Sur la proportionnalité des technologies utilisées pour prévenir les fraudes à l'examen.
Observations générales applicables à tous les dispositifs :
Les établissements d'enseignement supérieur doivent procéder à une analyse préalable de la proportionnalité des dispositifs envisagés, en associant si possible les responsables pédagogiques, les représentants des étudiants et, le cas échéant, le délégué à la protection des données. Cette analyse devrait tenir compte notamment compte de la nature, de la durée, et de l'importance des examens concernés. Un test des dispositifs envisagés devrait être effectué en amont de l'examen sur un panel représentatif du matériel utilisé par les candidats aux épreuves.
Au regard du caractère intrusif des dispositifs de télésurveillance, le responsable du traitement devra réaliser, conjointement avec son délégué à la protection des données, et avant la mise en œuvre du traitement, une analyse d'impact relative à la protection des données (AIPD), à moins que le dispositif utilisé n'engendre pas de risques élevés pour les droits et libertés des étudiants.
Sur l'analyse de la proportionnalité des dispositifs de télésurveillance :
L'analyse de l'efficacité et de la proportionnalité d'un dispositif de télésurveillance d'examen doit se faire globalement et non mesure par mesure. A cet égard, un dispositif ne permettant pas de prévenir efficacement la fraude apparait par nature disproportionné. En outre, si un juste équilibre ne peut être trouvé entre efficacité de la télésurveillance et intrusivité du dispositif employé, il faudrait envisager d'organiser l'épreuve en présentiel ou de privilégier une autre forme d'examen. A cet égard, il faut souligner que le choix du type d'épreuve (composition ou QPC, questions identiques pour tous les candidats ou non, temps accordé pour répondre à chaque question, etc.) constitue l'un des éléments à mobiliser pour éviter les fraudes.
Par ailleurs, en vertu du principe de proportionnalité, le choix des outils de télésurveillance doit s'apprécier au regard du contexte et de l'enjeu de l'épreuve. A titre d'exemple, une surveillance renforcée parait appropriée pour le passage d'un concours d'entrée dans une école. En revanche, un examen présentant un enjeu faible, dans le processus de validation de la formation d'un étudiant, tel qu'un examen blanc, devrait être effectué sans télésurveillance.
Au regard de ce qui précède, les modalités suivantes semblent proportionnées pour des examens nécessitant une télésurveillance renforcée :
- la télésurveillance vidéo et audio du candidat en temps réel pendant la durée de l'examen par les personnes chargées de la télésurveillance, sans conservation des données, sauf en cas de suspicion de fraude ;
- la télésurveillance de l'activité du candidat en temps réel via un partage d'écran, sans conservation des données, sauf en cas de suspicion de fraude ;
- le contrôle de l'activité du candidat via une plateforme en ligne permettant de détecter voire de bloquer l'accès à d'autres onglets ;
- la vérification ponctuelle en début d'épreuve de l'environnement de l'étudiant via sa caméra par une personne chargée de la télésurveillance sans conservation de données, sauf en cas de suspicion de fraude ;
Sur les dispositifs de télésurveillance procédant à des analyses automatiques :
Certains dispositifs de télésurveillance proposent d'avoir recours à l'analyse automatique, soit de l'environnement du candidat (détection d'un niveau sonore anormal, de la présence d'une tierce personne dans la pièce, etc.), soit de son comportement (fréquence de frappe, direction du regard, émotions, etc.).
Ces dispositifs présentent un caractère particulièrement intrusif. Par ailleurs, il est ressorti des travaux menés par la CNIL et de la consultation qu'elle a effectuée que ceux de ces dispositifs qui cherchent à repérer des comportements du candidat s'apparentant à de la fraude présentent un risque élevé de faux positifs. Cela peut nuire au bon déroulement de l'examen et parfois troubler les étudiants, qui risquent de se focaliser sur l'adoption d'un comportement « normal » face à l'outil de télésurveillance plutôt que de se concentrer sur l'examen. Par conséquent, eu égard au principe de nécessité et de proportionnalité, la CNIL recommande de ne pas recourir à des dispositifs de télésurveillance procédant à des analyses automatiques du comportement des candidats.
En revanche, les dispositifs repérant certains événements dans l'environnement du candidat (comme l'entrée d'une tierce personne dans la pièce où il passe l'examen) apparaissent plus fiables et moins intrusifs. Au cas par cas, lorsque le nombre de candidats est important, il peut être envisagé de recourir à des dispositifs d'analyse automatique de l'environnement du candidat, à condition que ce dispositif soit suffisamment fiable. Ces dispositifs ne doivent jamais conduire à une décision automatique ayant un effet immédiat pour le candidat : leur seul rôle est d'attirer l'attention d'un surveillant sur une situation potentiellement anormale ; conformément à l'article 22 du RGPD, il est nécessaire qu'une vérification humaine ait lieu systématiquement avant toute décision ou modification des conditions d'examen du candidat afin de confirmer la suspicion de fraude.
Un établissement souhaitant recourir à ces dispositifs devrait réaliser des tests préalables afin d'en vérifier la fiabilité et documenter la nécessité de ce dispositif pour l'examen concerné.
Ainsi, à titre d'exemple, un examen ne devrait pas être interrompu, pour un candidat, en raison de la seule détection automatique d'un niveau sonore anormal. En revanche, il peut être proportionné d'alerter un surveillant qu'un niveau sonore anormal a été mesuré et de lui proposer de réécouter cet événement, notamment lorsque le nombre d'étudiants à surveiller en même temps est important.
Sur les dispositifs de télésurveillance procédant à une collecte incidente de données :
Certains dispositifs présentent un risque de collecte incidente de données à caractère personnel concernant les candidats, leurs proches ou leur environnement. Les établissements doivent informer les étudiants sur ces risques et sur les moyens d'éviter une telle collecte, en leur conseillant notamment de s'isoler, dans la mesure du possible, dans une pièce calme et neutre, de façon à ne pas porter atteinte au droit à la vie privée des autres personnes qui pourraient se trouver dans la pièce.
Sur les dispositifs de vérification de l'identité du candidat comportant un traitement de données biométriques :
Les établissements organisant des examens à distance ont l'obligation vérifier l'identité des candidats, conformément au cadre juridique portant sur l'organisation des épreuves.
La vérification de l'identité du candidat peut être opérée par un rapprochement documentaire effectué par un surveillant lors d'un entretien en visioconférence. Par ailleurs, le recours à un dispositif de vérification automatisé à distance, par comparaison d'un justificatif d'identité avec le visage du candidat peut parfois être justifié, notamment si le nombre d'étudiants est très important.
Ce dispositif conduit à traiter des données biométriques au sens de l'article 9 du RGPD et pourrait être mis en œuvre :
- soit en demandant le consentement des personnes concernées ; une alternative doit alors être disponible (il peut être proposé aux candidats de se rendre sur la session d'examen en ligne en avance afin de laisser au surveillant le temps de procéder à un rapprochement documentaire, par exemple) ;
- soit s'il est fondé sur un motif d'intérêt public important g du 2 de l'article 9 du RGPD). Il doit alors être strictement encadré par un texte et une intervention humaine doit être possible en cas de difficulté de l'étudiant à s'authentifier.
A cet égard, le recours à des traitements biométriques de vérification d'identité, dans le cadre de l'application des a et g du 2 de l'article 9 du RGPD, devrait répondre aux conditions cumulatives suivantes :
- une seule vérification d'identité est effectuée avant ou pendant l'examen ;
- l'examen concerne un nombre d'étudiants très important compte tenu de la nature de l'épreuve (par exemple, une certification obligatoire concernant tous les étudiants d'un établissement) rendant difficile la vérification individuelle par les surveillants ;
- une alternative est toujours disponible (par exemple, un rapprochement documentaire effectué par un surveillant lors d'un entretien en ligne individuel) pour les candidats ne pouvant pas ou ne parvenant pas à obtenir un contrôle automatique de leur identité ;
- dans la mesure où le consentement de l'étudiant serait recueilli au moment du déclenchement du dispositif, l'établissement devra informer en amont (par exemple, quelques semaines avant l'épreuve) des modalités précises du recueil du consentement de l'étudiant portant sur le recours à la reconnaissance faciale pour la vérification d'identité.
Ce type de dispositif ne doit, en aucun cas, conduire à la constitution de bases de données de gabarits biométriques au sein des établissements d'enseignement supérieur ou des prestataires de télésurveillance d'examens. Le recours à des prestataires spécialisés dans la vérification d'identité à distance, conformément aux recommandations de la CNIL, devrait être privilégié.
Les dispositifs comportant un traitement de données biométrique ne devraient être mis en œuvre pour d'autres fins que celles visant la vérification d'identité.
Sur la conservation des données collectées par les dispositifs de télésurveillance :
Lorsque les dispositifs envisagés pour la télésurveillance d'examens à distance conduisent à une conservation de données à caractère personnel, le responsable de traitement, le cas échéant avec son délégué à la protection des données, doit fixer, avant sa mise en œuvre, les conditions d'accès à ces données et leur durée de conservation ou les critères permettant de la définir, en fonction du type d'information enregistrée et de la finalité du traitement.
En cas de suspicion de fraude, la durée de conservation des données ne devrait pas excéder les délais légaux des procédures disciplinaire ou contentieuse qui pourraient être engagées, et qui est en principe de deux mois.
Sur les dispositifs nécessitant l'installation de logiciels dédiés au passage d'examen à distance :
Certains dispositifs de télésurveillance nécessitent l'installation sur le terminal des candidats d'un logiciel dédié ou d'une extension de navigateur. De tels dispositifs, par exemple un logiciel empêchant l'ouverture de toute application ou de toute page internet en dehors de ce qui est strictement nécessaire au passage de l'examen, peuvent avoir l'avantage de n'entraîner aucune collecte supplémentaire de données à caractère personnel (« privacy by design »). Cependant, le responsable de traitement devrait s'assurer que ces dispositifs n'engendrent pas un traitement inégal entre les étudiants (par exemple si le logiciel à installer n'est pas compatible avec certains ordinateurs, navigateurs ou systèmes d'exploitation). Il est également impératif que soit garantie l'absence de réutilisation des données par l'éditeur du logiciel.