Par Haas Avocats
Peut-on télésurveiller des étudiants à distance pour détecter d’éventuelles fraudes ? Dans son communiqué du 4 septembre 2023, la CNIL semble y répondre par l’affirmative.
Attention, il ne s’agit pas d’un blanc-seing accordé par la CNIL, celle-ci ayant d’ailleurs formulé des recommandations particulièrement précises sur les conditions auxquelles doit se conformer un tel dispositif.
La télésurveillance des examens à distance
Pour la genèse, la télésurveillance des examens est une pratique qui s’est essaimée durant la crise sanitaire liée à la Covid-19, en raison du besoin pour les établissements de surveiller leurs élèves ou candidats lors des sessions d’examens à distance.
Quoique légitime, ce besoin de contrôle ne doit pas autoriser les établissements à faire un usage excessif de ces dispositifs. En outre, la CNIL observe qu’il n’est pas possible de dupliquer le niveau de surveillance existant durant les examens se déroulant en présentiel sans avoir recours à un dispositif de télésurveillance excessivement intrusif.
Les recommandations de la CNIL pour encadrer la télésurveillance des examens à distance
Les principales recommandations émises par la CNIL gravitent autour de :
- L’accompagnement d’un DPO ;
- L’obligation de communiquer le plus tôt possible sur l’implémentation de la télésurveillance ;
- La base légale de la télésurveillance ;
- La proportionnalité du dispositif de télésurveillance ;
- La télésurveillance augmentée ;
- L’utilisation de cookies.
L’accompagnement d’un DPO
Compte tenu des dispositions de l’article 37 du RGPD, les établissements scolaires publics ont l’obligation de désigner un délégué à la protection des données. Celui-ci doit nécessairement être associé à l’implémentation du dispositif de télésurveillance afin de s’assurer que les principes ci-après sont respectés :
- L’obligation d’informer les élèves et étudiants de l’instauration d’un tel dispositif et de ses caractéristiques ainsi que des droits dont ils disposent ;
- L’obligation d’assurer la gestion des demandes d’exercice de droit ;
- Le principe de minimisation des données traitées ;
- Le principe de sécurité et de confidentialité des données ;
- Le principe de pertinence et de proportionnalité du traitement ;
- L’encadrement des durées de conservation en fonction des finalités, des obligations légales applicables et des recommandations de la CNIL ;
- L’encadrement des transferts de données en dehors de l’UE conformément aux exigences du RGPD.
L’obligation de communiquer le plus tôt possible sur l’implémentation de la télésurveillance
D’une manière générale, la CNIL observe que l’examen en présentiel permet d’assurer l’égalité des chances entre les candidats (certains d’entre eux ne disposant probablement pas d’une bande passante adéquate permettant de les mettre dans les meilleures conditions), et d’éviter d’avoir recours à la télésurveillance de confort. Cependant la CNIL prend acte que l’activité de certaines organisations gravite autour de l’enseignement à distance. Dans un tel cas de figure, elle leur recommande d’informer les étudiants des modalités d’examen et de télésurveillance dès leurs inscriptions.
La base légale de la télésurveillance
En principe, les établissements d’enseignement peuvent fonder les opérations de traitement de données relatives à la télésurveillance sur deux bases légales :
- L’exécution d’une mission d’intérêt public lorsqu’une obligation légale le prévoit ou ;
- L’exécution d’un contrat.
La CNIL précise que le consentement ou l’intérêt légitime sont des bases légales qui doivent être évitées dans la mesure où le consentement peut être retiré à tout moment et que l’intérêt légitime autorise l’étudiant à formuler une demande d’opposition.
La proportionnalité du dispositif de télésurveillance
Dans le cadre d’une démarche de « privacy by design », l’établissement d’enseignement supérieur doit opérer une analyse de la proportionnalité du dispositif utilisé. La CNIL recommande d’associer à cette réflexion les responsables pédagogiques, les représentants des étudiants et naturellement, le délégué à la protection des données.
Par ailleurs, en fonction du caractère peu ou prou intrusif du matériel de télésurveillance utilisé, une analyse d’impact devra être réalisée et documentée au préalable lorsque les moyens de télésurveillance utilisés engendrent des risques élevés pour les droits et libertés des étudiants. On peut penser que de tels risques seront caractérisés lorsque le dispositif aura accès à des données à caractère hautement personnel pour s’assurer de l’identité du candidat (ex : un document officiel d’identité) ou qu’il impliquera une analyse biométrique des traits du candidat (ex : l’analyse du comportement de l’étudiant durant l’examen).
Parmi les dispositifs de télésurveillance considérés comme proportionnés par la CNIL figurent la télésurveillance :
- Sous format vidéo et audio du candidat durant toute la durée de l’épreuve ;
- De l’activité du candidat via un partage d’écran.
En tout état de cause, lorsqu’aucune fraude est suspectée, les données personnelles de l’étudiant ne doivent pas être conservées.
La télésurveillance augmentée
Certains dispositifs de télésurveillance sont capables d’analyser de manière autonome l’environnement (ex : en détectant la présence d’une tierce personne auprès du candidat) et le comportement (ex : en observant la direction du regard ou les émotions du candidat).
La CNIL alerte sur le risque contreproductif de ces méthodes qui pourraient s’apparenter à du « flicage ». En outre, le candidat serait davantage amené à se focaliser sur la nécessité d’adopter une attitude jugée normale par l’algorithme au lieu de se concentrer sur l’épreuve.
A ce titre, ces dispositifs intelligents doivent être particulièrement encadrés et faire l’objet d’une analyse d’impact en raison des risques élevés qu’ils génèrent à l’égard des étudiants.
L’usage d’un tel dispositif doit nécessairement être encadré par une supervision humaine. En effet, la CNIL considère qu’il n’est pas envisageable d’assujettir purement et simplement les candidats à un examen aux décisions de l’algorithme.
L’utilisation de cookies
Afin d’assurer un suivi de l’activité de l’étudiant, il peut être nécessaire d’associer à la télésurveillance le dépôt de traceurs, notamment pour s’assurer que durant l’épreuve, l’étudiant n’a pas consulté de site lui indiquant les réponses aux questions posées durant l’examen.
En principe, une telle opération nécessite le recueil d’un consentement valable de la personne concernée compte tenu des dispositions de l’article 82 de la loi Informatique et Libertés. Cependant, dans le cadre d’un examen, il serait incongru de demander au candidat de consentir à sa propre télésurveillance… nul doute que les plus malins s’y opposeraient.
A ce titre, la CNIL recommande aux établissements d’enseignement supérieur d’écarter le régime d’application de l’article 82 de la loi Informatique et Libertés en s’assurant que le dispositif de télésurveillance utilisé n’est pas accessible au public en ayant recours à un Intranet ou à un réseau virtuel privé.
Au regard de ce qui précède, nous ne pouvons pas conclure que cette délibération constitue un blanc-seing accordé par la CNIL en matière de télésurveillance. D’ailleurs, la CNIL est hostile à l’usage d’un tel dispositif pour des raisons de confort (ex : pour réduire les coûts engendrés par les sessions d’examen). Toutefois, dans le cas où cela s’avère être nécessaire, les établissements doivent s’assurer dans le cadre d’une démarche de « privacy by design » que le dispositif sera conforme aux présentes recommandations et respectueux des droits et libertés des étudiants.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
