Votre plateforme de surveillance d'examens en ligne est-elle conforme à la loi PDP du Victoria ? Ce que les organisations australiennes doivent savoir

Si votre organisation est un organisme du secteur public victorien, ou travaille avec l'un d'entre eux, la loi de 2014 sur la protection de la vie privée et des données (PDP Act) régit la manière dont les informations personnelles doivent être traitées. Pour les plateformes de surveillance d'examens en ligne qui collectent des données d'identité, des enregistrements de sessions et des informations comportementales sur les apprenants, la conformité à la loi PDP n'est pas facultative. C'est une condition sine qua non pour opérer au sein de l'écosystème du secteur public de Victoria.

Les 10 principes de protection des informations personnelles de la loi PDP établissent la norme minimale pour la gestion des informations personnelles par les organisations du secteur public victorien. Ce guide détaille chaque principe et explique comment Integrity Advocate s'y conforme.

Qu'est-ce que la loi PDP et à qui s'applique-t-elle ?

La loi de 2014 sur la protection de la vie privée et des données est la principale législation de l'État de Victoria en matière de protection de la vie privée pour le secteur public. L'annexe 1 de la loi contient les principes de protection des informations personnelles, qui définissent les normes minimales concernant la manière dont les organisations du secteur public victorien collectent, utilisent, divulguent, stockent et gèrent les informations personnelles.

La loi PDP s'applique aux ministères, agences, autorités statutaires et autres organismes du secteur public de Victoria. Lorsqu'une organisation du secteur public victorien utilise une plateforme de surveillance d'examens en ligne, le fournisseur traitant les données des apprenants devient responsable du respect des normes de la loi PDP. Choisir un fournisseur qui ne répond pas à ces normes crée un risque de non-conformité pour votre organisation.

Les 10 principes de protection des informations personnelles et la manière dont Integrity Advocate se conforme à chacun d'eux

1. Collecte

Les organisations ne peuvent collecter des informations personnelles que si cela est nécessaire à l'exercice de l'une ou plusieurs de leurs fonctions. La collecte doit être effectuée par des moyens licites et loyaux, sans intrusion déraisonnable, et les individus doivent être informés de la collecte par le biais d'un avis de collecte conforme à la politique de confidentialité de l'organisation.

Integrity Advocate ne collecte que les données nécessaires pour vérifier l'identité d'un apprenant et confirmer sa participation à une session d'évaluation. Les options de minimisation des données éliminent le besoin de soumettre à nouveau une pièce d'identité lorsqu'une image de l'apprenant a déjà été validée. Les images des pièces d'identité délivrées par le gouvernement sont supprimées dans les 24 heures suivant leur soumission, lorsqu'elles sont utilisées.

2. Utilisation et divulgation

Les informations personnelles ne peuvent être utilisées et divulguées que pour la finalité principale pour laquelle elles ont été collectées, ou pour une finalité secondaire raisonnablement attendue. La divulgation est également autorisée dans des circonstances limitées, telles que le consentement de l'individu ou à des fins d'application de la loi.

Integrity Advocate limite le traitement des informations des apprenants à sa finalité déclarée : vérifier l'identité et confirmer la participation. L'entreprise agit en tant qu'intermédiaire entre l'organisation et les données personnelles de l'apprenant, protégeant contre la redistribution d'informations personnelles lorsqu'elle n'est pas nécessaire pour justifier une violation documentée des règles.

3. Qualité des données

Les organisations doivent conserver les informations personnelles exactes, complètes et à jour, en vérifiant leur exactitude au moment de la collecte et en les contrôlant périodiquement pendant leur utilisation.

Integrity Advocate fournit à chaque utilisateur une copie de ses données conservées, des conclusions de l'examen et des notes de l'examinateur une fois la session terminée. Cela permet aux apprenants de vérifier l'exactitude des informations détenues à leur sujet et des conclusions qui en ont été tirées.

4. Sécurité des données

Les organisations doivent protéger les informations personnelles contre toute utilisation abusive, perte, accès non autorisé, modification ou divulgation, et doivent prendre des mesures raisonnables pour détruire ou rendre définitivement anonymes les informations personnelles lorsqu'elles ne sont plus nécessaires.

Integrity Advocate crypte toutes les données des utilisateurs en transit et au repos, et effectue autant de traitement de données que possible sur l'appareil de l'utilisateur, minimisant ainsi la transmission de données en ligne. Les données inutiles sont supprimées rapidement après la fin de la session. Toute donnée conservée au-delà de la session immédiate est supprimée après 24 mois, sauf si une exigence spécifique du client ou une obligation réglementaire impose une durée de conservation différente.

5. Transparence

Les organisations doivent disposer de politiques clairement exprimées sur la manière dont elles gèrent les informations personnelles, et les individus doivent pouvoir demander à consulter ces politiques.

Integrity Advocate exige un consentement éclairé de chaque utilisateur avant toute collecte d'informations personnelles. La politique de confidentialité explique pourquoi ces informations sont demandées, comment elles seront utilisées et comment elles seront détruites. Elle est disponible dans plus de 70 langues afin de garantir un consentement réellement éclairé auprès de populations d'apprenants diverses.

6. Accès et correction

Les individus ont le droit de demander l'accès à leurs propres informations personnelles et d'en demander la correction si nécessaire. Les organisations ne peuvent refuser que dans des circonstances limitées définies par la loi PDP.

Integrity Advocate offre des capacités d'accès complètes aux administrateurs et utilisateurs autorisés via son API sécurisée et ses intégrations LMS. Les utilisateurs peuvent consulter toutes les données conservées à leur sujet immédiatement après le traitement initial, ainsi que les conclusions de ce traitement, sans avoir à soumettre une demande d'accès formelle.

7. Identifiants uniques

L'utilisation d'identifiants uniques n'est autorisée que lorsqu'une organisation peut démontrer qu'elle est nécessaire pour mener à bien ses fonctions de manière efficace. Il existe également des restrictions concernant l'adoption d'identifiants uniques attribués par d'autres organisations.

Integrity Advocate utilise des identifiants uniques spécifiquement pour séparer de manière fiable les données des apprenants et pour minimiser la transmission d'informations personnellement identifiables. Les identifiants ne sont pas utilisés au-delà de cet objectif opérationnel.

8. Anonymat

Lorsque cela est légal et réalisable, les individus devraient avoir la possibilité d'effectuer des transactions avec une organisation sans avoir à s'identifier.

La vérification de l'identité est une fonction essentielle de la surveillance en ligne et l'anonymat n'est donc pas réalisable au moment de l'utilisation. Cependant, une fois que les informations collectées ne sont plus nécessaires aux fins prévues, toutes les données sont soit supprimées, soit anonymisées. Le système est conçu pour minimiser la période pendant laquelle des informations identifiables sont conservées.

9. Flux de données transfrontaliers

Si des informations personnelles quittent le Victoria, la protection de la vie privée doit les accompagner. Les organisations ne peuvent transférer des informations personnelles en dehors du Victoria que si l'individu y consent ou si le destinataire est soumis à une loi substantiellement similaire aux IPP du Victoria.

Les serveurs par défaut d'Integrity Advocate sont situés au Canada, une juridiction reconnue pour ses lois strictes sur la protection de la vie privée et ses protections substantiellement équivalentes. Le stockage dans de nombreuses autres juridictions est également possible et déterminé en fonction des préférences du client et des exigences juridictionnelles.

10. Informations sensibles

La loi PDP impose des restrictions particulières sur la collecte d'informations sensibles, notamment l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses, l'appartenance syndicale, les préférences sexuelles et le casier judiciaire. Les organisations ne peuvent collecter des informations sensibles que dans des circonstances définies.

Integrity Advocate ne demande, ne collecte, ne conserve ni ne transmet d'informations sensibles telles que définies par la loi PDP dans le cadre de ses services.

Pourquoi l'examen humain est important pour la conformité à la loi PDP

Le principe de qualité des données exige que les informations personnelles utilisées pour prendre des décisions concernant des individus soient exactes et complètes. Pour la surveillance en ligne, cette exigence a des implications directes sur la manière dont les alertes de session sont traitées.

Les systèmes de surveillance automatisés génèrent des alertes basées sur la détection algorithmique de modèles. Si une alerte automatisée est inexacte, la décision prise sur cette base est inexacte, et l'organisation s'expose à un problème de qualité des données au titre de la loi PDP. Integrity Advocate résout ce problème grâce à l'examen humain. Chaque session signalée est évaluée par un examinateur formé avant qu'un résultat ne soit enregistré, garantissant que les informations sur lesquelles votre organisation s'appuie sont exactes et défendables.

Conçu pour les organisations australiennes

La loi PDP est l'un des nombreux cadres de confidentialité applicables aux organisations australiennes utilisant la surveillance d'examens en ligne. Selon la nature de votre programme et le lieu de résidence de vos apprenants, la loi australienne sur la protection de la vie privée de 1988 (Privacy Act 1988), le RGPD pour les apprenants internationaux et d'autres législations au niveau des États peuvent également s'appliquer. Integrity Advocate est conçu pour assurer la conformité à plusieurs cadres simultanément.

{{post-cta}}