Censoradfærd og GDPR

GDPR-reglerne har som hovedregel til hensigt at beskytte den enkelte borgers persondata.

GDPR-reglerne sondrer imellem, om man er dataansvarlig, eller om man er databehandler. Som udgangspunkt er man som censor databehandler, idet censor har fået en instruks fra dataansvarlig (institution eller Censorsekretariatet) om at behandle data, nemlig at læse en opgave og sammen med eksaminator bedømme en præstation.

Som censor skal man i forhold til:

Almindeligt censor arbejde

• Sørge for at data om en studerende ikke kommer videre til andre end rette vedkommende. Vær opmærksom, hvis autofuldførelse af modtagere anvendes. Censor er ansvarlig for, at der ikke optræder udenforstående blandt modtagerne af en mail
• Sørge for at slette alt materiale, når det ikke er relevant længere, bortset fra egne noter, som skal opbevares i et år fra eksamen. Husk at data nogle gange kan gemme sig i backups og andre sjove steder på ens PC og/eller cloud-lager
• Notater vil ofte være håndskrevne og disse bør i det nødvendige år opbevares forsvarligt, så andre ikke kan få adgang til personoplysninger

Klage og ankesager

• Ofte vil klager og anker blive sendt til censor gennem almindelig e-mail, men det foretrækkes, at materialet deles via en delt mappe, som kun relevante personer har adgang til
• Klager og anker vil indeholde oplysninger, som vil være omfattet af GDPR
• Det er vigtigt at censor sletter data vedr. en klage, når de ikke er relevante længere, hvilket vil sige efter udløbet af ankefristen
• Ankesager, som er anonymiserede, udgør ikke et problem, men anonymisering sker oftest ikke

Huller og usikkerheder

• Typisk vil data – opgaver og karakterlister – bliver sendt igennem et ret sikkert system som f.eks. Wiseflow, Digital Eksamen og lignende, som må betragtes som sikre
• Men ved selve allokeringsforespørgslen står der ofte navne på de studerende af hensyn til overholdelse af habilitetsreglerne. Dette bliver sendt åbent/ukrypteret, og her skal man være varsom med persondata, også selvom alle eksamener er offentlige handlinger.
• Kommunikation frem og tilbage med institution/eksaminator foregår typisk pr. e-mail og typisk i ikke-krypteret form. Det giver en risiko, og hvis institutionen føler sig usikker på sikkerheden, er deres pligt at tilvejebringe en sikret kommunikationsform.
• Hacking er en risiko, og bliver en censors PC udsat for hacking har censor pligt til at meddele dette til alle institutionerne, censorsekretariatet og Datatilsynet. Selvom det ikke har med GDPR at gøre, så kan der blive skabt uønsket adgang til f.eks. opgaver stemplet ”fortroligt”.
• Bortkomst eller tyveri af PC og/eller en evt. backup skal behandles på samme måde som ved hacking