Update vrijdag 19 februari 13.41 uur: Een woordvoerder van de universiteit laat weten dat de overname van ProctorExam wat de EUR betreft geen gevolgen heeft voor de persoonsgegevens die bij het bedrijf worden opgeslagen.”De overname van ProctorExam door Turnitin betekent geen wijziging voor de dienstverlening van ProctorExam aan de EUR en ook niet voor de bescherming van EUR-persoonsgegevens door ProctorExam. We hebben als universiteit privacy van onze studenten hoog in het vaandel staan en borgen dit ook bij al onze leveranciers.”
Na de overname is de directie uitgebreid van één naar drie personen. Behalve de Nederlandse oprichter Daniel Haven zitten nu ook de Amerikanen Jane Fogarty en George Mazzotta in de directie. Volgens ProctorExam is het niet overgenomen door het Amerikaanse hoofdkantoor van Turnitin, maar is een Brits onderdeel van het softwarebedrijf eigenaar van de aandelen.
ProctorExam is gevestigd in Amsterdam en werd in 2014 opgericht door Daniel Haven. In 2019 had het bedrijf volgens Het Financieele Dagblad twee medewerkers. Door de enorme groei die het bedrijf tijdens de coronacrisis doormaakte is dat nu toegenomen tot ongeveer 27 medewerkers.
Een groot aantal Nederlandse universiteiten koos aan het begin van de coronacrisis voor de software van ProctorExam, omdat het bedrijf als beste uit de bus kwam bij de privacy-assessments. Dat is een analyse die universiteiten moeten maken om te zien in hoeverre een softwareleverancier voldoet aan de wet Algemene Verordening Gegevensbescherming (AVG). Een van de redenen daarvoor was dat ProctorExam in tegenstelling tot enkele concurrenten geen Amerikaanse eigenaar had.
Oude aannames
Die analyse moet opnieuw, zegt ict-jurist Arnoud Engelfriet. “Die is nu gebaseerd op oude aannames. Of de overname door Turnitin ook tot een andere uitkomst leidt, moet nog blijken. Op zich mogen Amerikaanse bedrijven een meerderheidsbelang hebben in Nederlandse bedrijven die persoonsgegevens verwerken. De vraag is vooral of er gegevens naar Amerika gaan. Dat is sinds het Schrems-II-arrest niet meer toegestaan.” Het Schrems-II-arrest bepaalde in juli 2020 dat persoonsgegevens niet meer naar de Verenigde Staten mogen, omdat de privacy niet gewaarborgd kan worden.
ProctorExam laat in een schriftelijke reactie weten ‘altijd voorstander [te zijn] van het uitvoerig onderzoek doen naar de impact op privacy en gegevensbescherming’. “De overname op zich is geen reden om een nieuw onderzoek in te stellen aangezien er geen wijzigingen zijn in de datastromen van persoonlijke gegevens. Ook alle contractuele afspraken blijven ongewijzigd.”
‘De overname op zich is geen reden om een nieuw onderzoek in te stellen aangezien er geen wijzigingen zijn in de datastromen van persoonlijke gegevens’
'Data blijft in de EU'
In het geval van ProctorExam worden de gegevens en videostreams van studenten alleen in de Europese Unie opgeslagen. Blijft dat het geval, dan is er volgens Engelfriet niet per se een probleem.
“Als de gegevens in een Nederlands dochterbedrijf in Europa staan, dan kan het moederbedrijf daar niet zomaar bij. De FBI heeft bevoegdheden als het over bedrijven gaat met connecties in Amerika. En stel dat dat moederbedrijf het bevel zou krijgen om data te verstrekken, maar die staan op een server in Nederland, dan moet het moederbedrijf dat aan de Nederlandse directeur vragen. Maar die mag dat van de AVG niet verstrekken. Bovendien zou dit allerlei claims van studenten richting universiteiten veroorzaken, waarna het bedrijf al haar klanten zou kwijtraken. Dat is natuurlijk niet in het belang van ProctorExam.”
Britse entiteit
Het bedrijf bevestigt die gang van zaken: “ProctorExam is formeel overgenomen door een Britse entiteit van Turnitin. Omdat ProctorExam een Europees bedrijf is en blijft, is ProctorExam niet onderworpen aan Amerikaans recht. Daarnaast geldt dat voor het meewerken aan zo’n verzoek of besluit bepaalde regels gelden die ProctorExam uiteraard in acht zal (blijven) nemen, onafhankelijk van haar nieuwe aandeelhouder. Dat sprake zal zijn van een ‘buitenlandse’ aandeelhouder zal geen invloed hebben op het huidige privacybeleid van ProctorExam. De gegevens blijven immers staan waar ze staan. Ook is de Amerikaanse Cloud Act (op grond waarvan de Amerikaanse overheid al dan niet een inzageverzoek zal kunnen neerleggen) niet direct op ProctorExam van toepassing, noch kan dit verzoek – juridisch gezien – via een Amerikaanse aandeelhouder doorgespeeld worden. De AVG geeft namelijk aan dat zo’n besluit of verzoek gebaseerd moet zijn op een internationale overeenkomst, waar op dit moment (nog) geen sprake van is.”
'Unheimisch'
Formeel lijkt er dus niet veel aan de hand, behalve dat universiteiten hun assessment opnieuw moeten uitvoeren. Engelfriet: “Ik kan me wel voorstellen dat universiteiten hier een unheimisch gevoel bij krijgen. Vaak is er een clausule waarbij een verandering van eigenaarschap een reden tot opzegging kan zijn.” Het probleem is dan echter wel dat de concurrerende proctoringbedrijven grotendeels ook in Amerikaanse handen zijn. “Je zou ook gewoon eens kunnen stoppen met die ellendige proctoring”, aldus Engelfriet.
Over de software van ProctorExam is de laatste maanden veel beroering op de Erasmus Universiteit. Studenten klagen massaal over technische problemen met de software en onlangs stelde de Erasmus Universiteit het gebruik van een tweede camera verplicht tijdens proctoring, omdat de fraudecontrole met één camera eenvoudig te omzeilen zou zijn.
