Surveillance d'examens en ligne et conformité au RGPD et à la LPRPDE : ce que votre prestataire doit être en mesure de prouver

Lorsqu'un résultat d'examen est contesté – et cela finira par arriver – la première question n'est pas de savoir si votre fournisseur de surveillance était conforme. C'est de savoir si vous pouvez le prouver.

En vertu du RGPD et de la LPRPDE, la responsabilité concernant la collecte, le stockage et l'utilisation des données personnelles incombe à l'organisation qui gère l'évaluation, et non au fournisseur du logiciel. Les régulateurs et les tribunaux sont constants sur ce point : le fournisseur est le sous-traitant, mais l'organisation qui déploie ce fournisseur est le responsable du traitement, et c'est ce dernier qui est comptable. Cette distinction est bien plus importante que ce que suggèrent la plupart des listes de contrôle d'achat.

Cela signifie que votre fournisseur de surveillance n'est pas qu'une simple liste de fonctionnalités. Il fait partie intégrante de votre stratégie de conformité. Avant de signer, vous devez savoir exactement ce qu'ils sont en mesure de documenter, et pas seulement ce qu'ils prétendent.

Ce que le RGPD exige réellement d'un fournisseur de surveillance

Le RGPD s'applique à toute organisation traitant des données appartenant à des résidents de l'UE, quel que soit le siège social de cette organisation. Pour les évaluations en ligne en particulier, sept principes s'appliquent directement :

• Licéité, loyauté et transparence dans la manière dont les données sont collectées et utilisées
• Limitation des finalités, ce qui signifie que les données collectées pour la vérification d'identité ne peuvent pas être réutilisées discrètement à d'autres fins
• Minimisation des données, en ne collectant que ce qui est strictement nécessaire
• Exactitude des données conservées
• Limitation de la conservation, avec des délais de suppression clairs
• Intégrité et confidentialité, ce qui implique de véritables mesures de sécurité, et non de simples déclarations de principe
• Responsabilité, ce qui signifie que l'organisation doit être en mesure de démontrer sa conformité sur demande, et non simplement de l'affirmer

Le RGPD ajoute deux exigences supplémentaires à ces sept principes, et toutes deux méritent une attention particulière. La première est la « protection des données dès la conception » (privacy by design), une obligation distincte en vertu de l'article 25 qui exige que la protection des données soit intégrée au produit dès le départ, et non ajoutée ultérieurement sous forme de mise à jour de politique. La seconde est le consentement : il doit être libre, spécifique, éclairé et sans équivoque. Une case à cocher dissimulée dans les conditions d'utilisation ne répond pas à ces critères.

Ce que la LPRPDE exige

La LPRPDE demeure la loi fédérale canadienne régissant la protection des renseignements personnels pour les organisations du secteur privé. Ses 10 principes équitables de traitement de l'information, énoncés à l'annexe 1, couvrent la responsabilité, la détermination des fins de la collecte, le consentement, la limitation de la collecte, la limitation de l'utilisation, de la communication et de la conservation, la conservation, l'exactitude, les mesures de sécurité, la transparence et l'accès aux renseignements personnels. Pour la surveillance des examens en particulier, trois principes ont le plus de poids :

Limitation de la collecte. Le fournisseur ne devrait recueillir que ce qui est nécessaire pour vérifier l'identité et confirmer la participation, rien de plus.

Conservation et élimination. Les renseignements personnels ne devraient pas être conservés plus longtemps que nécessaire pour atteindre leur objectif initial. Si votre fournisseur est incapable de vous dire précisément quand les données biométriques ou d'identité sont supprimées, il y a une lacune.

Mesures de sécurité. La protection doit être proportionnelle à la sensibilité des données. Les pièces d'identité gouvernementales et les données biométriques figurent parmi les catégories les plus sensibles qu'un fournisseur puisse traiter.

Cinq questions à poser avant de signer

La plupart des évaluations de fournisseurs s'arrêtent à la question : « Êtes-vous conforme au RGPD ? ». Cela n'est pas assez précis pour protéger votre organisation. Posez plutôt ces questions :

1. Que collectez-vous exactement, et pouvez-vous me montrer la liste complète ? Pas une description par catégorie. Les champs littéraux.
2. Quand les données biométriques et d'identité sont-elles supprimées, et est-ce automatique ou dépend-ce de l'intervention manuelle d'une personne ?
3. Où nos données sont-elles stockées et pouvons-nous choisir la juridiction ?
4. Que se passe-t-il lorsqu'un apprenant demande quelles données vous détenez à son sujet ? Existe-t-il une procédure documentée ou cela dépend-il de l'escalade d'un ticket de support ?
5. Si un résultat est contesté, quel est le journal d'audit? Pouvez-vous fournir le raisonnement de l'examinateur, et pas seulement le signalement automatisé ?

Si un fournisseur ne peut pas répondre à ces questions de manière claire et précise, c'est vous qui assumez le risque lorsqu'un organisme de réglementation ou un candidat contestataire vous demande des comptes.

Comment cela doit se traduire dans la pratique

Un fournisseur de surveillance d'examens conçu selon cette norme doit être en mesure de vous montrer des détails concrets, et non des principes généraux. Cela signifie : une capture d'identité limitée au strict nécessaire (et non des scans complets de documents conservés indéfiniment), un traitement biométrique effectué sur l'appareil de l'utilisateur plutôt que transmis et stocké, des images sensibles et des données d'identification supprimées selon un calendrier fixe se comptant en heures et non en mois, et des options de résidence des données vous permettant de conserver les informations au sein d'une juridiction spécifique par défaut.

Cela signifie également que la conformité ne s'arrête pas au traitement des données. Lorsqu'une session est signalée, le dossier doit inclure non seulement le signal automatisé, mais aussi le jugement documenté d'un examinateur qualifié. C'est là toute la différence entre un simple signalement et une décision, et c'est ce qui sépare un résultat défendable d'un résultat qui ne l'est pas.

La vraie question n'est pas la conformité. C'est la preuve.

Tous les fournisseurs de surveillance vous diront qu'ils prennent la confidentialité au sérieux. Peu sont capables de produire la documentation nécessaire pour le prouver à la demande : le calendrier de conservation, le schéma de flux de données, le journal d'accès, le raisonnement de l'examinateur derrière un résultat spécifique. Cette documentation est ce qui protège réellement votre organisation et votre réputation lorsqu'un régulateur, un auditeur ou un candidat contestataire vous demande de justifier vos méthodes.

Integrity Advocate est construit précisément autour de cette norme : la confidentialité avant tout dans le traitement des données, associé à une révision humaine pour chaque session signalée, afin que chaque résultat émis par votre programme soit équitable, fiable et défendable.

‍

{{post-cta}}