Согласно закону о ПД N 152-ФЗ:
персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Поэтому и портфолио, и оценки, являются персональными данными. Но другое дело - фактическое применение норм этого закона.
В целом, принимая студента в вуз с него берется согласие на обработку персональных данных для всех целей, которые возникают при реализации программы обучения. В соответствии с образовательными стандартами, портфолио является обязательно частью реализации образовательной программы, поэтому согласие, полученное от студента, на обработку ПДн относится и к портфолио. Но понятие портфолио не подразумевает, что это обязательно должно быть публичное портфолио. Как и прочие персональные данные, вполне логично, если портфолио доступно самому студенту и сотрудникам организации, реализующим программу обучения (т.е. преподавателям, кураторам, деканам, членам государственной аттестационной комиссии). При этом оно не должно быть без согласия студента доступно другим студентам, а также сотрудникам иных организаций или неопределенному кругу лиц. В целом, как и оценки школьника или студента. Это всё вполне ложится в то же русло, что и требование к классному руководителю не оглашать оценки всего класса на родительском собрании, а обсуждать их с каждым родителем по-отдельности. И, возвращаясь к понятию бумажного портфолио, сам студент может добровольно показать портфолио работодателю, но работодатель не может получить портфолио студента от декана, минуя волю студента.
Если же портфолио может быть доступно публично, не только сотрудникам вуза, но и другим студентам, работодателям и т.п., то вполне достаточно было бы принять локальное положение о портфолио студента, которое регламентировало бы, что портфолио необходимо для реализации образовательной программы и уточняло бы перечень данных, которые могут быть доступны публично. И в этом случае портфолио снова подпадало бы под действие изначально согласия на обработку ПДн, так как в положении было бы четко прописано, что публичное размещение конкретных данных необходимо для реализации программы обучения.