Článek
Pro desítky fakult českých vysokých škol zajišťuje přijímací zkoušky společnost Scio. Ta ale musela řadu termínů v průběhu pandemie koronaviru zrušit, a tak na 30. května naplánovala mimořádný on-line termín. Přihlásila se na něj i studentka Eliška (příjmení redakce zná, ale na žádost studentky ho neuvádí), jež se hlásí na několik fakult, které právě národní srovnávací zkoušky (NSZ) Scio uznávají.
Před pár dny jí ale přišly podmínky, které musí splnit, aby se mohla termínu zúčastnit. A dost ji překvapily. Scio totiž na svých webových stránkách pouze uvádělo, že účastníci budou muset mít na počítači aktivní webkameru a mikrofon pro vzdálený dohled. Realita je ale mnohem striktnější. Studenti si stáhnou aplikaci ProctorTrack, které musí povolit přístup nejen ke kameře a mikrofonu, ale i disku počítače. Nutné je také naskenovat celou místnost včetně prostoru pod stolem a prokázat se do kamery občanským průkazem.
„Je to extrémní. V podstatě vy otáčíte kamerou na počítači a program vaši místnost nahrává na video. Přijde mi to trošku přestřelené, obzvlášť když se teď všude řeší GDPR a najednou se může absolutně zasahovat do našeho soukromí,“ nelíbí se studentce Elišce.
Podle společnosti Scio jde ale o mezinárodní standard, který se využívá dlouhá léta v zahraničí.
„Některé informace jsou účastníkům poskytovány postupně, ale má to své důvody. Jednak není technicky možné uvádět všechny informace v rámci přihlášky k NSZ, některé jsou hodně podrobné a týkají se až dalších kroků. Jednak i nás stejně jako všechny ostatní obyvatele ČR situace kolem koronaviru zastihla nečekaně a spuštění on-line NSZ bylo třeba připravit v extrémně krátké době, některé podrobnosti se tedy dolaďovaly ještě i v době, kdy už se účastníci k on-line NSZ přihlašovali,“ vysvětluje Sabina Netrvalová ze společnosti Scio.
I když jde o standardní postup, zásah do soukromí studentů je značný a řadě z nich se nelíbí.
„Já bych aplikaci ProctorTrack na svém počítači přístup nedal. Pro mě je nepřekonatelný problém si pustit na pevný disk program, u kterého nevím, jaké informace bude sbírat,“ říká expert na kybernetickou bezpečnost Karol Suchánek.
To je ale základní problém blížících se zkoušek. Zatímco při práci s jakoukoliv aplikací se můžete svobodně rozhodnout, jestli jí různá oprávnění udělíte, nebo ne, v případě on-line termínu Scio řada studentů nemá na výběr. Některé fakulty uznávají on-line zkoušku jako poslední šanci, kdy se lze na vysokou školu dostat. To je třeba případ některých oborů na Fakultě sociálních věd Univerzity Karlovy.
„Fakulty mi zrušily přijímačky a berou na průměr, jedna fakulta bere Scio zkoušky, a tudíž jsem nucena je psát. No a když je chci psát, musím podstoupit skenování a všechno okolo, nelze to absolvovat bez toho,“ dodává Eliška.
Scio: Biometrické údaje nezpracováváme
On-line „proctoring“, tedy vzdálený dohled nad testovanými, není žádnou novinkou. V zahraničí funguje už řadu let. Ani tam se ale nevyhnul diskuzi ohledně zasahování programu do soukromí studentů. Zatímco třeba právě ProctorTrack využívá ke kontrole umělou inteligenci, jeho největší konkurent na trhu firma Examity zaměstnává lidské dohlížitele, kteří přes videokonferenční hovor kontrolují, jestli student při testu nepodvádí.
„Váš telefon a váš počítač je vaše intimní zóna. V dnešní době je tak až neslušné, když vám někdo jen kouká přes rameno do vašeho telefonu nebo počítače, protože se pak můžete cítit v podstatě jako nahý. A to samé je v přeneseném slova smyslu, pokud povolíte přístup k vlastnímu počítači aplikaci, u které nevíte, co všechno tam bude dělat a sledovat,“ vysvětluje Suchánek.
Největší kritika se na oba programy snáší kvůli obrovskému množství osobních údajů, které sbírají. V případě automatizovaného ProctorTracku, který používá Scio, jde o jméno, adresu, ofocený občanský průkaz, telefonní číslo, e-mail, ale také veškerý záznam z kamery včetně zvuku a biometrické údaje, podle kterých lze jakoukoliv osobu identifikovat.
„Biometrické údaje nezpracováváme. ProctorTrack to sice na vyžádání umí, ale my po nich biometrické údaje zpracovávat nechceme, jde čistě o porovnání fotek, tedy vizuální kontrolu totožnosti,“ uvádí k tomu Netrvalová. Podle ní také nemusí studenti ukazovat do kamery celý občanský průkaz, postačí část s fotografií, jménem, příjmením a datem narození.
Úřad pro ochranu osobních údajů ve sbírání dat nevidí zásadní problém. Důležité z jeho pohledu je, jestli o podmínkách byli studenti informováni a dali k jejich zpracování souhlas.
„Jde o zásah do soukromí v širším slova smyslu a konkrétně porušení povinností při zpracování osobních údajů podle GDPR z nich a priori nevyplývá. V případě sporu by tak zřejmě musel rozhodovat soud. Jako u podobných případů by však měl být znám důvod a účel toho, proč jsou podobné přístupy vyžadovány. Záleží i na tom, zda jsou podmínky nastavené školou studentem akceptovány a zda je o nich předem informován,“ říká Vojtěch Marcín z tiskového oddělení Úřadu pro ochranu osobních údajů.
Suchánek ale navíc upozorňuje, že z podmínek aplikace ProctorTrack vychází, že všechna data jsou minimálně 180 dní uschována na serverech společnosti. Podle vyjádření Scia to tak je ale jen v případě, kdy ProctorTrack realizuje testování sám. Scio si ale vyžádalo, že data budou na serverech uskladněna jen 30 dní a potom budou smazána. ProctorTrack s nimi navíc musí zacházet v souladu s legislativou GDPR.
ProctorTrack ale třeba ve svých podmínkách dává ruce pryč od toho, jak se všechna sesbíraná data k němu dostanou. Jinak řečeno odpovědnost ohledně přenosu dat je pouze na studentovi. Pokud by je „na cestě“ zneužil nějaký útočník nebo třeba malware, který už člověk v počítači má, je to na zodpovědnosti vlastníka počítače.
„Pro útočníky jsou taková data velmi lákavá, protože vědí, že tam najdou uloženou tvář uživatele, ofocený občanský průkaz a další data,“ vypočítává Suchánek.
Studenti se tak právem ptají, jestli jejich data budou v bezpečí. Útoky hackerů na takové servery totiž nejsou ničím výjimečným. Nedávná aféra kolem českého antiviru Avast navíc ukázala, že některé firmy prodávají data o uživatelích, která nejsou zcela anonymizovaná. V případě Proctortracku by k prodeji dat třeba právě pro reklamní účely ale docházet nemělo. Firma se k tomu zavazuje ve svých obchodních podmínkách.
Ochrana dat, ale i podvody
Všechna tato data ale ProctorTrack sbírá ze dvou hlavních důvodů: aby ověřil identitu studenta a zároveň zajistil, že během zkoušky nedošlo k podvodu.
„Kromě samotného účastníka bude testovací aplikace nahrávat vše, co na počítači po dobu zkoušky dělá – pokud si tedy účastník otevře například Wikipedii nebo jakoukoli jinou webovou stránku či program, testovací rozhraní to vyhodnotí jako podvod a účastník bude od zkoušky vyloučen. Vyloučen bude i v případě, že bude během zkoušky používat mobilní telefon nebo s ním v místnosti bude někdo další,“ varuje Netrvalová.
Aplikace tak dokáže vysledovat, jestli člověk řeší úlohy na obrazovce nebo se kouká na nějaký jiný zdroj, odkud opisuje. Ani Scio, a tedy i potenciálně fakulty, které národní srovnávací zkoušky využívají, si ale nemůže být stoprocentně jisté, že k nějakému podvodu nedojde. Lze si totiž představit, že by se student mohl pokusit oklamat systém nahrávkou namísto živého přenosu z místnosti nebo před ProctorTrackem zakrýt, že v počítači běží i jiné aplikace než ty, které jsou povolené.
Většině studentů jde ale hlavně o to, aby ochránili své soukromí a data. Suchánek proto doporučuje těm, kteří mají takovou možnost, aby využili k absolvování testu jiný než soukromý počítač a případně vykonali zkoušky i mimo svůj domov. V případě, že test student musí udělat na svém soukromém počítači, může se ochránit třemi základními kroky: přenést všechna data na externí úložiště a na čas je z paměti smazat, odhlásit se v prohlížeči ze všech účtů a případně i přepnout z administrátorského účtu počítače na uživatelský. Tak se student může podle Suchanka alespoň částečně ochránit před možným zneužitím svých dat.
