Télésurveillance des examens en ligne : exigences de proportionnalité et protection des données

La CNIL rappelle que l’établissement ou l’organisme qui recourt à la télésurveillance est responsable du traitement. Il doit déterminer une base légale conforme à l’article 6 du RGPD, informer les étudiants, respecter les droits des personnes, limiter les données et leur conservation, garantir leur sécurité et apprécier les transferts hors de l’Union européenne. L’article D. 611-12 du Code de l’éducation impose la vérification des moyens techniques, de l’identité et du respect des règles d’examen.

Une analyse préalable de proportionnalité et, sauf risque faible, une analyse d’impact relative à la protection des données sont requises avant la mise en œuvre. Le dispositif doit être adapté à la nature et à l’enjeu de l’épreuve, testé sur un panel représentatif et ne pas se limiter à une solution de confort. Les modalités en présentiel doivent être privilégiées ou proposées lorsque cela est possible, sans rupture d’égalité entre candidats.

La CNIL déconseille l’analyse automatique du comportement en raison des faux positifs. Une analyse automatique de l’environnement ne peut qu’alerter un surveillant : aucune décision défavorable ne peut résulter automatiquement du signalement, conformément à l’article 22 du RGPD. La vérification biométrique suppose une base juridique appropriée au titre de l’article 9 du RGPD, une vérification unique, un nombre important de candidats et une alternative humaine. Aucune base de gabarits biométriques ne doit être constituée.

⬇️Télécharger la décision version officielle

La CNIL formule des recommandations sur les examens à distance et les outils de télésurveillance, en raison des risques pour l’égalité des chances, la vie privée et les données personnelles. Elle aborde la base légale, l’information, la proportionnalité, la sécurité, la conservation et les transferts. Elle préconise des alternatives moins intrusives et encadre l’analyse automatique, la biométrie, les logiciels et les sous-traitants.

La Commission nationale de l’informatique et des libertés constate l’augmentation des examens à distance dans les établissements d’enseignement supérieur et l’utilisation croissante d’outils de télésurveillance. Elle relève les risques d’atteinte à l’égalité des chances, à la vie privée et aux données personnelles, notamment lorsque les candidats utilisent leur matériel et leur environnement privés.

Elle rappelle que l’article D. 611-12 du Code de l’éducation encadre les modalités d’examen et impose la vérification des moyens techniques, de l’identité et du respect des règles applicables. La délibération formule des recommandations concernant la base légale, l’information, la proportionnalité, la sécurité, la conservation et les transferts de données.

La CNIL préconise des alternatives en présentiel ou des modalités d’évaluation moins intrusives. Elle encadre particulièrement l’analyse automatique, la biométrie, l’installation de logiciels et l’intervention des sous-traitants.

• Déterminer une base légale appropriée au titre de l’article 6 du RGPD.
• Informer les candidats sur les modalités, les finalités et les données collectées.
• Évaluer la nécessité, l’efficacité et l’intrusivité du dispositif avant son déploiement.
• Réaliser une AIPD lorsque le traitement présente un risque élevé.
• Tester la solution sur un panel représentatif des équipements utilisés.
• Prévoir une intervention humaine avant toute décision affectant le candidat.
• Garantir une alternative lorsque le consentement ou la biométrie est utilisé.

• Tests préalables réalisés sur un panel représentatif de matériels et systèmes.
• Rapprochement documentaire effectué par un surveillant en visioconférence.
• Vérification humaine d’une alerte générée par l’analyse de l’environnement.
• Analyse d’impact relative à la protection des données.

L’établissement assume la responsabilité du traitement et doit démontrer sa conformité avant l’examen. Les étudiants doivent bénéficier d’une information effective, de garanties d’égalité et, lorsque nécessaire, d’une alternative humaine ou en présentiel.

• Définir et documenter la base légale du traitement
• Tester les équipements et prévoir des solutions de secours
• Limiter les données collectées et leur durée de conservation
• Écarter les décisions automatiques fondées sur une alerte
• Garantir une alternative pour la biométrie ou le consentement

À faire

• Associer le délégué à la protection des données en amont
• Réaliser une analyse de proportionnalité et une AIPD
• Informer précisément les étudiants avant l’inscription ou l’épreuve
• Tester la solution sur des équipements représentatifs
• Prévoir une vérification humaine et une alternative adaptée

À éviter

• Imposer une télésurveillance uniquement pour réduire les coûts
• Utiliser une analyse automatique du comportement des candidats
• Prendre une décision défavorable sur la seule base d’une alerte
• Constituer une base de gabarits biométriques
• Installer un logiciel nécessitant des privilèges excessifs

La base légale des traitements de télésurveillance d’examen

L’article 6 du RGPD doit fonder le traitement. Un établissement investissant une mission d’intérêt public peut retenir l’article 6, paragraphe 1, e). À défaut de disposition légale, le contrat peut être utilisé au titre de l’article 6, paragraphe 1, b), si les modalités d’examen y figurent avant l’inscription. Le consentement suppose une alternative en présentiel sans conséquence négative et la possibilité de retrait.

Le contrôle de proportionnalité des dispositifs de surveillance

Une analyse préalable doit apprécier la nature, la durée et l’importance de l’examen, l’efficacité réelle du dispositif et son caractère intrusif. Une AIPD est requise avant le traitement, sauf risque faible. Les dispositifs doivent être testés sur un panel représentatif. L’analyse automatique du comportement est déconseillée en raison des faux positifs ; une alerte environnementale ne peut entraîner aucune décision automatique, conformément à l’article 22 du RGPD.

La vérification biométrique de l’identité des candidats

Le traitement biométrique relève de l’article 9 du RGPD. Il suppose notamment une seule vérification, un nombre très important de candidats et une alternative humaine pour les personnes qui ne peuvent pas s’authentifier automatiquement. Une intervention humaine doit être possible et aucune base de gabarits biométriques ne doit être constituée.

Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), Article 6 du RGPD, Article 9 du RGPD, Article 22 du RGPD, Article 32 du RGPD, Loi n° 78-17 du 6 janvier 1978, Article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article D. 611-12 du Code de l’éducation