Orientações de 22 de maio de 2020 – Orientações sobre avaliação à distância nos estabelecimentos de ensino superior.
Orientações sobre avaliação à distância nos estabelecimentos de ensino superior.
https://www.cnpd.pt/media/0mwfxdcp/orientacoes_avaliacao_distancia_ensino_superior.pdf
Orientações sobre avaliação à distância nos estabelecimentos de ensino superior *
Na atual situação de pandemia provocada pelo novo coronavírus SARS-CoV-2 e pela doença Covid-19, as instituições de ensino superior estão a adotar diferentes soluções para garantir a realização das atividades de avaliação dos estudantes.
O Decreto-Lei n.º 20-H/2020, de 14 de maio, no seu artigo 6.º, derrogou a suspensão das atividades letivas e não letivas presenciais também nos estabelecimentos de ensino superior, que havia sido determinada pelo Decreto-Lei n.º 10-A/2020, de 13 de março, e veio impor às instituições científicas e de ensino superior o dever de «garantir a combinação gradual e efetiva de atividades na presença de estudantes, docentes e investigadores com processos à distância, bem como de teletrabalho, designadamente destinadas a aulas e outras atividades, tais como atividades laboratoriais, realização de estágios e atividades de avaliação de estudantes, entre outras». Nesta linha, as recomendações do Ministério da Ciência, Tecnologia e Ensino Superior admitem a menor adequação de processos à distância na concretização de algumas atividades, entre as quais se elenca a avaliação final dos estudantes (1).
Nesse contexto, as instituições de ensino superior definiram, para a avaliação final deste semestre, soluções que, ora combinam a avaliação presencial com a avaliação à distância, ora se centram num ou noutro modelo.
Não obstante o período de avaliação estar a iniciar-se, ou até já em curso, a Comissão Nacional de Proteção de Dados (CNPD), no exercício das suas atribuições e competências(2), pretende com a presente orientação, recordar e sensibilizar as instituições de ensino superior para a obrigação de verificarem e demonstrarem que os tratamentos de dados pessoais que realizam, no âmbito da avaliação, respeitam os princípios e as regras legais de proteção dos dados (3) (4).
Sendo certo que todas as instituições conhecem, e têm o dever de conhecer, as suas obrigações legais enquanto responsáveis pelos tratamentos de dados pessoais, pelo menos desde 2018, importa relembrar em que se concretizam essas obrigações quanto aos processos de avaliação à distância, face à sua generalização neste período de pandemia e à subsequente massificação de tratamentos de dados pessoais dos estudantes e também dos docentes, que, até aqui, só em casos circunstanciados (e que não eram a regra nas instituições de ensino superior) eram realizados.
Estão em causa soluções como a avaliação, em formato de exame oral ou escrito, através de diferentes tecnologias de informação e comunicação, as quais envolvem o recurso a sistemas de videoconferência e de partilha de ficheiros.
Note-se que, quanto aos dados pessoais objeto de tratamento no âmbito da utilização deste tipo de tecnologias como suporte à atividade de ensino à distância, bem como quanto aos riscos daquele decorrentes, já a CNPD teve oportunidade de chamar a atenção, especificando recomendações, nas “Orientações para a utilização de tecnologias de suporte ao ensino à distância”, de 8 de abril de 2020(5).
- Em primeiro lugar, em função da finalidade visada com o tratamento de dados pessoais, compete às instituições de ensino superior avaliarem se está preenchido um dos fundamentos de licitude previstos no RGPD(6).
Neste contexto, em princípio, será o interesse legítimo das instituições de ensino na organização da avaliação com respeito pelos condicionamentos definidos pela lei e pela Direção-Geral de Saúde que suportará o recurso a este tipo de modelo de avaliação.
Na verdade, admite-se que seja invocado o interesse legítimo em adotar soluções que permitam realizar as avaliações à distância com a indispensável fiabilidade, sobretudo considerando que o cumprimento das orientações e recomendações da Direção-Geral de Saúde em termos de garantia de distanciamento entre os estudantes pode, dada a limitação de salas, tornar impossível ou de muito difícil execução a realização de exames presenciais em tempo útil.
Todavia, importa ainda atender à circunstância de que o interesse legítimo do responsável não legitima, per se, o tratamento de dados pessoais, uma vez que o RGPD faz depender a consideração deste pressuposto da demonstração da necessidade do tratamento para a prossecução daquele interesse e ainda de uma avaliação da não prevalência dos direitos e interesses dos titulares de dados(7). Assim, compete a cada uma das instituições de ensino superior, enquanto responsáveis pelo tratamento de dados pessoais, avaliar e demonstrar que o tratamento é, de facto, necessário, por não existirem, ou não serem efetivamente exequíveis, outros processos de avaliação menos intrusivos da privacidade dos titulares dos dados, e avaliar ainda se os direitos e interesses dos titulares dos dados não devem, em concreto, prevalecer.
Nesta sede, cabe à instituição avaliar se há ou não condições para realizar alguns exames em formato presencial (até porque, se não fossem as exigências atuais, em especial de um determinado distanciamento entre os estudantes, essas condições estariam asseguradas em muitas instituições de ensino para a totalidade dos exames), fator que, como se demonstrará adiante, pode assumir especial relevância. Cabe também à instituição fazer a ponderação concreta entre o interesse que visa prosseguir com os processos de avaliação à distância selecionados e os direitos e interesses dos titulares dos dados, em especial quando daqueles possa resultar a afetação da vida privada, máxime no contexto habitacional. Tal poderá estar especialmente em causa quando a avaliação à distância envolver a captação de imagens, pelo risco de invasão do ambiente habitacional e familiar das pessoas assim abrangidas.
- A ponderação dos interesses e direitos em presença e a conclusão sobre a necessidade do tratamento depende ainda de um passo (em rigor, prévio a este): só se pode ter por necessário um tratamento que seja adequado para prosseguir a finalidade visada.
Tome-se o seguinte exemplo: se, neste contexto on-line, pode ter-se por adequada autilização de câmara de vídeo para verificar a identidade do estudante (com o fim de garantir que quem está ser avaliado é de facto o estudante identificado e não outra pessoa), já a sua utilização para a finalidade de vigilância do estudante durante o exame de avaliação se afigura desadequada. Basta pensar que a câmara instalada nos computadores não é capaz de continuamente abarcar a totalidade da divisão onde se encontre o estudante, nem mesmo a área envolvente.
Por outro lado, mesmo reconhecendo a adequação para a finalidade de vigilância de uma solução tecnológica que bloqueie o acesso, por parte do estudante, a documentos no seu computador ou a outros ambientes on-line, a circunstância de essas tecnologias fazerem remotamente operações no dispositivo eletrónico pessoal do estudante pode ser tida como desnecessária (por existirem soluções menos intrusivas) ou mesmo excessiva. Este tipo de soluções só poderá ter-se por admissível se, quanto a elas, for assegurada ao estudante a possibilidade de optar por fazer o exame num computador da instituição de ensino, portanto, porventura, presencialmente nas instalações desta.
Do mesmo modo, tem-se por desnecessária, ou pelo menos excessiva, a gravação de imagens e de som durante a prova (oral e, obviamente, escrita), cabendo ao responsável pelo tratamento adotar as medidas adequadas para impedir a gravação; tal justifica-se para prevenir a reutilização indevida das gravações.
Em suma, importa avaliar o tratamento à luz dos princípios da minimização dos dados pessoais e da proporcionalidade, nas vertentes da adequação, necessidade e proibição do excesso(8), para que se possa concluir ser o mesmo legítimo.
- Destacam-se ainda duas obrigações fundamentais quanto ao tratamento de dados pessoais decorrente da utilização de processos de avaliação à distância. Por um lado, em função das soluções tecnológicas empregues, o tratamento pode ter de ser precedido de uma avaliação do impacto sobre a proteção de dados(9). Sobretudo quando essas soluções sejam novas ou a sua utilização neste contexto se apresente com caráter inovador e envolva o tratamento de dados de natureza altamente pessoal, como sejam os relativos à vida privada e familiar do estudante, existe essa obrigação(10).
E na sequência da avaliação realizada, sendo identificados riscos para os direitos fundamentais dos titulares dos dados, compete à instituição de ensino superior adotar as medidas adequadas a eliminar ou mitigar esses riscos. Assim, por exemplo, não sendo exequível a realização de todos os exames em modelo presencial, o impacto sobre a vida privada pode ser mitigado se se garantir aos estudantes a opção, livre, de realizar a avaliação nas instalações da instituição(11). Também a adoção de medidas de segurança adequadas pode contribuir para mitigar os riscos.
Recai igualmente sobre as instituições de ensino superior a obrigação de facultar as informações sobre o tratamento de dados pessoais aos respetivos titulares(12).
Importa ainda assinalar que cabe às instituições garantir que as plataformas utilizadas para a avaliação à distância não recolham dados dos utilizadores para além do estritamente necessário ao serviço contratado. Refira-se também que pode suceder que tais plataformas conservem os dados em servidores localizados fora do Espaço Económico Europeu, donde decorre a obrigação para as instituições de ensino superior de observar o regime de transferência internacional de dados pessoais previsto no RGPD(13).
Lisboa, 21 de maio de 2020
- Versão revista, em 25/5/2020, para completar a nota de rodapé n.º 7, que, por lapso, não incluía a segunda frase.
(1) Cf. Recomendação às instituições científicas e de ensino superior relativamente à cessação do estado de emergência motivado pela pandemia COVID-19, de 30 de abril de 2020, in
https://wwwcdn.dges.gov.pt/sites/default/files/comunicado_mctes_fim_de_estado_de_emergencia_v30abril2020.pdf,
e Recomendação às instituições científicas e de ensino superior para garantir o processo de reativação faseada e responsável das atividades na presença de estudantes, docentes e investigadores,
de 15 de maio de 2020, disponível em
https://wwwcdn.dges.gov.pt/sites/default/files/comunicado_mctes_desconfinamento_v15maio2020_rev_1.pdf.
(2) Cf. alíneas b) e d) do n.º 1 do artigo 57.º e alínea b) do n.º 1 do artigo 58.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2020 (Regulamento Geral sobre a Proteção de Dados, doravante RGPD), e artigos 3.º e 6.º da Lei n.º 58/2019, de 8 de agosto.
(3) Nos termos previstos no n.º 2 do artigo 5.º do RGPD.
(4) Para cujo cumprimento também chamou a atenção o Ministério da Ciência, Tecnologia e Ensino Superior nas suas recomendações supra citadas.
(5) Acessível em:
https://www.cnpd.pt/home/orientacoes/Orientacoes_tecnologias_de_suporte_ao_ensino_a_distancia.pdf
(6) Previstos no n.º 1 do artigo 6.º do RGPD.
(7) Cf. alínea f) do n.º 1 do artigo 6.º do RGPD. Note-se que, quanto às instituições públicas do ensino superior, o fundamento invocável será o previsto na alínea e) do n.º 1 do artigo 6.º do RGPD, cabendo ao responsável pelo tratamento demonstrar a necessidade do mesmo para o exercício das funções de interesse público que legalmente prossegue – o que depende, também nesse contexto, da ponderação entre o interesse (público) prosseguido e os direitos e interesses dos titulares dos dados.
(8 ) Cf. alínea c) do n.º 1 do artigo 5.º do RGPD.
(9) Cf. artigo 35.º, n.º 1 e n.º 3, do RGPD e Regulamento da CNPD n.º 798/2018, de 30 de novembro.
(10) Cf. parágrafo 9 do Regulamento da CNPD n.º 798/2018, de 30 de novembro. Sobre o conceito de dados de natureza altamente pessoal e a utilização de tecnologias inovadoras, vide a Orientações relativas à avaliação do impacto sobre a proteção dos dados, aprovada pelo Grupo de Trabalho do Artigo 29 e assumidas pelo Comité Europeu para a Proteção dos Dados (WP248 rev.01), acessíveis em
https://www.cnpd.pt/home/rgpd/docs/wp248rev.01_pt.pdf
(11) Assinale-se que, nas recomendações já citadas do Ministério da Ciência, Tecnologia e Ensino Superior se aponta essa opção quando o estudante não disponha de equipamento eletrónico adequado; se esse pode ser um dos motivos para a manifestação dessa vontade, a verdade é que o mesmo revela já um dado pessoal quanto à vida privada do estudante, recomendando-se por isso, por aplicação do princípio da minimização dos dados, que se reconheça esta possibilidade mesmo sem invocar expressamente tal situação.
(12) Cf. artigo 13.º do RGPD.
(13) Cf. artigos 44.º e seguintes do RGPD.
