La CNIL fait sa rentrée avec une recommandation sur la télésurveillance des examens en ligne

À l'occasion de la rentrée, la CNIL publie sa recommandation quant à la télésurveillance des examens en ligne introduite dans l'enseignement supérieur, notamment à l'occasion de la crise sanitaire liée au Covid-19. Séduisant certains établissements du supérieur, privés comme publics, ce mode de surveillance est particulièrement intrusif.

La délibération de la CNIL sur sa recommandation à propos des dispositifs de télésurveillance pour les examens en ligne a été prise le 8 juin dernier, mais l'autorité profite de la rentrée pour la rendre publique [PDF].

L'utilisation de ces dispositifs de surveillance a été poussée par les confinements de la période intense de la pandémie de Covid-19. La CNIL avait émis quelques conseils en mai 2020 sans élaborer une véritable recommandation.  Mais ces dispositifs ont été remis en question par des étudiants en Suisse et en Belgique. En France, ces solutions n'ont pas eu pour le moment un grand succès dans les établissements publics.

Mais en décembre dernier, des étudiants de l'Institut d'enseignement à distance de l'Université Paris 8 ont obtenu, par une décision du tribunal administratif de Montreuil, l'abandon du logiciel TestWe prévu pour les surveiller.

• L'Institut d'Enseignement à Distance de Paris 8 obligé d'abandonner TestWe pour ses examens
• TestWe : surveiller et punir à l'Institut d'Enseignement à Distance de Paris 8

En parallèle et, entre autres, parce qu'elle a été saisie par ces mêmes étudiants, la CNIL avait ouvert le même mois une consultation publique sur un projet de recommandation.

La consultation close et prise en compte, il était temps pour l'autorité de publier sa recommandation. En décembre dernier, nous nous demandions si la CNIL était prête à lâcher la bride. La version définitive de la recommandation est encore moins incisive sur l'utilisation de ces dispositifs, mais a été un peu musclée concernant l'utilisation de l'analyse automatique du comportement des candidats.

Une opposition à la généralisation des examens en ligne encore plus discrète

Comme dans sa version de travail, la CNIL a voulu formuler des observations sur ces dispositifs. Elle rappelle que le Code de l'éducation a été modifié en 2017 pour permettre ce genre d'examens, mais que les modalités d'examen doivent être arrêtées par les établissements au plus tard à la fin du premier mois de l'année d'enseignement et ne peuvent être modifiées en cours d'année. Le Code prévoit aussi la garantie de la bonne organisation de l'examen en imposant  « 1° La vérification que le candidat dispose des moyens techniques lui permettant le passage effectif des épreuves ; 2° La vérification de l’identité du candidat ; 3° La surveillance de l’épreuve et le respect des règles applicables aux examens ».

L'autorité fait encore remarquer que ces outils sont « par nature intrusifs » et qu'ils doivent respecter le RGPD, mais le discret « si le cadre juridique autorise le recours au passage d’examens à distance, il ne l’oblige ni ne l’encourage » qui entamait les recommandations de la version de travail a disparu.

Tout au plus, elle fait remarquer que « la mise en œuvre d’une télésurveillance ne doit pas constituer une alternative de confort destinée uniquement à rendre moins contraignante ou moins coûteuse pour l’établissement l’organisation de la validation des compétences des candidats. ».

Conseil aux établissements sur les bases légales

Comme dans le projet de recommandation, la version finale donne des conseils aux établissements d'enseignement supérieur en expliquant qu'ils devraient se glisser dans les conditions prévues à l’article 6 du RGPD, soit en se fondant sur l’exécution d’une mission d’intérêt public, soit sur le contrat « à condition que les modalités d’examen soient fixées dans celui-ci, et donc connues de l’étudiant avant son inscription ».

De la même façon, la CNIL explique aux établissements que « les dispositifs mis en œuvre sur des réseaux inaccessibles au public, comme des intranets ou des extranets reposant sur un réseau privé virtuel (VPN), ne sont a priori pas soumis à » l'article 82 de la loi « Informatique et Libertés », qui impose de recueillir le consentement de l’utilisateur pour la lecture et l'écriture sur l’équipement terminal.

L'analyse du comportement « particulièrement intrusive » et génératrice de faux positifs

Du côté des dispositifs d'analyse automatique du comportement des candidats censés détecter la triche, la version de travail faisait remarquer que certaines techniques, comme la reconnaissance vocale ou l'analyse de frappe, étaient « particulièrement intrusifs » et ne faisait que déconseiller « ceux procédant à l’analyse des émotions ».

Dans la version finale, la CNIL évoque l'analyse du comportement en général et donne comme exemples « fréquence de frappe, direction du regard, émotions, etc. ». Elle y « recommande de ne pas recourir à des dispositifs de télésurveillance procédant à des analyses automatiques du comportement des candidats ».

Elle explique, en s'appuyant sur les travaux et la consultation qu'elle a menés, que ces technologies présentent un risque élevé de faux positifs. Et elle y voit même un risque de « nuire au bon déroulement de l’examen et parfois troubler les étudiants, qui risquent de se focaliser sur l’adoption d’un comportement « normal » face à l’outil de télésurveillance plutôt que de se concentrer sur l’examen ».

Un « oui mais » pour l'analyse de l'environnement

Par contre, elle n'oppose pas de véto à l'utilisation de l'analyse de l'environnement (entrée d'une personne dans la pièce, par exemple) dont les dispositifs existants lui « apparaissent plus fiables et moins intrusifs ». Mais le dispositif doit être « suffisamment fiable » et ne doit «  jamais conduire à une décision automatique ayant un effet immédiat pour le candidat  ».

Pour la CNIL, leur seul rôle est d'aider le surveillant à détecter une situation anormale, pas de poser un diagnostic de fraude de façon automatique. Elle rappelle d'ailleurs l'article 22 du RGPD sur la décision individuelle automatisée.

Informer, seulement, sur le risque de collecte incidente de données

Sur la collecte incidente de données, l'autorité ne donne aucune consigne demandant de les minimiser. Elle demande néanmoins aux établissements d'informer les étudiants sur ces risques et sur les moyens d'éviter une collecte, « en leur conseillant notamment de s’isoler, dans la mesure du possible, dans une pièce calme et neutre, de façon à ne pas porter atteinte au droit à la vie privée des autres personnes qui pourraient se trouver dans la pièce », transférant la responsabilité sur les épaules de la personne qui passe l'examen.

Reconnaissance automatisée pour la vérification d'identité

Pour la vérification d'identité, la CNIL met en avant la possibilité qu'elle soit effectuée par un surveillant, mais juge que la « comparaison d’un justificatif d’identité avec le visage du candidat peut parfois être justifiée, notamment si le nombre d’étudiants est très important », sans pour autant fermer la porte à d'autres justifications.

Ce recours à des traitements biométriques de vérification d'identité ne devrait être effectué qu'une seule fois au cours de la séance et « ne doit, en aucun cas, conduire à la constitution de bases de données de gabarits biométriques au sein des établissements d’enseignement supérieur ou des prestataires de télésurveillance d’examens ».

Mais, contrairement à la version de projet, la reconnaissance vocale n'est jamais abordée dans le document final.

Utilisation de logiciels tiers

Sur l'utilisation de logiciels à installer pour passer l'examen, la CNIL y voit toujours la possibilité d'avoir  «  l’avantage de n’entraîner aucune collecte supplémentaire de données à caractère personnel (« privacy by design ») », mais demande au responsable qu'il s'assure que cela n'entraine pas de « traitement inégal entre étudiants ». Dans les faits, les établissements s'exposeront à des possibles recours si les logiciels tiers utilisés ne sont pas compatibles avec la plupart des systèmes d'exploitation. « Il est également impératif que soit garantie l’absence de réutilisation des données par l’éditeur du logiciel », ajoute la CNIL.

L'autorité a gardé les demandes de sécurité plus classiques qu'elle avait déjà indiquées dans la version de travail : rapprochement auprès du délégué à la protection des données avant la mise en place du système, chiffrement des données à caractère personnel « à l’aide d’algorithmes réputés forts » et journalisation des accès.

Elle reste aussi attachée à ce que le responsable du traitement s'assure de la possibilité de remettre « facilement » les terminaux dans leur état initial si le passage de l'examen nécessite l'installation d'un logiciel tiers.