Votre plateforme de surveillance en ligne est-elle conforme à la BIPA ? Ce que les organisations de l'Illinois doivent savoir

Si votre organisation utilise la surveillance d'examens en ligne et exerce ses activités dans l'Illinois, ou dessert des résidents de l'Illinois, la loi sur la confidentialité des informations biométriques (Biometric Information Privacy Act - BIPA) s'applique à vous. Contrairement à la plupart des législations sur la protection de la vie privée, la BIPA est contraignante. Les particuliers peuvent poursuivre directement en justice, sans avoir à prouver un préjudice réel, et les dommages-intérêts légaux commencent à 1 000 $ par violation par négligence et à 5 000 $ par violation intentionnelle.

Il ne s'agit pas d'une simple formalité administrative. C'est un risque juridique et réputationnel que les organisations doivent traiter avant de déployer toute technologie impliquant des données biométriques.

Ce guide explique les exigences de la BIPA, son application spécifique à la surveillance d'examens en ligne, et la manière dont Integrity Advocate est conçu pour soutenir les obligations de conformité de votre organisation.

Qu'est-ce que la BIPA ?

La loi sur la confidentialité des informations biométriques (Biometric Information Privacy Act) est une loi de l'État de l'Illinois qui établit des normes sur la manière dont les entreprises doivent collecter, stocker, utiliser et divulguer les informations biométriques. Promulguée en 2008, elle demeure l'une des lois sur la confidentialité biométrique les plus strictes aux États-Unis.

La BIPA couvre toute information basée sur les identifiants biométriques d'un individu, notamment :

• Scans de la rétine et de l'iris
• Empreintes digitales
• Empreintes vocales
• Géométrie faciale et données de reconnaissance faciale
• Géométrie de la main

Pour la surveillance d'examens en ligne, la catégorie la plus pertinente est la géométrie faciale. Toute plateforme utilisant la reconnaissance faciale ou une surveillance faciale basée sur l'IA pour vérifier l'identité ou signaler un comportement collecte des données biométriques au sens de la définition de la BIPA.

Ce que la BIPA exige

La BIPA impose quatre obligations fondamentales aux organisations qui collectent des données biométriques :

1. Politique écrite et calendrier de conservation

Les organisations doivent disposer d'une politique écrite accessible au public établissant un calendrier de conservation et des directives pour la destruction permanente des données biométriques. Les données ne doivent pas être conservées au-delà de la finalité pour laquelle elles ont été collectées, ni au-delà de trois ans, selon la première de ces éventualités.

2. Consentement écrit éclairé

Avant de collecter des données biométriques, les organisations doivent informer les individus par écrit que ces données sont collectées, préciser la finalité spécifique et la durée d'utilisation, et obtenir une autorisation écrite. Le consentement ne peut être dissimulé dans des conditions générales d'utilisation.

3. Aucun avantage commercial tiré des données biométriques

Il est interdit aux organisations de vendre, louer, échanger ou tirer profit des données biométriques d'un individu. Cette règle s'applique également aux fournisseurs et aux prestataires de services.

4. Normes de sécurité des données

Les données biométriques doivent être stockées, transmises et protégées avec le même niveau de vigilance que toute autre information sensible et confidentielle, et ce, conformément aux normes de diligence raisonnable en vigueur dans le secteur de l'organisation.

Pourquoi la surveillance en ligne représente-t-elle un risque au regard de la BIPA ?

La plupart des plateformes de surveillance en ligne collectent des données biométriques dans le cadre de leurs fonctions principales. La reconnaissance faciale pour la vérification d'identité, l'analyse par IA des expressions faciales et des mouvements oculaires, ainsi que l'analyse biométrique comportementale entrent toutes dans le champ d'application de la BIPA lorsqu'elles concernent des résidents de l'Illinois.

Ce risque n'est pas hypothétique. Les tribunaux ont systématiquement statué que la BIPA s'applique largement, et les recours collectifs intentés contre des organisations utilisant des technologies biométriques sans cadres de consentement appropriés ont abouti à des règlements importants.

La question n'est pas de savoir si votre plateforme de surveillance utilise des données biométriques. C'est presque certainement le cas. La question est de savoir si elle traite ces données d'une manière qui protège votre organisation.

Comment Integrity Advocate soutient la conformité à la BIPA

Les services de vérification d'identité et de surveillance d'Integrity Advocate sont conçus en tenant compte des obligations en matière de protection de la vie privée biométrique.

Le consentement éclairé est intégré au processus. Les candidats sont informés des données collectées, de la raison de cette collecte et de la manière dont elles seront utilisées avant le début de toute session. Le consentement est obtenu en tant qu'étape documentée du processus d'intégration, et non présumé par le biais de conditions générales.

Les données ne sont ni vendues ni utilisées à des fins commerciales. Integrity Advocate ne vend, ne loue et ne réutilise pas les données biométriques ou de session à des fins secondaires. Les données collectées lors d'une session de surveillance sont utilisées exclusivement aux fins de cette évaluation.

Les données sensibles sont supprimées rapidement. Les images faciales et les données de vérification d'identité sont supprimées dans les 24 heures suivant la fin de la session, sauf si leur conservation est requise pour la résolution d'un litige spécifique. Cela permet de respecter les exigences de conservation de la BIPA.

Les normes de sécurité sont robustes. Integrity Advocate utilise un chiffrement 256 bits en transit et au repos, stocke les données sur l'infrastructure AWS à Montréal par défaut, et n'a subi aucune violation de données en plus de 12 ans d'activité.

L'examen humain remplace la dépendance excessive à l'IA faciale. Plutôt que de prendre des décisions automatisées basées uniquement sur la surveillance faciale, chaque session signalée est examinée par une personne formée avant qu'un résultat ne soit enregistré. Cela réduit le risque de conclusions inexactes et limite la mesure dans laquelle les données de géométrie faciale influencent les décisions.

La BIPA s'inscrit dans un contexte plus large de protection de la vie privée

La BIPA est l'un des nombreux cadres de protection de la vie privée que les organisations utilisant la surveillance en ligne doivent prendre en compte. Selon le lieu de résidence des candidats, le RGPD, la LPRPDE, la FERPA et d'autres législations nationales ou régionales peuvent également s'appliquer. Integrity Advocate est conçue pour fonctionner dans toutes les juridictions, grâce à une architecture axée sur la confidentialité qui permet de respecter simultanément plusieurs cadres réglementaires.

Les risques liés à une mauvaise conformité

Les litiges liés à la BIPA sont fréquents et en augmentation. Les organisations qui collectent des données biométriques sans cadre de consentement approprié, qui les conservent au-delà de la durée nécessaire ou qui travaillent avec des fournisseurs les utilisant à des fins commerciales s'exposent à des risques. Les dommages-intérêts légaux par infraction, multipliés par le nombre de candidats concernés, peuvent rapidement atteindre des sommes considérables.

Choisir un partenaire de surveillance qui prend au sérieux la confidentialité des données biométriques n'est pas seulement une question de conformité. C'est une décision stratégique de gestion des risques.

{{post-cta}}