AgentPublic/cnil huggingface dataset:
Par ailleurs, la CNIL rappelle, comme elle l’a exposé dans sa position de juillet 2022 sur les conditions de déploiement des caméras "augmentées" que, s’il est nécessaire que cette information soit fournie en des termes clairs et simples conformément au RGPD et à la loi "informatique et libertés", une telle information ne sera pas suffisante. En effet, celle-ci devra être adaptée au caractère sans contact et novateur de ces technologies. Ainsi, une simple mise à jour des panneaux d’affichage d’un système de vidéoprotection ou de drones ne saurait suffire. Il sera essentiel de porter à la connaissance des personnes concernées l’information centrale du dispositif, qui réside dans le caractère "augmenté" des caméras et également d’expliquer les caractéristiques et la portée d’une telle analyse. La CNIL insiste donc fortement sur la nécessité de prévoir systématiquement des modalités d’information directement sur les lieux de captation des images et sur des supports adaptés (panneaux d’information dédiés, vidéos, codes QR, marquage au sol, annonces sonores, etc.). Enfin, lorsque l’Etat acquiert une solution algorithmique auprès d’un tiers fournisseur, la CNIL recommande qu’il soit délivré une information sur cette acquisition afin de permettre aux personnes concernées de prendre conscience des conditions dans lesquelles l’algorithme a été conçu.
Si la loi prévoit une possibilité d’exclusion de l’information des personnes dans les cas où une telle information entrerait en contradiction avec les finalités poursuivies, la CNIL considère toutefois que la mise en œuvre de ces traitements ne peut se faire en principe à l’insu du public compte tenu du caractère inédit du déploiement de ces dispositifs. La transparence et la loyauté de ces traitements, assurées par l’information claire et accessible du public, constituent pour la CNIL une garantie essentielle de cette expérimentation. La CNIL recommande donc que les hypothèses dans lesquelles l’exclusion de l’information des personnes s’avèrerait nécessaire doivent être particulièrement limitées et expressément précisées dans le projet de décret. A ce titre, la CNIL prend acte de la précision du Gouvernement selon laquelle la loi a prévu cette exclusion afin de s’articuler avec les dispositions législatives relatives aux caméras installées sur des aéronefs et qu’en conséquence l’information des personnes ne sera exclue que dans les seuls cas où des aéronefs seraient eux-mêmes déployés dans des conditions qui excluent l’information des personnes.
En tout état de cause, il appartiendra au responsable de traitement de s’assurer, le cas échéant, des conditions dans lesquelles le droit à l’information pourrait être exclu au regard du régime applicable. Il lui reviendra notamment de vérifier si une information partielle, portant sur le principe du recours aux caméras "augmentées", peut être envisagée sans compromettre la sécurité de la manifestation.
Sur l’analyse d’impact relative à la protection des données (AIPD)
Conformément au V de l’article 10 de la loi, le décret est accompagné d’une AIPD qui expose notamment :
le bénéfice escompté de l’emploi du traitement algorithmique au regard des évènements prédéterminés donnant lieu à signalement par le système ;
les éventuels risques créés par le recours aux dispositifs de caméras "augmentées" ;
les mesures envisagées afin de les minimiser et de les rendre acceptables au cours de leur fonctionnement.
La CNIL rappelle que la réalisation d’une telle AIPD dite "cadre" a vocation à constituer le socle de référence des garanties minimales à mettre en œuvre par l’ensemble des responsables de traitements visés au I de l’article 10 de la loi, au regard des risques identifiés dans le cadre de l’usage des dispositifs algorithmiques. Elle constate toutefois que l’analyse de risques réalisée par le Gouvernement au sein de cette AIPD "cadre" est nécessairement limitée à ce stade, en l’absence de connaissance des caractéristiques précises des solutions algorithmiques qui seront acquises auprès de tiers ou développées en propre.
C’est pourquoi la CNIL relève que l’AIPD "cadre" qui lui a été soumise sera complétée à deux étapes :
tout d’abord par le Gouvernement à l’issue de l’appel d’offres auprès des fournisseurs de solutions (notamment sur les parties relatives à la sous-traitance et à la sécurité de l’exploitation de la solution), avant de la transmettre à nouveau à la CNIL et aux responsables de traitements ;
ensuite, et conformément à l’article 13 du projet de décret, par les responsables de traitement qui devront compléter cette AIPD "cadre" des caractéristiques particulières de chacun des traitements algorithmiques mis en œuvre.
La CNIL relève par ailleurs que l’AIPD "cadre" des traitements algorithmiques doit être articulée finement avec celles des autres traitements soumis à AIPD : d’une part une AIPD "conception" qui sera réalisée par le ministère de l’intérieur sur la conception des traitements algorithmiques ; d’autre part et surtout, les AIPD applicables aux systèmes de vidéoprotection dont les images seront utilisées par les traitements algorithmiques. En particulier, la CNIL relève que les risques liés à la compromission des images sont traités principalement dans l’AIPD vidéoprotection et non dans celle sur les traitements algorithmiques.
Dans ce contexte, la CNIL attire l’attention des responsables de traitements sur le fait qu’il ne s’agira pas uniquement de renseigner quelques particularités de mise en œuvre au sein de l’AIPD "cadre", mais d’évaluer les risques créés par chaque solution algorithmique et les mesures envisagées afin de les minimiser. Il appartiendra notamment aux responsables de traitements de compléter l’AIPD concernant la mise en œuvre des traitements algorithmiques en lien avec l’AIPD sur la mise en œuvre des traitements provenant de systèmes de vidéoprotection, concernant :
les mesures techniques et organisationnelles pour la consultation des images relatives aux événements détectés, leur enregistrement et l’éventuel déchargement des contenus vidéos ;
les mesures organisationnelles particulières pour l’intervention des sous-traitants qui viendront installer et paramétrer les solutions et s’assurer de leur maintien en conditions opérationnelles.
A cet égard, la CNIL prend acte de l’engagement du Gouvernement de fournir une doctrine d’emploi aux services responsables de traitements, visés au I de l’article 10 de la loi, concernant notamment :
le contenu des signalements effectués et des suites apportées ;
le contenu de l’information des personnes ;
les modalités du contrôle humain des signalements.
La CNIL invite le gouvernement à adapter la doctrine d’emploi en fonction des services destinataires, pour rappeler à chacun les spécificités du cadre juridique qui s’applique à lui et les particularités d’usage du dispositif dans le contexte de ses missions.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ;
Vu le Code de l’éducation, notamment son article D. 611-12 ;
Après avoir entendu le rapport Mme Sylvie Robert, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a constaté, notamment depuis la crise sanitaire liée au COVID-19, l’augmentation du recours au passage d’examens à distance sous forme numérique dans les établissements d’enseignement supérieur publics et privés. Cette modalité d’examen s’accompagne du souhait par les établissements de recourir à des outils de télésurveillance afin d’organiser la validation des enseignements à distance, telle qu’autorisée et encadrée depuis 2017.
En effet, l’article D. 611-12 du code de l’éducation prévoit que les modalités d’examen (en présence ou à distance, sous forme numérique ou non) doivent être arrêtées dans chaque établissement d’enseignement supérieur au plus tard à la fin du premier mois de l’année d’enseignement et ne peuvent être modifiées en cours d’année. Ce même article prévoit que l’organisation d’examens à distance sous forme numérique doit être garantie par : "1° La vérification que le candidat dispose des moyens techniques lui permettant le passage effectif des épreuves ; 2° La vérification de l’identité du candidat ; 3° La surveillance de l’épreuve et le respect des règles applicables aux examens".
Les établissements ayant recours à des outils de télésurveillance, par nature intrusifs, la CNIL rappelle les obligations qui découlent du RGPD et incite au respect de bonnes pratiques.
En préambule, la Commission remarque que la validation des enseignements à distance peut, dans une certaine mesure, porter atteinte au principe d’égalité des chances entre les candidats en introduisant des biais socio-économiques dans les conditions de leur évaluation. En effet, un système d’enseignement et d’évaluation à distance entraîne la disparition du nivellement des conditions matérielles assuré par la nécessité d’être présent physiquement dans les lieux de l’épreuve. Cela peut avoir pour conséquence de pénaliser les candidats résidant en zone blanche, ou ne disposant pas d’une pièce au calme, d’un bureau, d’un ordinateur suffisamment performant, etc. Dès lors, de manière générale, et quel que soit le dispositif utilisé, la télésurveillance devrait être exempte de tout biais discriminatoire quant à l’origine des étudiants concernés. Il convient en particulier de prendre en compte la situation des personnes handicapées (par exemple avec un logiciel d’agrandissement et de lecture d’écran).
Par ailleurs, la mise en œuvre d’une télésurveillance qui se voudrait aussi performante que la surveillance habituellement réalisée dans les locaux d’examen impliquerait le recours à des moyens informatiques particulièrement intrusifs. Il faut souligner que l’organisation d’une épreuve à distance conduit généralement l’établissement à surveiller un terminal informatique privé, à l’intérieur d’un local privé. Par ailleurs, cette télésurveillance est nécessairement imparfaite, ne serait-ce que parce que le dispositif ne peut pas surveiller l’intégralité du local où se trouve le candidat (notamment les toilettes).
À l’inverse, l’organisation d’examens à distance peut avoir des conséquences bénéfiques, par exemple sur la diversité géographique et sociale des candidats. Il arrive en effet que des candidats renoncent à participer à des épreuves du fait de l’éloignement géographique du centre d’examen. L’organisation d’examen à distance peut favoriser l’accès à la formation continue et à la formation professionnelle. De même, l’organisation d’épreuves à distance peut permettre à un candidat d’obtenir certaines qualifications alors qu’il poursuit ses études ou effectue un stage dans une autre ville ou à l’étranger. Elle peut également faciliter le passage d’un examen pour un candidat en situation de handicap. Ainsi, l’organisation d’épreuves à distance peut s’avérer pertinente dans certains cas spécifiques, ou dans certains contextes particuliers (crise sanitaire notamment).
À ce titre, la Commission rappelle qu’il existe des modalités d’examen compatibles avec une validation à distance et permettant d’attester des compétences d’un étudiant sans recourir à de la télésurveillance (mémoire de fin d’études, soutenance de projet, etc.) ou permettant de limiter le caractère intrusif du dispositif employé (examen oral, examen à livre ouvert, passage de l’examen dans des locaux dédiés, etc.). Ces modalités devraient être privilégiées lorsque cela est possible.
Face à l’absence d’encadrement spécifique des dispositifs de télésurveillance utilisés dans le cadre du passage d’examens ou de concours à distance, qui relève en partie de l’autonomie des établissements d’enseignement, et dans l'objectif de garantir la conformité de ces dispositifs au règlement général sur la protection des données (RGPD) et à la loi "Informatique et Libertés", de maintenir la confiance entre les étudiants et les établissements d’enseignement supérieur et de favoriser les bonnes pratiques en matière d’inclusion numérique et de traitement de données à caractère personnel, la Commission émet les recommandations suivantes.
Recommande
Article 1er
Principes généraux sur le recours à la télésurveillance d’examen
La présente recommandation concerne la mise en œuvre de dispositifs de télésurveillance pour les examens en ligne pour tout type d’examen ou certification, organisée par un établissement public ou un organisme privé.
Un établissement ou un organisme décidant de recourir à une solution de télésurveillance est responsable du traitement qui sera mis en œuvre. Il lui incombe de se montrer vigilant en utilisant des solutions éprouvées et réputées sûres, et en testant en amont des épreuves les dispositifs envisagés pour la télésurveillance dans les différents cas pouvant se présenter (faible bande passante entre le candidat et le serveur, perte temporaire de connexion à Internet du candidat, compatibilité avec les terminaux et systèmes d’exploitation utilisés par les candidats, etc.).
De plus, le recours à des outils de télésurveillance doit respecter les principes du RGPD et de la loi "Informatique et Libertés", quelles que soient les technologies utilisées. À cet égard, l’établissement doit se rapprocher de son délégué à la protection des données afin de s’assurer de la conformité du dispositif de télésurveillance à la règlementation relative à la protection des données à caractère personnel.
Les principes suivants devront notamment être pris en compte :
l’obligation d’information ;
le respect des droits des personnes concernées, en particulier le droit d’accès ;
la limitation des traitements de données à caractère personnel à des fins précises et déterminées ;
le principe de minimisation des données traitées ;
le principe de sécurité et de confidentialité des données ;
le principe de proportionnalité et de pertinence ;
la limitation de la durée de conservation des données ;
la limitation des transferts de données en dehors du territoire de l’Union européenne selon les conditions définies par le RGPD.
Concernant le devoir d’information, bien que l’article D. 611-12 du code de l’éducation dispose que les modalités d’examen doivent être arrêtées dans chaque établissement d’enseignement supérieur au plus tard à la fin du premier mois de l’année d’enseignement, la Commission encourage vivement les établissements à communiquer les modalités d’examen envisagées ainsi que les dispositifs susceptibles d’être employés pour la télésurveillance suffisamment à l’avance pour permettre aux étudiants de faire leur choix de formation en toute connaissance de cause.
Au surplus, au regard des difficultés que peut présenter le passage d’examens à distance (risque de dysfonctionnement du matériel, étudiant ne disposant pas du matériel nécessaire ou d’une connexion adaptée, modalités d’examen non compatibles avec un handicap de l’étudiant, étudiant ne disposant pas d’un environnement adapté au passage de l’examen, etc.), les établissements devraient informer leurs étudiants aussi tôt que possible et de façon précise sur les modalités organisationnelles et techniques de passage des examens. Ils devraient envisager des mesures permettant de pallier ces difficultés (prêt de matériel adapté par exemple) et prévoir aussi souvent que possible une possibilité de passage de l’examen en présentiel, étant précisé que l’organisation de deux modalités distinctes pour passer l’examen devra respecter l’égalité de traitement entre les candidats.
Il convient pour le responsable de traitement, avec l’appui du délégué à la protection des données, le cas échéant, de procéder à une analyse et à une réflexion préalables à toute décision d’organiser un examen à distance impliquant une télésurveillance, en tenant compte des risques réels de fraude et des conséquences de celle-ci, afin d’éviter de recourir à des outils excessivement intrusifs au regard de l’enjeu et des risques.
En tout état de cause, et comme rappelé ci-avant, l’accès de l’étudiant à ses données collectées dans le cadre de la télésurveillance doit toujours être garanti.
Par ailleurs, les responsables de traitement, ainsi que leurs éventuels sous-traitants, ne devraient pas utiliser les données pour une finalité autre que celle pour laquelle elles ont été collectées initialement.
Le recours à l’évaluation à distance nécessitant la mise en œuvre d’une télésurveillance ne doit pas constituer une alternative de confort destinée uniquement à rendre moins contraignante ou moins coûteuse pour l’établissement l’organisation de la validation des compétences des candidats. Le déroulement des épreuves dans un local soumis à une surveillance humaine demeure souvent la façon la plus appropriée de garantir l’absence de fraude lors d’un examen.
Lorsqu’il est pertinent, le passage de certaines épreuves à distance devrait être une faculté offerte aux étudiants et non une obligation. Ainsi, lorsqu’un établissement décide de recourir au passage d’un examen à distance avec télésurveillance, la Commission recommande qu’une alternative en présentiel soit systématiquement proposée aux candidats. L’organisation de deux modalités de passage de l’examen doit se faire en respectant l’égalité de traitement entre les candidats.
L’absence d’alternative en présentiel devrait être réservée à des cas spécifiques. Cela peut notamment être admis pendant une crise sanitaire. Par ailleurs, il existe des établissements ayant fait du distanciel l’essence même de leur organisation, qu’il s’agisse de l’enseignement des matières ou du passage d’examen. Dès lors, une même appréciation ne saurait s’appliquer uniformément à toutes les formations, et celles dont l’organisation est fondée exclusivement sur l’offre de cours et l’organisation d’examens à distance devraient pouvoir maintenir ce modèle de fonctionnement. Les modalités d’examen, et notamment de télésurveillance, devraient alors être connues des étudiants au moment de leur inscription à la formation. L’information sur les modalités d’examen pourra notamment être faite au moment où l’étudiant se renseigne sur la formation.
Enfin, la Commission estime que le recours à des outils de surveillance d’examens à distance n’a pas vocation à être plus efficace qu’une surveillance d’examens en présentiel, ni même à garantir un niveau de surveillance équivalent.
Article 2
Sur la base légale
Les bases légales appropriées permettant de fonder les traitements de données impliqués dans la télésurveillance d’examens à distance doivent être déterminées dans les conditions prévues à l’article 6 du RGPD.
Les établissements d’enseignement supérieur qui poursuivent une mission d’intérêt public, peuvent se fonder sur l’exécution d’une mission d’intérêt public au sens du e) du 1. d l’article 6 du RGPD.
Par ailleurs, en cas d’absence de dispositions légales permettant de recourir au e) du 1. de l’article 6 du RGPD, les établissements ont la possibilité de fonder les traitements de télésurveillance d’examen sur le contrat, au sens du b) du 1. de l’article 6 du RGPD, à condition que les modalités d’examen soient fixées dans celui-ci, et donc connues de l’étudiant avant son inscription.
Les autres bases légales apparaissent moins appropriées pour l’organisation d’examen. Le consentement nécessite qu’une alternative en présentiel soit proposée au candidat, sans conséquence négative pour lui s’il la choisit. En outre, le consentement doit pouvoir être retiré, ce qui implique que le candidat puisse modifier son choix. De même, l’intérêt légitime implique la possibilité de s’opposer au traitement, ce qui apparaît difficile à gérer dans le cadre de l’organisation d’un examen.
Article 3
Sur l’application de l’article 82 de la loi "Informatique et Libertés"
L’article 82 de la loi "Informatique et Libertés" impose, pour les opérations de lecture/écriture sur l’équipement terminal de l’utilisateur d’un service via un réseau de télécommunications ouvert au public, de recueillir le consentement de l’utilisateur, sauf "si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :
soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur".
Comme énoncé dans la FAQ "Cookies et autres traceurs", les dispositifs mis en œuvre sur des réseaux inaccessibles au public, comme des intranets ou des extranets reposant sur un réseau privé virtuel (VPN), ne sont a priori pas soumis à cet article.
Les responsables de traitement devront analyser si les solutions techniques envisagées pour l’organisation d’examens à distance relèvent de cet article.
En l’espèce, le recueil d’un consentement au sens du RGPD au début de l’examen semble difficilement compatible avec le passage de l’examen, qui ne peut se tenir sans surveillance. Dans le cas où l’article 82 est applicable, le candidat doit être informé de ce que la connexion à la plateforme d’examen en ligne peut nécessiter certaines formes de télésurveillance, conformément à l’article D. 611-12 du code de l’éducation. Les modalités de télésurveillance utilisées et la nature des données collectées devraient être rappelées avant la connexion à la plateforme.
Dans ces conditions, il pourra être considéré que les opérations de lecture et d’écriture dans le terminal du candidat qui demande à accéder au service de communication en ligne permettant de passer l’épreuve à distance, sont strictement nécessaires à sa fourniture.
Article 4
Sur la proportionnalité des technologies utilisées pour prévenir les fraudes à l’examen
Observations générales applicables à tous les dispositifs
Les établissements d’enseignement supérieur doivent procéder à une analyse préalable de la proportionnalité des dispositifs envisagés, en associant si possible les responsables pédagogiques, les représentants des étudiants et, le cas échéant, le délégué à la protection des données. Cette analyse devrait tenir compte notamment compte de la nature, de la durée, et de l’importance des examens concernés. Un test des dispositifs envisagés devrait être effectué en amont de l’examen sur un panel représentatif du matériel utilisé par les candidats aux épreuves.
Au regard du caractère intrusif des dispositifs de télésurveillance, le responsable du traitement devra réaliser, conjointement avec son délégué à la protection des données, et avant la mise en œuvre du traitement, une analyse d’impact relative à la protection des données (AIPD), à moins que le dispositif utilisé n’engendre pas de risques élevés pour les droits et libertés des étudiants.
Sur l’analyse de la proportionnalité des dispositifs de télésurveillance