle e-posta ve sosyal ağlarını kontrol etmek için);
• Biyometrik izlemeye dayalı izleme araçları (örneğin: Webcam aracılığıyla yüz tarama).

• Sınırlı bir saklama süresi: Kaydedilen bilginin türü ve işleme amacına göre kesin bir saklama süresi belirlenmelidir, örneğin sınavın yapılması ile ilgili itiraz etme sürelerinin sona ermesine kadar – bu durumda, veriye erişim yalnızca fonksiyonlarından dolayı bunu bilmekte bir faydası olan kişilerle sınırlı olmalıdır (örneğin, hukuk departmanı);

• Güvenlik yükümlülüğü: Veri sorumlusu, işlenmeleri sırasında verinin kullanılabilirliği, bütünlüğü ve gizliliğini garanti etmelidir (toplama, aktarma, depolama). Bunun için, aşağıda belirtilen ya da aynı seviyede garanti sunan eşdeğer tedbirlerin uygulamaya konulması gerekir:

• • Veri iletimi, güvenli ve şifrelenmiş bir kanalla yapılmalıdır. Veriyi alan serverın (sunucu) doğrulanmalıdır.
  • Depolama, kötü niyetli fiillere karşı koruma çözümleri uygulanmış bir serverda(sunucu) gerçekleştirilmelidir (Saldırı tespit mekanizmaları yanı sıra özellikle güncel bir güvenlik duvarı ve antivirüs).
  • Veri erişim doğrulama politikası, kayıtlı hesaplar kullanarak yalnızca doğrulanmış kişilerin erişimine hak sağlayacak şekilde uygulanmalıdır. Veriye tüm erişimler loglanmalı (günlüğe kaydedilmeli), yani verinin okuma/yazma işlemlerini referans alan bir dosya sistemine yazılmalıdır.
  • Veri silme politikası, tanımlı veri saklama sürelerini uygulayacak şekilde uygulanmalıdır.
  • Kullanılan cihaz, öğrencinin kullandığı terminalin güvenlik seviyesini zayıflatmamalıdır.

Bunlardan başka, uzaktan izleme cihazının ilgili kişilerin hak ve özgürlükleri için yüksek bir risk meydana getirecek gibi olması halinde, işlemden sorumlu kişi tarafından mutlaka bir veri koruma etki değerlendirmesi (AIPDE) gerçekleştirilmelidir. Özellikle, yenilikçi teknolojilerin kullanılması halinde (örnekler: Göz takibi/izleme, algoritmalar ve yapay zeka kullanımı) bu tür bir analizin konusu olmalıdır.

İşletme dışından bir teknik çözüme başvurulması, veri sorumlusu için altsözleşmeciler kullanılmasıyla ilgili yükümlülüklere uyulması ve özellikle altsözleşmecilerle sözleşme yapılması da anlamına gelir.

Ek olarak, Avrupa Birliği (AB) dışına veri aktarımı kesinlikle yasak değilse, veri sorumlusunun uymakla yükümlü olduğu düzenlemelere tabidirler. CNIL, bir “bulut” hizmeti sağlayıcısında barındırmanın, bir aktarım teşkil etmesinin muhtemel olduğunu hatırlatır.

Öğrencilerin bilgisayar hak ve özgürlükleri,  sahtecilik tespit algoritmaları kullanan çözümler için otomatize karara konu edilmemeyi içerir.

Orijinal metin için bkz.