Conformité CNIL pour la télésurveillance des examens

La CNIL formule plusieurs recommandations pour la mise en place d’examens à distance afin de garantir la protection des droits des étudiants :

• Alternatives en présentiel : Les établissements doivent proposer systématiquement une option de passage d’examen en présentiel lorsque des examens à distance avec télésurveillance sont organisés. Cela permet aux étudiants n’ayant pas accès à un environnement adéquat de passer leurs épreuves dans des conditions justes.
• Information préalable : Les modalités de surveillance des examens doivent être communiquées aux étudiants bien avant la date de l’examen. Cette transparence permet aux candidats de prendre des décisions éclairées sur leur participation aux examens.
• Mesures d’accompagnement : Pour compenser les éventuelles inégalités d’accès aux équipements numériques ou à Internet, la CNIL encourage les établissements à mettre en place des dispositifs d’aide comme le prêt de matériel ou l’accès à des locaux adaptés.

• Consultation du Délégué à la Protection des Données (DPD) : Avant d’implémenter un dispositif de télésurveillance, l’établissement doit consulter son délégué à la protection des données pour garantir la conformité.
• Sécurité des données : Toutes les données personnelles collectées doivent être chiffrées, que ce soit durant leur transfert ou lors de leur stockage. Des mesures de sécurité techniques et organisationnelles appropriées doivent être mises en place pour éviter tout accès non autorisé.
• Limitation des traitements : Les données collectées ne doivent être utilisées que pour les finalités définies initialement. Les étudiants doivent avoir accès à leurs données et être informés de l’usage qui en est fait.

• Rapprochement documentaire : Un surveillant peut vérifier l’identité du candidat par un entretien en visioconférence en comparant un justificatif d’identité.
• Dispositif automatisé : Dans le cas d’examens à grande échelle, une vérification automatisée peut être utilisée pour comparer le justificatif d’identité au visage du candidat mais cela n’est pas recommandé. Cette méthode doit cependant être accompagnée d’une alternative manuelle pour les candidats qui en feraient la demande.
• Consentement et alternatives : Les candidats doivent donner leur consentement pour ces vérifications, et ceux qui ne souhaitent pas utiliser les dispositifs automatisés doivent pouvoir bénéficier d’une alternative équitable.

• Information des étudiants : Les établissements doivent informer les candidats des risques de collecte incidente de données personnelles et des moyens d’éviter cette collecte. Ils doivent également communiquer sur la nature des données collectées, les finalités de cette collecte, et les risques associés.
• Limitation de la conservation des données : La conservation des données doit être limitée au strict nécessaire. Sauf en cas de suspicion de fraude, aucune donnée ne doit être conservée au-delà de la durée nécessaire à l’examen.
• Consentement et alternatives : Lors d’un examen en ligne avec télésurveillance, le consentement des candidats est obligatoire, et une méthode alternative doit être proposée pour ceux qui refusent. Idem pour l’utilisation de données biométriques, notamment lors de la vérification de l’identité des candidats.

• Capacité dissuasive : La journalisation des accès aux données personnelles agit comme un moyen dissuasif contre les accès non autorisés.
• Suivi des accès : Elle permet de suivre et d’enregistrer qui a accédé aux données, renforçant ainsi la traçabilité et la responsabilité.
• Intégrité des données : En permettant une vérification continue, la journalisation aide à maintenir l’intégrité et la confidentialité des données collectées.

• Faux positifs : Les dispositifs automatisés peuvent générer des alertes injustifiées, perturbant les étudiants. C’est pourquoi il est primordial qu’une vérification humaine soit mise en place en plus des alertes automatiques.
• Intrusion dans la vie privée : La surveillance permanente peut être perçue comme une atteinte à la vie privée, impactant le confort des candidats.
• Discrimination : Il existe un risque de biais discriminatoire, concernant notamment les étudiants en situation de handicap ou sans accès à un environnement d’examen adapté. Là encore, une surveillance humaine semble indispensable.

• Niveau de protection suffisant : Les transferts ne sont autorisés que si le pays de destination offre un niveau de protection adéquat des données personnelles.
• Outils juridiques : Les transferts doivent être encadrés par des outils tels que des clauses contractuelles types ou des décisions d’adéquation de la Commission européenne.
• Surveillance des sous-traitants : La CNIL insiste sur la nécessité de s’assurer que les sous-traitants respectent également ces exigences de protection des données.

Nous vous avons concocté une carte mentale pour vous aider à y voir encore plus clair et récapituler tous les points abordés dans cette recommandation de la CNIL pour la télésurveillance d’examen en ligne :