AgentPublic/cnil huggingface dataset:
L’analyse de l’efficacité et de la proportionnalité d’un dispositif de télésurveillance d’examen doit se faire globalement et non mesure par mesure. À cet égard, un dispositif ne permettant pas de prévenir efficacement la fraude apparait par nature disproportionné. En outre, si un juste équilibre ne peut être trouvé entre efficacité de la télésurveillance et intrusivité du dispositif employé, il faudrait envisager d’organiser l’épreuve en présentiel ou de privilégier une autre forme d’examen. À cet égard, il faut souligner que le choix du type d’épreuve (composition ou QPC, questions identiques pour tous les candidats ou non, temps accordé pour répondre à chaque question, etc.) constitue l’un des éléments à mobiliser pour éviter les fraudes.
Par ailleurs, en vertu du principe de proportionnalité, le choix des outils de télésurveillance doit s’apprécier au regard du contexte et de l’enjeu de l’épreuve. À titre d’exemple, une surveillance renforcée parait appropriée pour le passage d’un concours d’entrée dans une école. En revanche, un examen présentant un enjeu faible, dans le processus de validation de la formation d’un étudiant, tel qu’un examen blanc, devrait être effectué sans télésurveillance.
Au regard de ce qui précède, les modalités suivantes semblent proportionnées pour des examens nécessitant une télésurveillance renforcée :
la télésurveillance vidéo et audio du candidat en temps réel pendant la durée de l’examen par les personnes chargées de la télésurveillance, sans conservation des données, sauf en cas de suspicion de fraude ;
la télésurveillance de l’activité du candidat en temps réel via un partage d’écran, sans conservation des données, sauf en cas de suspicion de fraude;
le contrôle de l’activité du candidat via une plateforme en ligne permettant de détecter voire de bloquer l’accès à d’autres onglets ;
la vérification ponctuelle en début d’épreuve de l’environnement de l’étudiant via sa caméra par une personne chargée de la télésurveillance sans conservation de données, sauf en cas de suspicion de fraude ;
Sur les dispositifs de télésurveillance procédant à des analyses automatiques
Certains dispositifs de télésurveillance proposent d’avoir recours à l’analyse automatique, soit de l’environnement du candidat (détection d’un niveau sonore anormal, de la présence d’une tierce personne dans la pièce, etc.), soit de son comportement (fréquence de frappe, direction du regard, émotions, etc.).
Ces dispositifs présentent un caractère particulièrement intrusif. Par ailleurs, il est ressorti des travaux menés par la CNIL et de la consultation qu’elle a effectuée que ceux de ces dispositifs qui cherchent à repérer des comportements du candidat s’apparentant à de la fraude présentent un risque élevé de faux positifs. Cela peut nuire au bon déroulement de l’examen et parfois troubler les étudiants, qui risquent de se focaliser sur l’adoption d’un comportement "normal" face à l’outil de télésurveillance plutôt que de se concentrer sur l’examen. Par conséquent, eu égard au principe de nécessité et de proportionnalité, la CNIL recommande de ne pas recourir à des dispositifs de télésurveillance procédant à des analyses automatiques du comportement des candidats.
En revanche, les dispositifs repérant certains événements dans l’environnement du candidat (comme l’entrée d’une tierce personne dans la pièce où il passe l’examen) apparaissent plus fiables et moins intrusifs. Au cas par cas, lorsque le nombre de candidats est important, il peut être envisagé de recourir à des dispositifs d’analyse automatique de l’environnement du candidat, à condition que ce dispositif soit suffisamment fiable. Ces dispositifs ne doivent jamais conduire à une décision automatique ayant un effet immédiat pour le candidat : leur seul rôle est d’attirer l’attention d’un surveillant sur une situation potentiellement anormale ; conformément à l’article 22 du RGPD, il est nécessaire qu’une vérification humaine ait lieu systématiquement avant toute décision ou modification des conditions d’examen du candidat afin de confirmer la suspicion de fraude.
Un établissement souhaitant recourir à ces dispositifs devrait réaliser des tests préalables afin d’en vérifier la fiabilité et documenter la nécessité de ce dispositif pour l’examen concerné.
Ainsi, à titre d’exemple, un examen ne devrait pas être interrompu, pour un candidat, en raison de la seule détection automatique d’un niveau sonore anormal. En revanche, il peut être proportionné d’alerter un surveillant qu’un niveau sonore anormal a été mesuré et de lui proposer de réécouter cet événement, notamment lorsque le nombre d’étudiants à surveiller en même temps est important.
Sur les dispositifs de télésurveillance procédant à une collecte incidente de données
Certains dispositifs présentent un risque de collecte incidente de données à caractère personnel concernant les candidats, leurs proches ou leur environnement. Les établissements doivent informer les étudiants sur ces risques et sur les moyens d’éviter une telle collecte, en leur conseillant notamment de s’isoler, dans la mesure du possible, dans une pièce calme et neutre, de façon à ne pas porter atteinte au droit à la vie privée des autres personnes qui pourraient se trouver dans la pièce.
Sur les dispositifs de vérification de l’identité du candidat comportant un traitement de données biométriques 
Les établissements organisant des examens à distance ont l’obligation vérifier l’identité des candidats, conformément au cadre juridique portant sur l’organisation des épreuves.
La vérification de l’identité du candidat peut être opérée par un rapprochement documentaire effectué par un surveillant lors d’un entretien en visioconférence. Par ailleurs, le recours à un dispositif de vérification automatisé à distance, par comparaison d’un justificatif d’identité avec le visage du candidat peut parfois être justifié, notamment si le nombre d’étudiants est très important.
Ce dispositif conduit à traiter des données biométriques au sens de l’article 9 du RGPD et pourrait être mis en œuvre :
soit en demandant le consentement des personnes concernées ; une alternative doit alors être disponible (il peut être proposé aux candidats de se rendre sur la session d’examen en ligne en avance afin de laisser au surveillant le temps de procéder à un rapprochement documentaire, par exemple) ;
soit s’il est fondé sur un motif d’intérêt public important (g) du 2. de l’article 9 du RGPD). Il doit alors être strictement encadré par un texte et une intervention humaine doit être possible en cas de difficulté de l’étudiant à s’authentifier.
À cet égard, le recours à des traitements biométriques de vérification d’identité, dans le cadre de l’application des a) et g) du 2. de l’article 9 du RGPD, devrait répondre aux conditions cumulatives suivantes :
une seule vérification d’identité est effectuée avant ou pendant l’examen ;
l’examen concerne un nombre d’étudiants très important compte tenu de la nature de l’épreuve (par exemple, une certification obligatoire concernant tous les étudiants d’un établissement) rendant difficile la vérification individuelle par les surveillants ;
une alternative est toujours disponible (par exemple, un rapprochement documentaire effectué par un surveillant lors d’un entretien en ligne individuel) pour les candidats ne pouvant pas ou ne parvenant pas à obtenir un contrôle automatique de leur identité;
Dans la mesure où le consentement de l’étudiant serait recueilli au moment du déclenchement du dispositif, l’établissement devra informer en amont (par exemple, quelques semaines avant l’épreuve) des modalités précises du recueil du consentement de l’étudiant portant sur le recours à la reconnaissance faciale pour la vérification d’identité.
Ce type de dispositif ne doit, en aucun cas, conduire à la constitution de bases de données de gabarits biométriques au sein des établissements d’enseignement supérieur ou des prestataires de télésurveillance d’examens. Le recours à des prestataires spécialisés dans la vérification d’identité à distance, conformément aux recommandations de la CNIL, devrait être privilégié.
Les dispositifs comportant un traitement de données biométrique ne devraient être mis en œuvre pour d’autres fins que celles visant la vérification d’identité.
Sur la conservation des données collectées par les dispositifs de télésurveillance
Lorsque les dispositifs envisagés pour la télésurveillance d’examens à distance conduisent à une conservation de données à caractère personnel, le responsable de traitement, le cas échéant avec son délégué à la protection des données, doit fixer, avant sa mise en œuvre, les conditions d’accès à ces données et leur durée de conservation ou les critères permettant de la définir, en fonction du type d'information enregistrée et de la finalité du traitement.
En cas de suspicion de fraude, la durée de conservation des données ne devrait pas excéder les délais légaux des procédures disciplinaire ou contentieuse qui pourraient être engagées, et qui est en principe de deux mois.
Sur les dispositifs nécessitant l’installation de logiciels dédiés au passage d’examen à distance
Certains dispositifs de télésurveillance nécessitent l’installation sur le terminal des candidats d’un logiciel dédié ou d’une extension de navigateur. De tels dispositifs, par exemple un logiciel empêchant l’ouverture de toute application ou de toute page internet en dehors de ce qui est strictement nécessaire au passage de l’examen, peuvent avoir l’avantage de n’entraîner aucune collecte supplémentaire de données à caractère personnel ("privacy by design"). Cependant, le responsable de traitement devrait s’assurer que ces dispositifs n’engendrent pas un traitement inégal entre les étudiants (par exemple si le logiciel à installer n’est pas compatible avec certains ordinateurs, navigateurs ou systèmes d’exploitation). Il est également impératif que soit garantie l’absence de réutilisation des données par l’éditeur du logiciel.
Article 5
Sur le transfert de données en dehors du territoire de l’Union européenne
Le recours à des sous-traitants, en particulier étrangers, peut impliquer un transfert de données en dehors de l’Union européenne. La CNIL rappelle que le transfert de données hors de l’Union européenne (UE) et de l’Espace économique européen n’est possible qu’à condition de s’assurer d’un niveau de protection des données suffisant et approprié. Ces transferts doivent être encadrés en utilisant les outils juridiques prévus par la réglementation.
Article 6
Sur la sécurité des traitements de télésurveillance d’examen
Le responsable de traitement doit, conformément au principe de "privacy by design", se rapprocher de son délégué à la protection des données en amont de la décision de mettre en place tout dispositif de télésurveillance, afin d’identifier les mesures organisationnelles et techniques permettant de garantir un niveau de sécurité adapté au traitement, conformément à l’article 32 du RGPD.
À ce titre, les données à caractère personnel collectées doivent être chiffrées à l’aide d’algorithmes réputés forts, aussi bien durant leur transfert qu’au repos.
L’accès en lecture aux données collectées doit par ailleurs être restreint aux seules personnes ayant un intérêt à en connaître en raison de leurs fonctions (par exemple, les surveillants, les professeurs ou le conseil de discipline concernés). Cet accès devrait avoir lieu depuis des locaux dédiés et des terminaux spécifiques à la télésurveillance, afin de minimiser le risque de violation de données.
Les opérations de modification ou de suppression de données collectées dans le cadre de la télésurveillance d’examens devraient être proscrites si elles concernent des procédures disciplinaires ou contentieuses en cours. Elles devraient, par ailleurs, être réservées aux administrateurs du système d’information.
Une journalisation des accès aux données à caractère personnel doit également être mise en place, conformément aux recommandations de la CNIL à ce sujet (délibération n° 2021-122 du 14 octobre 2021 portant adoption d’une recommandation relative à la journalisation). En effet, la journalisation participe, par sa capacité dissuasive, à la sécurité du traitement et au maintien de l’intégrité des données collectées. Les journaux d’accès aux données doivent disposer d’une durée de conservation propre, généralement comprise entre six mois et un an.
Dans le cas où le passage d’examen à distance nécessite l’installation d’un logiciel spécifique sur le terminal personnel des candidats, cette installation ne devrait pas engendrer de risques de sécurité. Les logiciels nécessitant des privilèges élevés lors de leur utilisation ou la désactivation des mesures de protection des terminaux (antivirus, par exemple) doivent ainsi être évités. Le responsable de traitement doit également s’assurer que les terminaux peuvent être facilement remis dans leur état initial après le passage de l’examen ou à la fin de l’année universitaire (désinstallation du logiciel et suppression de toutes les traces et configurations laissées par son installation). Les solutions dont le code source est librement accessible (open-source) devraient être privilégiées et l’intégrité du logiciel vérifiée avant toute collecte de données à caractère personnel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Marie-Laure DENIS
Date de l’avis 
: 14 septembre 2023
N° de la délibération 
: n° 2023-
089
N° de demande d’avis 
: 2230110
Organisme(s) à l’origine de la saisine : Institut national d’études démographiques (Ined)
Texte concerné
 : projet de recherche hors santé relatif à l’enquête longitudinale familles et employeurs
Thématiques
 : Institut national d’études démographiques, recherche hors santé, enquête familles et employeurs
 
Fondement de la saisine 
: article 44.6° de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel
 :
La CNIL estime légitime le projet de traitement de données à caractère personnel relatif à la mise en œuvre de l’enquête longitudinale familles et employeurs (FamEmp).
Elle invite toutefois l’Ined à supprimer immédiatement les données de santé après le recodage par catégories et à restreindre au maximum le nombre de personnes habilitées pouvant accéder aux données directement identifiantes.
Elle rappelle également la nécessité de fixer une durée de conservation pour les données pseudonymisées.
La CNIL invite l’Ined à prévoir un mécanisme d’opposition à l’appariement des données facile et accessible à toute personne, y compris celles ne disposant pas de matériel informatique et/ou ne maîtrisant pas les outils informatiques.
S’agissant des modalités d’exercice des droits, elle recommande la sensibilisation des opérateurs aux tentatives d’usurpation d’identité. Elle demande également à l’Ined d’envisager des solutions combinant des secrets transmis au participant pendant la prise de contact et des données collectées.
La CNIL rappelle que l’ensemble des mesures de sécurité devront être au moins équivalentes aux exigences du référentiel de la CNIL "entrepôt de données dans le domaine de la santé".
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi "informatique et libertés"), notamment son article 44.6° ;
Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
ADOPTE LA DÉLIBÉRATION SUIVANTE :
I - La saisine
A - Le contexte
Le projet d’enquête longitudinale Familles et Employeurs (FamEmp) résulte du constat de changements économiques, sociaux, démographiques et politiques qui accroissent les tensions et effacent les frontières entre vie privée et professionnelle. Dans la sphère de l’emploi, il s’agit notamment de l’augmentation des postes précaires, des horaires atypiques, de la numérisation permettant de nouvelles formes d’emplois et de travail (ex. : nomade, télétravail). Dans la sphère familiale et personnelle, les configurations familiales et les représentations des rôles des femmes et hommes et de la parentalité évoluent (augmentation des ruptures d’union, des recompositions familiales, des familles monoparentales et situations d’aidance, etc.).
Aussi, l’enquête FamEmp vise à mettre à disposition de la communauté scientifique des données d’enquête statistique relatives aux équilibres entre vie professionnelle, familiale et personnelle afin d’analyser l’incidence de ces interrelations sur les parcours de vie et les facteurs de risques selon les caractéristiques professionnelles et familiales.
Les trois vagues de collecte (2023 - 2024, 2026 - 2027 et 2029 - 2030) seront couplées, en partie, avec l'enquête européenne Generations and Gender Survey (enquête Erfi 2 pour la France) afin de développer les comparaisons internationales.
Le 2 décembre 2021, l’enquête a reçu l’avis d’opportunité favorable du Conseil national de l’information statistique (CNIS), attestant de son caractère statistique, d’intérêt public et de l’absence d’autres sources disponibles à ce sujet.
Le 5 octobre 2022, elle a également a obtenu le label d'intérêt général et de qualité statistique ainsi que le caractère obligatoire (visa n° 2023X042AU du ministre de l’économie, des finances et de la relance).
B - L’objet de la saisine
La CNIL a été saisie pour avis le 22 mai 2023 sur la première vague (2023 - 2024) de l’enquête FamEmp.
Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la CNIL conformément aux dispositions de l’article 44.6° de la loi "informatique et libertés".
La saisine porte sur trois composantes du projet de traitement :
une répétition générale de l’enquête par questionnaire (selon le même protocole que l’enquête réelle, avec un objectif de 600 questionnaires Individus et 200 questionnaires Employeurs) ;
l’enquête réelle, comprenant deux volets :
	
un volet Individus : un questionnaire administré par téléphone ou rempli sur Internet auprès d’un échantillon de personnes âgées de 20 à 65 ans résidant en ménage ordinaire en France métropolitaine (objectif de 30 250 questionnaires) ;
un volet Employeurs : un questionnaire autoadministré, essentiellement par Internet, auprès des établissements des individus quand ils comprennent 10 salariés/agents ou plus (objectif de 9 000 questionnaires) ;
des appariements avec des données administratives gérées par l’Insee :
	
au volet Individus : des données socio-fiscales (issues des fichiers de la Caisse nationale d’allocations familiales, de la Caisse nationale d’assurance vieillesse, des branches vieillesse et familles de la MSA, de la taxe d’habitation et de l’impôt sur le revenu) et d’emploi (issues de la "base tous salariés", de la "base non-salariés" et du répertoire Sirene), permettant de collecter des informations précises et fiables concernant l’emploi et les revenus des personnes sélectionnées au moment de l’enquête et entre les vagues d’enquête et d’obtenir des informations concernant les non-répondants, sauf opposition de ceux-ci ;
au volet Employeurs : des données d’emploi (issues de la "base tous salariés") et d’entreprises et d’établissements (issues du répertoire Sirene).
L’Institut national des études démographiques (Ined) est le responsable de ce traitement, qu’il met en œuvre sur la base de l’exécution d’une mission d’intérêt public (article 6.1.e du RGPD).
I - L’avis de la CNIL
A - Sur les catégories de données collectées
Certaines des questions du volet Individus portent sur des données sensibles relatives à la santé, à la sexualité et à la religion. Selon l’Ined, ces informations sont essentielles pour étudier la trajectoire familiale, le parcours professionnel et les comportements de l’enquêté. En particulier, une question ouverte du questionnaire vise à recueillir l’existence, chez les parents, conjoint ou enfants de l’enquêté, d’une maladie, pathologie ou déficience diagnostiquée par le corps médical.
La CNIL prend acte de la nécessité d’une question ouverte. En effet, une question fermée serait inadaptée tant au niveau technique (longueur d’une liste exhaustive) que sémantique (difficulté à lister à la fois des pathologies, maladies et déficiences en regroupant à la fois des termes médicaux et des termes du langage courant). Elle note que les réponses, facultatives, pseudonymisées et recodées par catégories, seront stockées sur des serveurs sécurisés et ne seront pas diffusées en clair dans les fichiers accessibles à la communauté scientifique. La CNIL invite l’Ined à supprimer immédiatement les réponses après le recodage par catégories et appelle son attention sur la nécessité qu’un nombre strictement limité de personnes habilitées puissent accéder aux données directement identifiantes.
B - Sur les durées de conservation
Le "fichier d’étude" et le "fichier de production et de recherche" - contenant tous deux des données à caractère personnel pseudonymisées et mis à disposition, respectivement, sur le Centre d’accès sécurisé aux données (CASD) et sur le réseau Quetelet Progedo Diffusion - seront archivés dix ans après la dernière demande d’accès au fichier par un chercheur.
La CNIL rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi "informatique et libertés" et 116 du décret n° 2019-536 du 29 mai 2019. En particulier, les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l’'intérêt des tiers à cette diffusion prévaut sur les intérêts ou libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La CNIL rappelle que, dans le cas de diffusion de données pseudonymisées, il est indispensable de fixer une durée de conservation, ces données ne pouvant rester disponibles pour une durée illimitée.
Par ailleurs, après l’expiration de la durée de conservation, une copie de tous ces fichiers non anonymisés sera archivée sur un serveur sécurisé de l’Ined et les fichiers d’origine seront versés aux Archives de France. La CNIL s’interroge sur la nécessité de conserver une copie des fichiers alors qu’ils seront versés aux Archives de France. En tout état de cause, elle rappelle que l’Ined doit fixer une durée de conservation de ces archives non anonymisées.
C - Sur l’information des personnes
En amont du contact avec le répondant, une lettre-annonce accompagnée d’une plaquette d’information ainsi qu’un courriel ou un SMS (qui renverront vers le site de l’enquête comportant toutes les mentions d’information) si les coordonnées sont disponibles, seront envoyés individuellement à l’ensemble des individus sélectionnés. En début de questionnaire, un texte rappellera le sujet et les objectifs de l’enquête ainsi que les droits "informatique et libertés" dont disposent la personne.