Peut-on se fier aux déclarations de conformité au RGPD des entreprises de surveillance d'examens ?

De nombreuses entreprises de surveillance d'examens en ligne se prétendent conformes au RGPD. Il convient de se demander ce que signifie réellement cette affirmation et si elle peut être vérifiée.

La réponse courte est que les déclarations de conformité au RGPD sont largement autodéclarées. Il n'existe aucun processus de vérification tiers obligatoire qu'une entreprise doit réussir avant de faire une telle déclaration. Pour les organisations choisissant un fournisseur de surveillance sur la base de sa conformité au RGPD, cela crée un manque important en matière de diligence raisonnable.

Le problème du Patriot Act américain

De nombreuses entreprises de surveillance sont enregistrées aux États-Unis ou stockent des données sous juridiction américaine. Cela crée un conflit direct avec le RGPD qu'aucune politique de confidentialité ne peut résoudre.

Les lois sur la protection des données dans toute l'UE interdisent la divulgation de données personnelles sans le consentement ou la connaissance de la personne concernée. Le Patriot Act américain donne au gouvernement américain la capacité d'exiger la divulgation de données auprès d'entreprises basées aux États-Unis ou stockant des données sur une infrastructure américaine, sans ce consentement et sans en informer l'individu.

Une entreprise de surveillance qui stocke les données des apprenants sur des serveurs américains tout en prétendant être conforme au RGPD opère sous deux obligations juridiques contradictoires. Lorsque ces obligations entrent en conflit, le droit américain prévaut pour les entreprises basées aux États-Unis. La déclaration de conformité au RGPD ne change rien à cela.

L'échec du bouclier de protection des données

De nombreuses organisations basées aux États-Unis ont tenté de résoudre ce conflit en se certifiant dans le cadre du programme du bouclier de protection des données UE-États-Unis, conçu pour fournir un mécanisme juridique aux transferts de données transatlantiques satisfaisant aux exigences du RGPD.

Le 16 juillet 2020, la plus haute juridiction européenne a invalidé le bouclier de protection des données UE-États-Unis, estimant que le mécanisme de transfert ne garantissait pas le niveau de protection requis par le droit européen. La certification que de nombreuses entreprises présentaient comme preuve de leur conformité au RGPD a été rendue invalide du jour au lendemain.

Le cadre de protection des données UE-États-Unis : un remplaçant aux faiblesses familières

Suite à la décision de 2020, les négociations entre l'UE et les États-Unis ont abouti à un nouveau cadre. Le 13 juillet 2023, le département du Commerce des États-Unis a lancé le programme du cadre de protection des données, destiné à permettre aux entreprises américaines éligibles d'auto-certifier leur participation au cadre de protection des données UE-États-Unis.

Le mécanisme d'auto-certification consiste en un court questionnaire et des frais versés à l'International Trade Administration des États-Unis, allant de 375 à 4 875 dollars américains selon le chiffre d'affaires de l'entreprise.

Les critiques ont déjà souligné que le nouveau cadre fait face aux mêmes lacunes fondamentales que son prédécesseur, le bouclier de protection des données, notamment la tension non résolue entre la loi américaine sur la surveillance et les droits à la vie privée dans l'UE. L'auto-certification via un questionnaire payant ne résout pas le conflit sous-jacent lié au Patriot Act.

Ce qu'implique réellement une conformité RGPD significative

Pour qu'une déclaration de conformité au RGPD de la part d'un fournisseur de surveillance d'examens soit substantielle et non simplement auto-déclarée, elle doit reposer sur autre chose qu'un programme de certification obtenu en remplissant un formulaire et en payant des frais.

L'indicateur le plus fiable est le lieu où les données sont réellement hébergées. Si les données des apprenants sont stockées en dehors de la juridiction américaine, sur une infrastructure non soumise aux obligations de divulgation imposées par le gouvernement américain, le conflit entre le Patriot Act et le RGPD ne se pose pas.

La conformité au RGPD d'Integrity Advocate repose sur l'architecture de protection de la vie privée dès la conception (Privacy by Design) qui sous-tend le RGPD lui-même. Toutes les données sont hébergées dans des juridictions désignées par le RGPD, hors de portée des gouvernements disposant d'une autorité de divulgation forcée des données. Integrity Advocate ne collecte que ce qui est nécessaire pour confirmer l'identité de l'apprenant et le respect des règles d'examen, la majeure partie étant automatiquement supprimée dans les 24 heures suivant la fin de la session.

Il ne s'agit pas d'une auto-certification. C'est un choix architectural.

Questions à poser à votre fournisseur de surveillance d'examens

Avant d'accepter une déclaration de conformité au RGPD comme argent comptant, les organisations devraient être en mesure de répondre aux questions suivantes :

• Où les données des apprenants sont-elles physiquement stockées et sous quelle juridiction légale ?
• Le fournisseur est-il enregistré aux États-Unis ou stocke-t-il des données sur une infrastructure américaine ?
• La déclaration de conformité au RGPD est-elle basée sur une auto-certification, un audit tiers ou une conception architecturale ?
• La conformité du fournisseur a-t-elle été examinée de manière indépendante ou est-elle auto-déclarée ?
• Qu'advient-il des données des apprenants si le fournisseur reçoit une demande de données de la part d'un gouvernement ?

Si les réponses ne sont pas clairement documentées, la déclaration de conformité au RGPD mérite un examen plus approfondi.

{{post-cta}}