مراقبة الامتحانات عن بُعد وقانون 25 في كيبيك: قائمة تحقق للخصوصية

يصل طلب إلى مكتب مسؤول حماية المعلومات الشخصية: قسمٌ يريد مراقبة امتحاناته النهائية عن بُعد بدءًا من الفصل القادم. وفي الكلية أو الجامعة يعني ذلك تسجيل الطلبة، وغالبًا في منازلهم، بأداة لم تقيّمها المؤسسة بعد. وسرعان ما يطرح مدير تقنية المعلومات الذي سينشرها، ومسؤول المشتريات الذي سيُعدّ طلب العروض، الأسئلة نفسها.

وتعود هذه الأسئلة قبل كل فترة امتحانات، وحين يتحول مشروع تجريبي إلى ممارسة معتادة، وعند تجديد العقد. تعرض هذه القائمة ما تجمعه مراقبة الامتحانات عن بُعد، وما يتطلبه قانون 25 في كيبيك عمومًا، وما ينبغي سؤال أي مورد عنه. وهي تشرح القانون بعبارات عامة وليست استشارة قانونية، فتحققوا من انطباق كل التزام على مؤسستكم مع مسؤول حماية المعلومات الشخصية أو المستشار القانوني لديكم.

ما الذي تجمعه مراقبة الامتحانات عن بُعد؟

بحسب المنتج وإعداداته، يمكن لأداة المراقبة أن تجمع:

• الفيديو والصوت للطالب عبر الكاميرا والميكروفون، وغالبًا من غرفة نومه أو مطبخه.
• تسجيلات الشاشة لكل شاشة متصلة، وقد تلتقط الإشعارات وأسماء الملفات وعلامات التبويب المفتوحة.
• نشاط لوحة المفاتيح والفأرة أثناء الامتحان.
• بيانات الهوية: حساب الطالب، ومع بعض الأدوات صورة لبطاقة الهوية أو صورة للوجه تُقارن بصورة مرجعية.
• سجلات الأحداث: تسجيل الدخول، ووقت البداية والنهاية، والتطبيقات المفتوحة، والتنبيهات.
• بيانات الامتحان والتسجيل القادمة من نظام معلومات الطلبة، وأحيانًا إعدادات الترتيبات التيسيرية التي قد تكشف عن إعاقة.

وبعض هذه المعلومات حساس. فقانون 25 يعدّ المعلومة الشخصية حساسة حين تثير، بطبيعتها كالمعلومات الطبية أو البيومترية أو بسياق استخدامها، توقعًا معقولًا عاليًا بالخصوصية. وقد يندرج في هذه الفئة فيديو لمنزل الطالب، أو قالب للوجه، أو ترتيب تيسيري مرتبط بحالة صحية. وتحتاج الترتيبات التيسيرية إلى عناية خاصة، كما يوضح مقال التسهيلات في الامتحانات الإلكترونية المراقَبة.

ما الذي يتوقعه قانون 25 من مشروع لمراقبة الامتحانات؟

اعتُمد قانون 25 عام 2021 لتحديث تشريعات كيبيك الخاصة بحماية المعلومات الشخصية، فعدّل قانون الهيئات العامة، الذي يشمل عمومًا الكليات والجامعات، وقانون القطاع الخاص، الذي يشمل معظم الموردين. ودخلت التزاماته حيز التنفيذ على مراحل حتى عام 2024. وبالنسبة إلى أداة المراقبة، تبرز النقاط التالية عمومًا.

• تقييم الأثر على الخصوصية. يجب على الهيئة العامة عمومًا أن تُجري تقييمًا للأثر على الخصوصية، يُعرف في كيبيك باختصار EFVP، لأي مشروع لاقتناء نظام معلومات أو تطويره إذا كان ينطوي على معلومات شخصية، وذلك منذ بداية المشروع.
• تقييم قبل خروج المعلومات من كيبيك. قبل نقل معلومات شخصية خارج كيبيك، بما في ذلك إلى مقاطعة كندية أخرى، يجب على المؤسسة عمومًا أن تقيّم هل ستحظى بحماية كافية، وأن يستند النقل إلى اتفاق مكتوب.
• جمع الضروري فقط. لا تُجمع المعلومات الشخصية إلا إذا كانت ضرورية للغرض، وهو هنا إجراء الامتحان والتحقق من سلامته.
• السرية افتراضيًا. حين يتضمن منتج أو خدمة تقنية إعدادات للخصوصية، يتوقع قانون 25 عمومًا أن تكون الإعدادات الأكثر حماية هي المطبّقة افتراضيًا. وفي مراقبة الامتحانات يعني ذلك تفعيل أنواع الالتقاط التي يحتاجها الامتحان فقط.
• الحفظ والإتلاف. لا تُحفظ المعلومات إلا للمدة التي يتطلبها الغرض منها، ثم تُتلف بطريقة آمنة أو تُجهَّل هويتها، وفق جدول الحفظ في المؤسسة.
• الحوادث التي تمس السرية. يجب على المؤسسة اتخاذ تدابير معقولة لتقليل خطر الضرر، وتدوين كل حادث في سجل خاص، وإذا كان هناك خطر ضرر جسيم، إبلاغ لجنة الوصول إلى المعلومات في كيبيك، المعروفة باختصار CAI، والأشخاص المعنيين دون إبطاء.
• الشفافية. ينبغي أن يعرف الطلبة ما الذي يُجمع، ولماذا، ومن سيطّلع عليه، وما حقوقهم. وحين يُتخذ قرار بناءً على معالجة آلية حصرًا، يجب إعلام الشخص المعني بذلك.
• البيانات البيومترية. يتطلب التحقق من الهوية بواسطة الخصائص البيومترية، كالتعرّف على الوجه، عمومًا موافقة صريحة من الشخص وإبلاغ اللجنة قبل اعتماد هذه الطريقة.

ما كلفة الخطأ؟

• فترة امتحانات متعثرة. تقييم للأثر يبدأ بعد التجربة، أي بعد أن يكون الطلبة قد سُجّلوا، قد يعيد المشروع إلى نقطة الصفر قبل أسابيع من الامتحانات النهائية.
• تسجيلات لا حاجة إليها. الفيديو المحفوظ لسنوات بعد اعتماد الدرجات يبقى عرضة للحوادث بعد انتهاء الغرض منه بوقت طويل.
• حوادث يتعذر تقييمها. إذا عجز المورد عن تحديد من فتح أي تسجيل، لا تستطيع المؤسسة تقدير خطر الضرر الجسيم، وقد تُبلغ على نطاق أوسع من اللازم أو بعد فوات الأوان.
• ثقة الطلبة. يصعب تقبّل كاميرا في غرفة نوم الطالب حين يسمع بها من زميل قبل أن يسمع بها من مؤسسته. والإعلام الواضح والمبكر جزء من الالتزام.
• التعرض للعقوبات. عزّز قانون 25 صلاحيات الرقابة لدى اللجنة والعقوبات التي قد تترتب على مخالفة القانون.

ما الذي لا ينجح؟

الاكتفاء بشارة امتثال. الامتثال التزام على المؤسسة يُقيَّم لاستخدام محدد، ولا يمكن لأي مورد أن يكون ممتثلًا نيابةً عنكم. كل ما يستطيعه هو تزويد تقييمكم بالوقائع التي يحتاجها.

تسجيل كل شيء احتياطًا. تفعيل كل أنواع الالتقاط في كل امتحان نقيضُ جمع الضروري فقط. فاختبار متعدد الخيارات في مختبر حاسوب خاضع للمراقبة نادرًا ما يحتاج إلى الكاميرا التي يتطلبها امتحان نهائي عن بُعد.

الخلط بين كندا وكيبيك. قاعدة قانون 25 بشأن نقل المعلومات خارج كيبيك تشمل المقاطعات الكندية الأخرى أيضًا. وعبارة «مستضاف في كندا» لا تجيب إلا عن جزء من السؤال.

ترك مدة الحفظ على الإعداد الافتراضي. إذا لم يحدد أحد مدة، تميل التسجيلات إلى البقاء بلا نهاية. ومدة الحفظ قرار يعود إلى المؤسسة، ومكانه جدول الحفظ لديها.

إضافة ميزات الذكاء الاصطناعي من دون تقييمها. تحلّل بعض أدوات المراقبة الفيديو بالتعرّف على الوجه أو بنماذج للسلوك، ثم تُصدر درجة اشتباه. قد يكون ذلك خيارًا مدروسًا، لكنه يثير أسئلة تتعلق بالبيانات البيومترية والمعالجة الآلية يجب أن يجيب عنها تقييم الأثر. وللموازنة بين الخيارات، اقرؤوا مراقبة الامتحانات عن بُعد دون ذكاء اصطناعي أو تعرّف على الوجه.

قائمة التحقق الخاصة بالمورد

استخدموا هذه الأسئلة في طلب العروض واستبيان الموردين وتقييم الأثر، واطلبوا إجابات مكتوبة.

وتبقى أربعة قرارات بيد المؤسسة أيًّا كانت الأداة: أنواع الالتقاط التي يحتاجها كل نوع من الامتحانات، ومدة الاحتفاظ بالتسجيلات، ومن يحق له الاطلاع عليها داخل المؤسسة، وما يُبلَّغ به الطلبة قبل الامتحان.

كيف يجيب Examo عن قائمة التحقق

يُعدّ Examo تطبيقًا لمراقبة الامتحانات عن بُعد يعمل على Windows وmacOS، وقد طوّرته شركة LS2 Innovation في مونتريال. وفيما يلي إجابته عن كل بند، والتفاصيل في صفحة الأمان والخصوصية.

ويبقى أمران يحتاجان إلى تحليلكم الخاص. فبموجب قانون 25، الاستضافة في كندا ليست استضافة في كيبيك، لذا اسألوا عن منطقة Azure التي تُحفظ فيها بياناتكم ودوّنوها في تقييم الأثر. ولأن Examo لا يجمع أي بيانات بيومترية ولا يتخذ أي قرار آلي، يمكن لتقييمكم أن يثبت غياب هذه الميزات بدل أن يقيّمها.

ويتم تقليص البيانات في إعدادات الامتحان: إذ يمكن الجمع بين أنماط المراقبة الثلاثة، أي المراقبة المباشرة والتسجيل المتواصل ورصد أحداث الخطر، في كل امتحان، ويمكن ترك أي نوع من الالتقاط لا يحتاجه الامتحان موقوفًا. ولا يفعل الرصد سوى الإشارة إلى الأحداث، أما تفسيرها فقرار يتخذه إنسان.

والشفافية أسهل حين تتوفر صفحة يقرؤها الطلبة. فصفحة للطلبة تشرح بلغة بسيطة ما الذي يُسجَّل، ومن يراه، ومتى يُحذف، ويمكنكم إضافة رابطها إلى تعليمات الامتحان إلى جانب إشعار الخصوصية الخاص بمؤسستكم.

تركّز LS2 Innovation منذ عام 2021 على البرمجيات السحابية للكليات والجامعات، وتستخدم حلولها نحو خمسين مؤسسة. ولعرض إعدادات الالتقاط وضوابط الحفظ والوثائق على مسؤول حماية المعلومات الشخصية لديكم قبل بدء تقييم الأثر، احجزوا عرضًا توضيحيًا.