August 25, 2020
|
5
min read
Votre plateforme de surveillance d'examens en ligne est-elle conforme à la PIPA ? Ce que les organisations de la Colombie-Britannique doivent savoir
La loi sur la protection des renseignements personnels (PIPA) de la Colombie-Britannique impose des obligations spécifiques aux organisations qui recueillent des renseignements personnels auprès des candidats, et les plateformes de surveillance en ligne entrent directement dans son champ d'application. Ce guide détaille les exigences de la PIPA en matière de collecte, d'utilisation, de divulgation et de conservation des données, et explique comment Integrity Advocate est conçu pour répondre à chaque obligation, de la minimisation des données et du consentement éclairé à la révision humaine et à la transparence proactive envers les candidats.
Si votre organisation exerce ses activités en Colombie-Britannique et utilise la surveillance en ligne, la loi sur la protection des renseignements personnels (PIPA) s'applique à vous. La PIPA est la loi provinciale sur la protection de la vie privée dans le secteur privé de la Colombie-Britannique ; elle régit la manière dont les organisations recueillent, utilisent, divulguent et conservent les renseignements personnels, y compris les données d'identité et comportementales que les plateformes de surveillance collectent auprès de chaque candidat.
Contrairement à la LPRPDE fédérale, qui s'applique à la majeure partie du Canada, la PIPA est une législation spécifique à la Colombie-Britannique, dotée de ses propres exigences et de son propre Commissaire à l'information et à la protection de la vie privée (OIPC) chargé de son application. Les organisations opérant en Colombie-Britannique ne peuvent supposer que la conformité à la LPRPDE couvre leurs obligations au titre de la PIPA. Bien que les deux cadres soient substantiellement similaires, ils ne sont pas identiques.
Ce guide explique les exigences de la PIPA, son application à la surveillance en ligne et la manière dont Integrity Advocate est conçu pour soutenir vos obligations de conformité.
Qu'est-ce que la PIPA et à qui s'applique-t-elle ?
La loi sur la protection des renseignements personnels (PIPA) est entrée en vigueur en Colombie-Britannique le 1er janvier 2004. Elle s'applique aux organisations du secteur privé opérant en Colombie-Britannique qui recueillent, utilisent ou divulguent des renseignements personnels dans le cadre de leurs activités.
Pour les organisations utilisant la surveillance en ligne, la PIPA s'applique à tout renseignement personnel recueilli auprès de candidats basés en Colombie-Britannique, notamment :
- Nom et données de vérification d'identité
- Images faciales et confirmation biométrique
- Enregistrements de sessions et données de suivi comportemental
- Activité de l'appareil et du navigateur pendant une évaluation
La loi impose des obligations claires tant à l'organisation qui déploie la plateforme de surveillance qu'à la plateforme elle-même. Choisir un fournisseur qui n'a pas été conçu dans le respect de la PIPA expose votre organisation à des risques de non-conformité.
Ce que la PIPA exige
La PIPA s'articule autour de quatre obligations fondamentales qui reflètent l'intention de la loi fédérale sur la protection de la vie privée tout en établissant des normes spécifiques à la Colombie-Britannique.
1. Collecte de renseignements personnels
Les organisations ne peuvent recueillir que les renseignements personnels qu'une personne raisonnable jugerait appropriés dans les circonstances. La collecte doit être limitée à ce qui est nécessaire aux fins identifiées, et les individus doivent être informés de la nature et de la finalité de la collecte avant que celle-ci ne commence.
Integrity Advocate ne recueille que les données nécessaires pour vérifier l'identité et surveiller les sessions d'évaluation. Les candidats sont informés des données collectées et de leur finalité avant le début de leur session, et le consentement est obtenu en tant qu'étape documentée du processus d'intégration.
2. Utilisation de renseignements personnels
Les renseignements personnels ne peuvent être utilisés qu'aux fins pour lesquelles ils ont été recueillis, ou à des fins directement liées auxquelles l'individu pourrait raisonnablement s'attendre.
Integrity Advocate utilise les données de session exclusivement aux fins de l'intégrité des évaluations. Les données ne sont ni réutilisées, ni analysées à des fins secondaires, ni partagées au-delà de ce qui est nécessaire pour justifier une constatation spécifique. Lorsqu'une session est signalée, seules les informations minimales requises pour documenter le problème sont partagées avec l'organisation.
3. Divulgation de renseignements personnels
Les organisations ne peuvent divulguer des renseignements personnels qu'avec le consentement de l'individu ou dans des circonstances spécifiques définies par la PIPA. La divulgation à des tiers exige le même niveau de diligence que la collecte initiale.
Integrity Advocate ne vend, ne loue ni ne transfère de données personnelles à des tiers à des fins commerciales. Les données de session sont partagées uniquement avec l'organisation ayant déployé l'évaluation, et uniquement dans la mesure requise pour l'examen des sessions signalées.
4. Conservation et élimination des renseignements personnels
Les renseignements personnels ne doivent pas être conservés plus longtemps que nécessaire pour atteindre les fins pour lesquelles ils ont été recueillis. Les organisations doivent établir un calendrier de conservation et éliminer les renseignements personnels de manière sécurisée.
Integrity Advocate supprime les données d'identité sensibles, y compris les images faciales et les pièces d'identité délivrées par le gouvernement, dans les 24 heures suivant la fin d'une session, sauf si leur conservation est requise pour un litige en cours. Les calendriers de conservation sont définis et documentés, et l'élimination est effectuée de manière sécurisée.
Exactitude et importance de la révision humaine
La PIPA exige que les renseignements personnels utilisés pour prendre des décisions concernant des individus soient aussi exacts et complets que possible. Pour la surveillance d'examens en ligne, ce principe a des conséquences directes sur la manière dont les signalements de session sont traités.
Les systèmes de surveillance entièrement automatisés génèrent des signalements basés sur la détection de modèles algorithmiques. Si ce signalement est inexact, la décision prise sur cette base l'est également, exposant l'organisation à une contestation liée à l'exactitude selon la PIPA ainsi qu'à une plainte pour iniquité de la part du candidat.
Integrity Advocate résout ce problème grâce à une révision humaine. Chaque session signalée est évaluée par un réviseur formé avant qu'un résultat ne soit enregistré. Cela signifie que les informations sur lesquelles votre organisation s'appuie reflètent un jugement raisonné, et non un signal automatisé, ce qui est bien plus susceptible de répondre aux normes d'exactitude de la PIPA en cas de contestation.
Mesures de sécurité
La PIPA exige que les organisations protègent les renseignements personnels en utilisant des mesures de sécurité adaptées à la sensibilité des données. Pour les données biométriques et d'identité, ce seuil est élevé.
Integrity Advocate utilise un chiffrement 256 bits en transit et au repos, stocke les données sur l'infrastructure AWS à Montréal par défaut, et n'a subi aucune violation de données en plus de 12 ans d'activité. La plateforme détient la certification SOC 2, fournissant une vérification indépendante des contrôles de sécurité.
Droits des individus en vertu de la PIPA
La PIPA donne aux résidents de la Colombie-Britannique le droit d'accéder à leurs renseignements personnels et de demander des corrections lorsque ces informations sont inexactes ou incomplètes. Les organisations doivent répondre aux demandes d'accès dans un délai de 30 jours ouvrables.
Integrity Advocate traite cette question de manière proactive en informant les candidats par courriel après chaque session terminée et révisée. La notification détaille les informations conservées et les conclusions tirées, ce qui réduit la probabilité de demandes d'accès formelles et crée un registre transparent qui soutient à la fois les droits individuels et la responsabilité organisationnelle.
L'OIPC et l'application de la loi
Le Commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique supervise la conformité à la PIPA et a le pouvoir d'enquêter sur les plaintes, de mener des audits et d'ordonner aux organisations de prendre des mesures correctives. L'OIPC a été actif dans les secteurs de la technologie et de l'éducation et a rendu des conclusions à l'encontre d'organisations qui n'ont pas respecté les normes de la PIPA en matière de consentement, de limitation de la collecte et de sécurité des données.
Les organisations utilisant des plateformes de surveillance non conformes s'exposent à des risques réels. La responsabilité ne repose pas uniquement sur le fournisseur. Si votre plateforme recueille plus de données que nécessaire, omet d'obtenir un consentement explicite ou conserve des données au-delà de leur finalité, votre organisation est tenue responsable.
Conçu pour la confidentialité dans toutes les juridictions
Integrity Advocate est conçu pour assurer la conformité simultanée avec plusieurs cadres de confidentialité. Que votre organisation opère sous la PIPA en Colombie-Britannique, la LPRPDE au niveau fédéral, le RGPD pour les apprenants internationaux ou la FERPA pour l'éducation aux États-Unis, les mêmes principes fondamentaux s'appliquent : ne recueillir que ce qui est nécessaire, utiliser les données uniquement aux fins déclarées, les protéger adéquatement et les supprimer lorsqu'elles ne sont plus utiles.
Il ne s'agit pas d'une liste de contrôle de conformité. C'est ainsi que la plateforme est construite.
Vous souhaitez voir comment Integrity Advocate prend en charge vos obligations liées à la PIPA dans la pratique ?
Réserver une démo
{{post-cta}}
Continuer la lecture
Votre plateforme de surveillance en ligne est-elle conforme à la BIPA ? Ce que les organisations de l'Illinois doivent savoir
January 1, 2020
|
4
min read
La BIPA impose des normes strictes sur la manière dont les organisations doivent collecter, stocker et utiliser les données biométriques dans l'Illinois, et les plateformes de surveillance d'examens en ligne entrent directement dans son champ d'application. Ce guide détaille les exigences de la BIPA, les risques de non-conformité liés aux plateformes de surveillance, et la manière dont Integrity Advocate est conçu pour vous aider à respecter vos obligations, du consentement éclairé à la suppression des données, en passant par l'interdiction de toute utilisation commerciale des données biométriques.
Votre institution ontarienne est-elle conforme à la FIPPA ? Ce que les fournisseurs de surveillance en ligne doivent savoir
February 9, 2021
|
5
min read
Les universités, collèges, hôpitaux et organismes désignés de l'Ontario sont assujettis à la FIPPA, et tout fournisseur traitant des renseignements personnels d'apprenants doit se conformer à ses normes. Ce guide détaille les sept principes clés de la FIPPA et explique comment Integrity Advocate respecte chacun d'eux, de la limitation de la collecte à la suppression automatisée des données, en passant par l'information proactive des apprenants et une révision humaine qui restreint les données partagées avec les établissements.
Peut-on se fier aux déclarations de conformité au RGPD des entreprises de surveillance d'examens ?
September 20, 2023
|
3
min read
De nombreuses entreprises de surveillance d'examens se prétendent conformes au RGPD, mais ces affirmations sont largement autodéclarées et reposent sur des cadres juridiques déjà contestés. Le bouclier de protection des données UE-États-Unis a été invalidé en 2020, et son remplaçant repose sur une auto-certification qui ne résout pas le conflit fondamental entre le Patriot Act américain et l'interdiction du RGPD concernant la divulgation de données sans consentement. Cet article examine pourquoi le stockage de données aux États-Unis crée un problème structurel au regard du RGPD, ce qu'implique réellement l'auto-certification DPF, et pourquoi l'infrastructure canadienne et l'architecture « Privacy by Design » d'Integrity Advocate représentent une approche fondamentalement différente.
Foire aux questions
Trouvez les réponses aux questions les plus fréquemment posées par nos clients.
La PIPA est la loi sur la protection des renseignements personnels de la Colombie-Britannique, une législation provinciale qui s'applique aux organisations du secteur privé exerçant leurs activités dans cette province. Bien que la PIPA et la LPRPDE soient substantiellement similaires dans leurs principes, la PIPA est une loi propre à la Colombie-Britannique, dotée de son propre Commissaire à l'information et à la protection de la vie privée pour en assurer l'application. Les organisations opérant en Colombie-Britannique ne peuvent pas présumer que la conformité à la LPRPDE satisfait automatiquement à leurs obligations en vertu de la PIPA, bien que les deux cadres soient conçus pour fonctionner de concert.
La PIPA s'applique à toute organisation du secteur privé exerçant ses activités en Colombie-Britannique qui collecte, utilise ou communique des renseignements personnels dans le cadre de ses activités. En ce qui concerne la surveillance d'examens en ligne, cela inclut toute organisation proposant des évaluations à des candidats basés en Colombie-Britannique, quel que soit le siège social de l'organisation.
En vertu de la PIPA, les renseignements personnels comprennent toute information concernant une personne identifiable. Dans le cadre de la surveillance d'examens en ligne, cela couvre les noms et les données de vérification d'identité, les images faciales utilisées pour la confirmation biométrique, les enregistrements de session, les données de suivi comportemental, ainsi que l'activité de l'appareil et du navigateur pendant une évaluation. Tout cela relève du champ d'application de la PIPA.
Les quatre obligations fondamentales de la PIPA concernent la collecte, l'utilisation, la communication, ainsi que la conservation et l'élimination des renseignements personnels. Les organisations doivent limiter la collecte à ce qui est nécessaire à une fin légitime, utiliser ces renseignements uniquement à cette fin, ne les communiquer qu'avec consentement ou dans des circonstances définies, et ne les conserver que le temps nécessaire avant de les détruire de manière sécurisée.
Le Commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique supervise la conformité à la PIPA et a le pouvoir d'enquêter sur les plaintes, de mener des audits et d'ordonner aux organisations de prendre des mesures correctives. L'OIPC a été actif dans les secteurs de la technologie et de l'éducation et a rendu des conclusions à l'encontre d'organisations qui n'ont pas respecté les normes de la PIPA en matière de consentement, de limitation de la collecte et de sécurité des données.
Integrity Advocate collecte uniquement les données nécessaires à la vérification d'identité et au suivi des sessions, obtient un consentement éclairé et actif avant tout début de collecte, limite la divulgation au strict minimum requis pour documenter des conclusions spécifiques, supprime les données d'identité sensibles dans les 24 heures suivant la fin de la session et informe proactivement chaque candidat par e-mail des éléments conservés après sa session. Ces pratiques répondent directement à chacune des quatre obligations fondamentales de la PIPA.