Pendant les confinements dus au Covid-19, certains examens se sont passés à distance. Depuis, certaines entreprises se sont engouffrées dans la possibilité de proposer des solutions numériques de surveillance d'examens plus ou moins intrusives. La CNIL se penche sur le sujet en publiant un projet de recommandation très permissive pour les logiciels de surveillance d'examens.

Alors que des étudiants de l'Institut d'Enseignement à Distance (IED) de l'Université Paris 8 contestent l'utilisation du logiciel de surveillance d'examen TestWe, la CNIL vient de rendre public son projet (.pdf) de recommandation sur les « modalités de mise en œuvre des dispositifs de télésurveillance pour les examens en ligne », et lance une consultation publique à ce sujet. Cette dernière est ouverte jusqu'au 31 décembre prochain pour une publication de la recommandation au premier semestre 2023.

• TestWe : surveiller et punir à l'Institut d'Enseignement à Distance de Paris 8

Dans la présentation de cette consultation, la CNIL rappelle avoir déjà publié une « fiche » en mai 2020 lorsque la question de l'utilisation de ces logiciels commençait à se poser dans le cadre de la pandémie de Covid-19. Mais nous allons voir que ce projet de recommandation est plus enclin à accepter des dispositifs de surveillance intrusifs que la CNIL ne l'était en 2020.

Pour justifier ce projet de recommandation, l'autorité explique avoir « été alertée sur des pratiques et des outils particulièrement intrusifs, incluant notamment des traitements de données biométriques (vérification d’identité par reconnaissance faciale, reconnaissance vocale ou analyse de frappe), la vidéosurveillance des étudiants et de leur ordinateur en temps réel ou encore le blocage des sites web à distance », sans toutefois citer les différents cas litigieux, mais on peut supposer que l'alerte des étudiants de l'IED de Paris 8 en fait partie.

Rappel du code de l'éducation et du RGPD

Ce projet de recommandation est d'abord un rappel des différents textes qui encadrent la surveillance des examens. La validation des enseignements « sous forme numérique » est autorisée depuis 2017, notamment par le décret du 24 avril qui exige que « la validation des enseignements contrôlée par des épreuves organisées à distance sous forme numérique, doit être garantie par :

1. la vérification que le candidat dispose des moyens techniques lui permettant le passage effectif des épreuves
2. la vérification de l'identité du candidat
3. la surveillance de l'épreuve et le respect des règles applicables aux examens. »

Dans ce texte, la CNIL souligne que les outils de télésurveillance des examens ne font pas exception au RGPD et rappelle notamment son article 32 en expliquant qu'ils « doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque pour les droits et libertés des personnes ».

Discrètement contre une généralisation des examens en ligne

Dans ce projet de recommandation, la CNIL insiste sur le fait que « si le cadre juridique autorise le recours au passage d’examens à distance, il ne l’oblige ni ne l’encourage ». On peut voir cet appui comme la volonté de ne pas voir se généraliser, en temps normal, ces modalités d'examens en ligne à toutes les formations.

Elle rajoute que leur recours « ne devrait pas être motivé par le seul objectif de rendre moins contraignant pour l’établissement l’organisation de la vérification des connaissances des étudiants », qu'il « devrait être réservé à des cas particuliers pour lesquels cela est pertinent au regard de la nature de l’épreuve, de l’intérêt des étudiants, d’un contexte particulier (par exemple en cas de crise sanitaire) ou de contraintes spécifiques » et « n’a pas vocation à être plus efficace qu’une surveillance d’examens en présentiel, ni même à garantir un niveau de surveillance équivalent ».

Le projet de recommandation de la CNIL propose de prendre en compte les difficultés que peut poser un examen à distance (stress dû à la peur d'un dysfonctionnement, matériel inadapté, modalités d’examen non compatibles avec un handicap de l’étudiant, environnement inadapté) en informant les étudiants « aussi tôt que possible » des modalités de passage, mais aussi en prévoyant « des solutions alternatives tenant compte des difficultés des étudiants (passage en présentiel ou dans un centre d’examen durant la même session universitaire, prêt de matériel adapté, etc.) ».

Conseil aux établissements sur les bases légales

Mais dans ce projet de recommandation, la CNIL a quand même inséré des conseils pour les établissements d'enseignement supérieur qui voudraient mettre en place des examens à distance, en expliquant qu'ils devraient se glisser dans les conditions prévues à l’article 6 du RGPD.

Elle leur déconseille de s'appuyer sur le consentement de l'étudiant au traitement de ses données à caractère personnel car «  le consentement doit être libre – c’est-à-dire ni contraint ni influencé – et doit pouvoir être retiré à tout moment », or cette liberté est restreinte pour un étudiant ayant un examen à passer. De même, elle explique que « l’intérêt légitime ne devrait pas être retenu en tant que base légale » car celui-ci implique que les étudiants puissent s'opposer au traitement des données récoltées.

Mais le conseil juridique de la CNIL aux établissements ne s'arrête pas là puisqu'elle leur explique qu'ils devraient plutôt s'appuyer sur « l’exécution d’une mission d’intérêt public au sens de l’article 6 du RGPD ». Elle rajoute même pour les établissements privés qu'ils ont aussi « la possibilité de fonder les traitements de télésurveillance d’examen sur un contrat, au sens du b du 1. de l’article 6 du RGPD ».

De même, sur l’application de l’article 82 de la loi « Informatique et Libertés » qui impose de recueillir le consentement de l’utilisateur pour la lecture et l'écriture sur l’équipement terminal, la CNIL explique aux établissements et aux entreprises qui fournissent ce genre de système, qu'ils n'y sont pas soumis s'ils utilisent « des réseaux inaccessibles au public, comme des intranets ou des extranets reposant sur un réseau privé virtuel (VPN) ».

Des modalités de télésurveillance « en principe » proportionnées

La CNIL précise que les établissements d'enseignement supérieur doivent effectuer une analyse de proportionnalité des dispositifs de surveillance, en y associant « si possible » les responsables pédagogiques et les représentants des étudiants, leur permettant en creux de ne pas le faire.

Encore plus étonnant, l'autorité administrative précise que le recours à certaines modalités de télésurveillance est « en principe toujours proportionné ». Ces modalités étant :

• la télésurveillance vidéo et audio du candidat en temps réel pendant la durée de l’examen par les
  personnes chargées de cette télésurveillance ;
• la télésurveillance de l’activité du candidat en temps réel via un partage d’écran ;
• la prise de photographies, de captures d’écran, de flux vidéo et/ou de sons de manière ponctuelle
  (régulièrement, aléatoirement ou suite à une action de la part d’un surveillant).

Pourtant, ce projet de recommandation explique, en même temps, que « l'analyse de l’efficacité et de la proportionnalité du dispositif de télésurveillance d’examen doit se faire globalement et non mesure par mesure ».

Des analyses par IA peu fiables, mais pas prohibées

Le document se penche, par contre, sur les dispositifs d'analyse de l'environnement du candidat utilisant des systèmes d'intelligence artificielle (analyse d'ambiance sonore, détection d'objets ou de tiers non autorisés, etc.). La CNIL souligne qu'ils peuvent « générer de nombreux faux positifs pouvant léser l’étudiant et compliquer la surveillance pour le personnel ».

En conséquence, dans ce projet de recommandation, l'autorité souligne seulement que ces dispositifs ne devraient jamais conduire à une décision automatique ayant un effet sur le candidat. Si le document explique que le « caractère intrusif de ces dispositifs doit être souligné », il ne fait que déconseiller « ceux procédant à l’analyse des émotions ».

La CNIL prête à autoriser une récolte de données incidentes

Si la CNIL reconnait dans ce document que l'utilisation de caméra à 360° ou d'autres techniques d'analyse « peuvent révéler des informations sur la personne concernée ou son entourage », l'autorité administrative affirme que « la collecte fortuite de tels éléments dans le cadre de la télésurveillance d’examens ne constitue pas nécessairement, en soi, un manquement aux règles applicables en matière de protection des données », tout en précisant que les établissements ne pourront pas utiliser ces données.

Reconnaissance faciale ou vocale justifiée pour la vérification d'identité

Toujours selon ce document de projet de recommandation de la CNIL, la vérification obligatoire de l’identité du candidat en début d’examen peut justifier l'utilisation de la reconnaissance faciale ou vocale, notamment sous réserve que l’intervention humaine soit possible en cas de difficulté de l’étudiant à s’authentifier.

Ce projet de recommandation ne reconnait le caractère disproportionné de traitements de données biométriques à des fins de télésurveillance des examens que lorsque ceux-ci sont mis en place au cours de l'épreuve.

Installation de logiciels tiers

Certaines solutions de passation d'examens en ligne nécessitent l'installation de logiciels sur l'appareil des étudiants. Dans ce document, la CNIL y voit plutôt, a priori, « l’avantage de n’entrainer aucune collecte supplémentaire de données à caractère personnel ("privacy by design") » alors qu'on pourrait y voir, en première hypothèse, de potentiels problèmes de sécurité pour le matériel des étudiants.

Elle reconnait que « cependant, il ne devrait être recouru à ces dispositifs qu’après que les responsables de traitement se soient assurés qu’ils n’engendrent pas de risques de sécurité importants [...], ni un traitement inégal entre les étudiants (par exemple si le logiciel à installer n’est pas compatible avec certains ordinateurs, navigateurs ou systèmes d’exploitation) ».

Des demandes de sécurité plus classiques

Pour les questions de sécurité de mise en place de ces solutions de surveillance d'examens en ligne, le projet de recommandation est plus classique. Rapprochement auprès du délégué à la protection des données avant la mise en place du système, chiffrement des données à caractère personnel collectées à l'aide « d’algorithmes réputés forts », accès aux données restreint et journalisation de ces accès.

La CNIL insiste aussi sur le fait que les terminaux puissent être remis dans leur état initial après l'examen dans le cas d'une utilisation de logiciels installés localement. Elle demande de façon pieuse de privilégier les logiciels libres et de vérifier l'intégrité du logiciel avant son utilisation.