Er en eksamensopgave omfattet af begrebet ”personoplysning”?

EU-Domstolen har i en afgørelse af 20. december 2017 slået fast, at den skriftlige besvarelse, en studerende har afleveret i forbindelse med en faglig prøve, samt eksaminators rettelser og kommentarer til denne besvarelse, indeholder personoplysninger. Eksaminanden har derfor blandt andet ret til at få indsigt i besvarelsen og eksaminators rettelser og kommentarer hertil.

Sagen omhandler en irsk regnskabselev, som dumpede en skriftlige prøve flere gange i 2009. Efter at have fået en klage afvist anmodede eleven efter den irske databeskyttelseslov om indsigt i alle personoplysninger, som uddannelsesstedet var i besiddelse af om ham. Indsigten blev givet med undtagelse af hans eksamensbesvarelse og vurderingen heraf med den begrundelse, at disse dokumenter ikke indeholdt personoplysninger, hvorfor besvarelsen ikke var omfattet af indsigtsretten i databeskyttelsesloven.

Sagen nåede efterfølgende helt til den irske Supreme Court, som valgte at stille EU-Domstolen et opklarende spørgsmål om, hvorvidt en skriftlig besvarelse i en faglig prøve og eksaminators rettelser og kommentarer hertil udgør personoplysninger i persondataretlig forstand. Spørgsmålet er indsendt og vurderet efter det nugældende persondatadirektiv, men det ændrer ikke på, hvordan spørgsmålet skal fortolkes efter persondataforordningens regler, når disse begynder at finde anvendelse fra den 25. maj 2018.

EU-Domstolen nåede frem til, at prøvebesvarelen og eksaminators rettelser og kommentarer udgør personoplysninger, og de er dermed omfattet af de persondataretlige regler, herunder eksaminandens ret til at kræve indsigt i oplysningerne.

Dommens begrundelse

Personoplysninger er netop defineret som ”enhver form for information om en identificeret eller identificerbar fysisk person”  for at gøre begrebet så bredt som muligt og ikke kun begrænset til en følsom eller privat information.

En persons besvarelse i en eksamenssituation indeholder personoplysninger, fordi den indeholder informationer om personens viden og kompetence inden for et givet område, personens tankegang, dømmekraft og kritiske sans. Hvis besvarelsen er givet i hånden, indeholder den også kalligrafisk information.

Besvarelsen har endvidere til formål at evaluere personens faglige kapaciteter og har indvirkning på personens rettigheder og interesser, idet eksamensresultatet kan afgøre eller påvirke eksaminandens chancer for at få adgang til et ønsket erhverv. Dette taler også for, at besvarelsen indeholder personoplysninger.

Det forhold, at eksaminator ikke nødvendigvis kan identificere eksaminanden, når prøven rettes og kommenteres, er uden betydning, da uddannelsesinstitutionen altid kan koble besvarelsen sammen med den korrekte eksaminand, hvorved eksaminanden identificeres. 

Rettelserne og de eventuelle kommentarer fra eksaminator afspejler eksaminators mening om eksaminandens præstation. De skal i øvrigt dokumentere selve evalueringen af den individuelle besvarelse, og disse dokumenterne indeholder derfor personoplysninger, som knytter sig til eksaminanden. 

Rettelser og kommentarer vil ligeledes udgøre personoplysninger om selve eksaminatoren, og den samme information kan dermed godt indeholde personoplysninger om flere fysiske personer. Dette forhindrer dog ikke i sig selv, at der kan gives indsigt i oplysningerne til den pågældende eksaminand. Dog skal det nævnes, at selve eksamensspørgsmålene ikke er omfattet af indsigtsretten, da de i sagens natur ikke indeholder oplysninger om den individuelle eksaminand.

Hvilken betydning får dommen for danske uddannelsesinstitutioner?

Uddannelsesinstitutioner skal være opmærksomme på, at de behandler personoplysninger, når de afholder eksamener og prøver. Uddannelsesinstitutionen skal derfor udarbejde en eksamenshåndteringsprocedure i overensstemmelse med de persondataretlige regler. Denne procedure skal være nedskrevet, da den skal kunne dokumenteres.

Den ansvarlige uddannelsesinstitution skal ligeledes sikre, at besvarelsen, rettelserne og kommentarerne opbevares på en sådan måde, at det undgås, at tredjemand får ulovlig adgang hertil. Derudover skal uddannelsesinstitutionen have en procedure for, hvordan de håndterer anmodninger fra en elev/studerende, som ønsker at udnytte en eller flere af de rettigheder, som persondatalovgivningen giver de registrerede.

En anden konsekvens af at eksamensbesvarelser nu anses som omfattet af de persondataretlige regler er, at uddannelsesinstitutioner skal indføre en slettepolitik i deres eksamenshåndteringsprocedure.

Uddannelsesinstitutionen må nemlig ikke opbevare personoplysninger, altså eksamensbesvarelsen og eksaminators kommentarer hertil, i længere tid, end det er nødvendigt til opfyldelse af indhentningsformålet.

Kan dommen få betydning for andre end traditionelle uddannelsesinstitutioner?

Som dommen er formuleret, er det endvidere usikkert, om den kun retter sig mod traditionelle uddannelsesinstitutioner. EU-Domstolen bruger en formulering, der kan læses sådan, at reglerne gælder for alle typer faglige prøver. Der er mange andre situationer, hvor en person gennemgår en faglig prøve for at opnå kvalifikationer til at besidde et bestemt erhverv. Advokater skal eksempelvis også til en faglig prøve, det samme skal revisorer. Det må antages, at de faglige foreninger, der udbyder disse, har samme forpligtelser som helt traditionelle uddannelsesinstitutioner.

Et andet spørgsmål er de prøver, der med mellemrum stilles i forbindelse med jobsamtaler. Her vil der ofte være tale om en personlighedstest samt en faglig test. Begge disse tests må antages også at være omfattet af persondatareglerne. Den virksomhed, der afholder disse, må derfor antages at have de samme forpligtelser, som gælder for de traditionelle uddannelsesinstitutioner. Ligeledes har den person, der har taget den pågældende test, de samme rettigheder, som var testen taget ved en traditionel uddannelsesinstitution.

EU-Domstolens dom synes derfor at have en langt bredere rækkevidde end blot traditionelle uddannelsesinstitutioner.

Det skal dog her tilføjes, at Danmark i lovforslag til databeskyttelsesloven § 22, stk. 3 lægger op til en særregel, som kan undtage de omhandlende personoplysninger fra indsigtsretten.

Bestemmelsen beskriver nemlig, at oplysninger som behandles for den offentlige forvaltning som led i administrativ sagsbehandling kan undtages fra retten til indsigt.  

Idet databeskyttelsesloven kun foreligger i udkast, kan vi ikke sige nærmere om, hvordan bestemmelserne endeligt vil se ud, når loven bliver vedtaget.

Hvis du har spørgsmål til indholdet af ovenstående eller persondata generelt, står vi gerne klar til at hjælpe.