Votre plateforme de surveillance en ligne est-elle conforme au RGPD ? Ce que les organisations doivent savoir

Si votre organisation est au service d'apprenants basés dans l'Union européenne, ou si vous êtes une organisation basée dans l'UE au service de quiconque, où que ce soit, le Règlement général sur la protection des données s'applique à vous. Le RGPD ne concerne pas uniquement l'Europe. Il s'agit de l'une des lois sur la protection de la vie privée les plus vastes au monde, et les plateformes de surveillance en ligne qui collectent des données d'identité, des enregistrements de session et des informations comportementales auprès d'apprenants basés dans l'UE entrent directement dans son champ d'application.

Le non-respect de ces règles entraîne de lourdes conséquences. Les amendes prévues par le RGPD sont calculées en pourcentage du chiffre d'affaires annuel mondial, avec des sanctions maximales pouvant atteindre 4 % du chiffre d'affaires annuel ou 20 millions d'euros, le montant le plus élevé étant retenu.

Ce guide explique les exigences du RGPD, la manière dont ses sept principes clés s'appliquent à la surveillance en ligne et comment Integrity Advocate est conçu pour respecter chacun d'entre eux.

Qu'est-ce que le RGPD et à qui s'applique-t-il ?

Le Règlement général sur la protection des données est entré en vigueur le 25 mai 2018. Il est conçu pour protéger la vie privée des citoyens de l'UE et pour harmoniser les lois sur la protection des données à travers l'Europe. Le RGPD s'applique si l'organisation qui collecte ou traite les données est basée dans l'UE, ou si la personne concernée, c'est-à-dire l'individu, est basée dans l'UE. Cela s'applique à toutes les organisations, quel que soit leur siège social.

Selon leCommission européenne, les données personnelles sont toute information relative à une personne physique, qu'elle concerne sa vie privée, professionnelle ou publique. Pour la surveillance en ligne, cela inclut les noms, adresses e-mail, images faciales, pièces d'identité officielles, enregistrements de session, adresses IP et données de suivi comportemental. Tout cela relève de la définition du RGPD et doit être traité en conséquence.

Pourquoi le RGPD est-il particulièrement important pour la surveillance en ligne ?

Le RGPD exerce une pression particulière sur les services de surveillance en raison de la sensibilité des données collectées et du déséquilibre de pouvoir entre la plateforme et le candidat. Les apprenants sont tenus de se soumettre à la surveillance pour accéder à leur évaluation. Ils ne peuvent pas négocier les conditions ni choisir un autre prestataire. Cela rend l'obligation pour la plateforme de surveillance de traiter leurs données de manière responsable d'autant plus significative.

Le RGPD exige une protection des données dès la conception, ce qui signifie que les protections de la vie privée doivent être intégrées au produit dès le départ, et non ajoutées sous forme de politique après une plainte. Il redéfinit également le consentement, exigeant qu'il soit librement donné, spécifique, éclairé et sans équivoque. Pour les plateformes de surveillance, cela signifie que l'acceptation générique des conditions générales ne constitue pas un consentement valide au sens du RGPD pour la collecte de données biométriques et de session.

Toute violation de données doit être signalée à l'autorité de contrôle compétente dans les 72 heures et aux personnes concernées si la violation concerne des données d'identité ou financières.

Les sept principes clés du RGPD et la manière dont Integrity Advocate respecte chacun d'entre eux

L'article 5 du RGPD définit sept principes clés pour le traitement licite des données personnelles.

1. Licéité, loyauté et transparence (Article 5(1)(a))

Les données personnelles doivent être traitées de manière licite, loyale et transparente.

Integrity Advocate a fait de la protection de la vie privée des apprenants l'objectif fondamental de sa plateforme. Chaque utilisateur est informé des données collectées, de ce qui peut être partagé et de ce qui sera supprimé, avant même que la collecte ne commence. Cette transparence s'applique aussi bien aux établissements qu'aux apprenants qu'ils servent.

2. Limitation des finalités (Article 5(1)(b))

Les données personnelles doivent être collectées à des fins déterminées, explicites et légitimes, et ne pas être traitées d'une manière incompatible avec ces finalités.

Integrity Advocate limite le traitement des informations des apprenants à sa finalité déclarée : vérifier l'identité et confirmer la participation aux règles établies par l'organisation cliente. Elle agit en tant qu'intermédiaire entre l'institution et les données personnelles de l'apprenant, protégeant ces dernières contre toute redistribution allant au-delà de ce qui est nécessaire pour justifier une infraction documentée aux règles.

3. Minimisation des données (Article 5(1)(c))

Les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

L'approche de minimisation des données d'Integrity Advocate élimine toute collecte inutile à chaque étape. Lorsqu'une image d'apprenant a déjà été validée, la plateforme supprime la nécessité de soumettre à nouveau une pièce d'identité lors des visites ultérieures. Les images des pièces d'identité délivrées par le gouvernement sont supprimées dans les 24 heures suivant leur soumission. L'historique de navigation, les fichiers du bureau et les inventaires de programmes ne sont pas collectés.

4. Exactitude (Article 5(1)(d))

Les données personnelles doivent être exactes et, si nécessaire, tenues à jour. Les données inexactes doivent être effacées ou rectifiées sans délai.

Integrity Advocate fournit à chaque utilisateur une copie des données conservées à son sujet, des conclusions de l'examen et des notes de l'évaluateur une fois sa session terminée. Cela permet aux apprenants de vérifier l'exactitude des informations détenues à leur sujet et des conclusions qui en ont été tirées, sans avoir à soumettre de demande formelle.

5. Limitation de la conservation (Article 5(1)(e))

Les données personnelles doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

Integrity Advocate supprime toutes les données inutiles après la fin de la session, c'est-à-dire les données qui ne sont pas requises pour documenter la participation ou pour justifier une infraction documentée aux règles. Les données limitées conservées sont supprimées après 24 mois, sauf si une exigence spécifique du client ou une obligation réglementaire impose une durée de conservation différente.

6. Intégrité et confidentialité (Article 5(1)(f))

Les données personnelles doivent être traitées de manière à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé, la perte, la destruction ou les dommages accidentels.

Integrity Advocate chiffre toutes les données des utilisateurs en transit et au repos, et effectue autant de traitements de données que possible sur l'appareil de l'utilisateur, minimisant ainsi le trafic en ligne et le volume de données transmises aux serveurs. Les données des apprenants basés au Royaume-Uni sont conservées au Royaume-Uni ou sur des serveurs canadiens, selon la préférence du client. Integrity Advocate n'a subi aucune violation de données en plus de 12 ans d'activité.

7. Responsabilité (Article 5(2))

Le responsable du traitement est tenu de démontrer sa conformité avec les six principes énoncés ci-dessus.

Integrity Advocate aide ses organisations clientes à respecter leurs obligations de responsabilité en fournissant la documentation, la piste d'audit et les pratiques de traitement des données qui démontrent la conformité au RGPD. L'architecture « Privacy by Design » de la plateforme signifie que la conformité n'est pas gérée par des réponses politiques réactives. Elle est intégrée au fonctionnement même du système.

Transferts de données hors de l'UE

Le RGPD impose des restrictions sur le transfert de données personnelles vers des pays situés en dehors de l'UE, sauf si ces pays assurent un niveau de protection adéquat. Le Canada a été reconnu par la Commission européenne comme offrant une protection adéquate au titre du RGPD, ce qui signifie que les transferts de données de l'UE vers les serveurs canadiens d'Integrity Advocate répondent par défaut aux exigences du RGPD.

Pour les organisations ayant des exigences spécifiques en matière de résidence des données, Integrity Advocate prend également en charge le stockage au sein de l'UE et dans d'autres juridictions, selon la préférence du client.

La base légale du traitement des données dans la surveillance d'examens en ligne

Le RGPD exige que chaque opération de traitement de données repose sur une base légale. Pour la surveillance d'examens en ligne, les bases les plus pertinentes sont l'intérêt légitime et l'obligation légale, bien que la base appropriée dépende du contexte spécifique et de la juridiction. Les organisations qui déploient des plateformes de surveillance doivent confirmer auprès de leur équipe juridique quelle base légale s'applique à leur programme spécifique.

Les pratiques de traitement des données d'Integrity Advocate sont conçues pour être compatibles avec la base légale sur laquelle votre organisation s'appuie, la minimisation des données et la limitation des finalités garantissant que le traitement reste dans les limites de cette base.

Conçu pour la conformité mondiale en matière de confidentialité

Le RGPD est le cadre de protection de la vie privée le plus reconnu à l'échelle internationale et définit souvent la norme suivie par d'autres juridictions. Integrity Advocate est conçu pour assurer la conformité avec le RGPD, LPRPDE,FIPPA,PIPA,POPIA,FERPA, le CCPA et le Victorian PDP Act simultanément, grâce à la même architecture de protection de la vie privée dès la conception (Privacy by Design) qui sous-tend chaque cadre.

{{post-cta}}