Votre plateforme de surveillance d'examens en ligne est-elle conforme à la POPIA ? Ce que les organisations sud-africaines doivent savoir

Si votre organisation exerce ses activités en Afrique du Sud ou traite les informations personnelles de personnes concernées sud-africaines, la loi sur la protection des informations personnelles (POPIA) s'applique à vous. La POPIA est la loi complète sur la protection des données en Afrique du Sud, et depuis que l'Information Regulator a commencé à en assurer l'application le 1er juillet 2021, le non-respect de cette loi entraîne des conséquences réelles, notamment des amendes pouvant atteindre 10 millions de rands et des poursuites pénales potentielles.

Pour les organisations utilisant la surveillance d'examens en ligne, la POPIA est directement pertinente. Les plateformes de surveillance collectent des informations d'identité, des images faciales, des enregistrements de sessions et des données comportementales auprès de chaque candidat. Il s'agit d'informations personnelles au sens de la définition de la POPIA, et la manière dont elles sont collectées, utilisées, stockées et supprimées doit répondre aux exigences de la loi.

Ce guide explique les exigences de la POPIA, son application à la surveillance d'examens en ligne et la manière dont Integrity Advocate est conçu pour soutenir vos obligations de conformité.

Qu'est-ce que la POPIA et à qui s'applique-t-elle ?

La loi sur la protection des informations personnelles (POPIA) a été promulguée en 2013 et est entrée pleinement en vigueur le 1er juillet 2021. Elle régit la manière dont les organismes publics et privés traitent les informations personnelles dans le cadre de leurs activités. La POPIA s'applique à toute organisation qui traite des informations personnelles de personnes concernées sud-africaines, que l'organisation soit basée ou non en Afrique du Sud.

Pour la surveillance d'examens en ligne en particulier, la POPIA s'applique à toutes les informations personnelles collectées auprès des candidats sud-africains, notamment :

• Noms et données de vérification d'identité
• Images faciales et confirmation biométrique
• Enregistrements de sessions et données de suivi comportemental
• Activité de l'appareil et du navigateur pendant une évaluation

La loi impose une responsabilité à la fois à l'organisation qui déploie la plateforme de surveillance et à la plateforme elle-même. Si votre fournisseur ne respecte pas les normes de la POPIA, votre organisation partage les risques liés à la conformité.

Les huit conditions de la POPIA pour un traitement licite et la manière dont Integrity Advocate répond à chacune d'elles

La POPIA organise ses exigences autour de huit conditions pour le traitement licite des informations personnelles.

1. Responsabilité

La partie responsable doit s'assurer que les conditions d'un traitement licite sont respectées à tout moment.

La plateforme d'Integrity Advocate est structurée autour d'un cadre documenté de gestion de la confidentialité. Les responsabilités en matière de gouvernance des données sont clairement définies, et les clients reçoivent la documentation nécessaire pour démontrer que leur fournisseur de services de surveillance respecte les exigences de responsabilité de la POPIA.

2. Limitation du traitement

Les informations personnelles ne peuvent être traitées que de manière licite et sans porter atteinte à la vie privée de la personne concernée. La collecte doit être adéquate, pertinente et non excessive.

Integrity Advocate ne collecte que ce qui est nécessaire pour vérifier l'identité d'un apprenant et surveiller sa session d'évaluation. Si un apprenant n'est pas autorisé à accéder à d'autres onglets de navigateur pendant sa session, Integrity Advocate surveille exactement cela et rien de plus. L'historique de navigation, le contenu des fichiers sur le bureau et les listes de programmes ne sont pas collectés.

3. Spécification de la finalité

Les renseignements personnels doivent être collectés dans un but précis, explicitement défini et légal, et les personnes concernées doivent être informées de cette finalité avant toute collecte.

Integrity Advocate exige que chaque candidat examine et accepte activement une politique de confidentialité avant toute collecte de renseignements personnels. Cette politique explique quelles données sont collectées, pourquoi elles le sont, et comment elles seront utilisées et supprimées. Elle est disponible en plus de 70 langues afin de garantir un consentement réellement éclairé au sein de la population multilingue d'Afrique du Sud.

4. Limitation du traitement ultérieur

Les renseignements personnels ne peuvent être traités à des fins incompatibles avec celles pour lesquelles ils ont été initialement collectés.

Integrity Advocate utilise les données de session exclusivement aux fins de l'intégrité des évaluations. Les données ne sont jamais réutilisées à des fins publicitaires, de recherche ou pour tout autre usage commercial secondaire. Elles ne sont ni vendues, ni louées, ni transférées à des tiers pour des besoins dépassant le cadre de l'évaluation.

5. Qualité de l'information

La partie responsable doit prendre des mesures raisonnablement réalisables pour garantir que les renseignements personnels sont complets, exacts et non trompeurs.

Integrity Advocate répond à cette exigence grâce à une vérification humaine. Chaque session signalée est évaluée par un examinateur formé avant qu'une quelconque conclusion ne soit enregistrée. Cela garantit que les informations sur lesquelles votre organisation s'appuie reflètent un jugement précis et contextualisé, plutôt qu'un signalement algorithmique automatisé qui pourrait être erroné.

6. Transparence

Les personnes concernées doivent être informées de la collecte de leurs renseignements personnels, et la partie responsable doit conserver une documentation de toutes les activités de traitement.

Integrity Advocate informe chaque candidat de la collecte de données avant le début de sa session via l'étape obligatoire d'acceptation de la politique de confidentialité. Après chaque session terminée et examinée, Integrity Advocate envoie à chaque candidat un e-mail détaillant les informations conservées et les conclusions tirées. Cette transparence proactive élimine le besoin de demandes d'accès formelles et soutient les obligations de documentation de la partie responsable.

7. Mesures de sécurité

La partie responsable doit assurer l'intégrité et la confidentialité des renseignements personnels par des mesures techniques et organisationnelles appropriées.

Integrity Advocate utilise un chiffrement 256 bits pour toutes les données en transit et au repos, stocke les données sur l'infrastructure AWS à Montréal par défaut, et n'a subi aucune violation de données en plus de 12 ans d'activité. La plateforme détient la certification SOC 2, fournissant une vérification indépendante par un tiers des contrôles de sécurité. Les enregistrements de session et les images d'identité des utilisateurs conformes sont supprimés dans les 24 heures suivant la fin de la session. Les données personnelles qui n'existent plus ne peuvent être compromises.

8. Participation des personnes concernées

Les personnes concernées ont le droit de demander l'accès à leurs renseignements personnels, de demander des corrections et de s'opposer au traitement de leurs informations.

Integrity Advocate élimine de manière proactive le besoin de demandes d'accès formelles en informant chaque candidat par e-mail une fois sa session examinée. La notification détaille ce qui a été conservé et ce qui a été constaté. Lorsqu'un candidat estime que les informations sont inexactes, le processus de vérification humaine et l'enregistrement de session documenté servent de base à un processus de correction significatif.

Renseignements personnels sensibles et surveillance en ligne

La POPIA impose des restrictions supplémentaires sur le traitement des renseignements personnels sensibles, qui incluent les données biométriques, les informations de santé et les informations concernant les enfants. Les plateformes de surveillance en ligne qui utilisent la reconnaissance faciale ou la vérification biométrique pour confirmer l'identité traitent des renseignements personnels sensibles selon la définition de la POPIA.

L'approche d'Integrity Advocate en matière de données biométriques est proportionnée et limitée. Les images faciales utilisées pour la vérification d'identité sont supprimées dans les 24 heures suivant la fin de la session pour les utilisateurs conformes. Les données biométriques ne sont pas conservées au-delà de leur finalité immédiate, ne sont pas partagées avec des tiers et ne sont utilisées à aucune autre fin que la confirmation de l'identité de la personne effectuant l'évaluation.

L'Information Regulator et l'application de la loi

L'Information Regulator d'Afrique du Sud a le pouvoir d'enquêter sur les plaintes, de mener des audits, d'émettre des avis de conformité et d'imposer des sanctions. Les amendes administratives prévues par la POPIA peuvent atteindre 10 millions de rands, et certaines infractions entraînent une responsabilité pénale, y compris des peines d'emprisonnement.

Les organisations qui utilisent des plateformes de surveillance d'examens non conçues pour répondre aux exigences de la POPIA s'exposent à des risques. L'obligation de responsabilité incombe à la partie responsable, c'est-à-dire votre organisation, et non uniquement à votre fournisseur.

Conçu pour la conformité mondiale en matière de confidentialité

Integrity Advocate est conçu pour prendre en charge la conformité à plusieurs cadres de confidentialité simultanément. Que votre organisation opère sous la POPIA en Afrique du Sud, le RGPD en Europe, la LPRPDE au Canada ou la FIPPA en Ontario, la même architecture fondamentale de protection de la vie privée dès la conception s'applique : ne collecter que ce qui est nécessaire, l'utiliser uniquement aux fins déclarées, le protéger selon les normes les plus strictes et le supprimer lorsqu'il n'est plus nécessaire.

‍

{{post-cta}}