Qui est responsable en cas de problème lors de la surveillance ? Leçons tirées de la législation et des affaires internationales

Lorsqu'un outil de surveillance d'examen viole la vie privée d'un participant, qui est responsable ? Le fournisseur du logiciel ? L'organisation qui l'a déployé ? Les deux ?

Des législations récentes et des décisions de justice au Canada, au Royaume-Uni et aux États-Unis ont répondu à cette question avec une clarté croissante : la responsabilité incombe à l'organisation qui organise l'examen, et non au fournisseur du logiciel. Pour toute entité déployant une surveillance d'examen en ligne, il ne s'agit pas d'un point juridique abstrait, mais d'un risque opérationnel direct.

Le problème central

Les organisations qui proposent des formations et des examens en ligne ont un besoin légitime de confirmer l'identité des personnes qui passent leurs évaluations et de s'assurer que les participants agissent de bonne foi. Répondre à ce besoin nécessite souvent la collecte de données personnelles sensibles : images d'identité, vérification biométrique, enregistrements de sessions et données audio. La question de savoir qui porte la responsabilité juridique du traitement de ces données a été tranchée par les tribunaux et les régulateurs d'une manière dont la plupart des organisations n'ont pas encore pleinement pris la mesure.

La conclusion constante dans de multiples juridictions est que l'organisation qui collecte les données, et non le fournisseur du logiciel, est la partie responsable.

LCAP : La perspective canadienne

La Loi canadienne anti-pourriel (LCAP) a été créée en 2014 pour renforcer les meilleures pratiques en matière de communications électroniques et lutter contre le pourriel et les menaces cybernétiques connexes. Parmi ses dispositions, la LCAP exige que les organisations obtiennent le consentement et une reconnaissance écrite avant d'utiliser des programmes informatiques intrusifs, et qu'elles fournissent aux utilisateurs une assistance pour supprimer ces programmes par la suite.

En vertu de la LCAP, un logiciel est considéré comme intrusif s'il interfère avec le contrôle qu'a l'utilisateur sur son système informatique en ouvrant des programmes, en imprimant ou en accédant à des fichiers à son insu, ou s'il modifie les paramètres, les préférences ou les commandes du système sans qu'il en soit informé.

Les outils de surveillance d'examen en ligne qui bloquent des sites restreints, surveillent l'utilisation du Web, exigent l'accès à la caméra ou installent des extensions de navigateur entrent clairement dans cette définition. De plus, la plupart des modules de surveillance ne fournissent aucune assistance pour la désinstallation, restant actifs par conception après la fin de la session afin de réduire les coûts de support pour le fournisseur.

Le risque pour les organisations : les violations de la LCAP entraînent des sanctions réglementaires pouvant atteindre 10 millions de dollars par infraction. Si votre système de surveillance vous expose à une non-conformité avec la LCAP, cette responsabilité vous incombe, et non à votre fournisseur.

RGPD : La norme mondiale qui place la responsabilité sur le propriétaire des données

Le Règlement général sur la protection des données (RGPD) de l'UE a établi une norme universelle en matière de protection de la vie privée qui s'applique à toute organisation traitant les données personnelles de résidents de l'UE, quel que soit le lieu où cette organisation est basée.

En vertu du RGPD, l'organisation qui organise l'examen est le responsable du traitement, tandis que l'outil de surveillance est le sous-traitant. Les amendes pour collecte, stockage, transfert ou suppression inappropriés de données personnelles incombent au responsable du traitement, et non au sous-traitant.

La Commission de protection des données d'Irlande a rendu cette distinction explicite dans un jugement contre la Slane Credit Union Limited, déclarant que les sous-traitants ne peuvent pas être utilisés par les responsables du traitement comme un filet de sécurité législatif, et qu'il est essentiel de faire preuve de diligence raisonnable pour assurer la protection des données personnelles.

Les amendes liées au RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'entreprise, le montant le plus élevé étant retenu. La responsabilité de la manière dont un fournisseur de surveillance traite les données des apprenants appartient à l'organisation qui a choisi de le déployer.

BIPA : L'avertissement de l'Illinois

Les organisations américaines font l'objet d'une surveillance réglementaire croissante concernant leurs pratiques de surveillance d'examens. La loi sur la confidentialité des informations biométriques (Biometric Information Privacy Act - BIPA) de l'Illinois en est l'un des exemples les plus marquants.

La BIPA fait peser la responsabilité sur les organisations lorsque des données biométriques sont collectées ou utilisées d'une manière qui viole la vie privée des participants, notamment en cas d'absence de consentement écrit ou de défaut de publication d'un calendrier de conservation précisant quand les données seront définitivement détruites.

Deux affaires marquantes illustrent la gravité de cette exposition aux risques.

BNSF Railway Co. a été condamné par un jury à verser 228 millions de dollars pour avoir scanné les empreintes digitales de chauffeurs routiers sans leur consentement. L'affaire a finalement été réglée pour 75 millions de dollars. Le fournisseur tiers ayant fourni la technologie de scan n'a pas été mis en cause dans ces poursuites.

White Castle System Inc. a fait face à une poursuite distincte en vertu de la BIPA, dans laquelle la Cour suprême de l'Illinois a statué que les réclamations s'accumulent à chaque scan de doigt individuel, exposant la chaîne de restaurants à une responsabilité potentielle se chiffrant en milliards de dollars. White Castle a finalement conclu un accord pour environ 10 millions de dollars. Là encore, le fournisseur de la technologie n'a pas été tenu pour responsable.

Le schéma est identique dans les deux cas : l'organisation qui a déployé la technologie biométrique a assumé la responsabilité. Le fournisseur de logiciels, non.

Cleveland State : une violation du quatrième amendement

En 2022, un tribunal fédéral a conclu que l'exigence de scan de pièce imposée par la Cleveland State University pour les examens à distance constituait une fouille et une saisie abusives, en violation des droits des étudiants garantis par le quatrième amendement.

Cleveland State a utilisé deux fournisseurs de surveillance distincts pour faciliter ces scans. Les deux ont été cités dans la décision. Aucun n'a été condamné à une amende. L'université a dû en assumer les conséquences.

Cette affaire illustre deux points importants. Premièrement, c'est l'exigence de scan de pièce en soi qui constituait la violation, quel que soit le fournisseur qui l'a mise en œuvre. Deuxièmement, choisir un outil de surveillance qui effectue des scans de pièce ne transfère pas le risque juridique au fournisseur. L'organisation qui exige le scan est celle qui fait face aux conséquences lorsqu'il est établi que cette exigence viole les droits des participants.

Ce que cela signifie pour les fournisseurs de formation et d'examens en ligne

Ces cas ne sont pas des exceptions. Ils reflètent une tendance constante et croissante de la législation sur la protection de la vie privée à l'échelle mondiale : les organisations sont responsables des actions de tout logiciel, plugin ou service tiers qu'elles déploient. La responsabilité du fournisseur ne remplace pas la responsabilité de l'organisation.

Pour les organisations proposant des formations et des examens en ligne, cela a des implications directes sur le choix des fournisseurs. La question n'est pas seulement de savoir si un outil de surveillance fonctionne. La question est de savoir si son déploiement crée une responsabilité pour votre organisation en vertu de la LCAP, du RGPD, de la BIPA ou de toute autre législation applicable.

Les mesures permettant de réduire cette responsabilité sont simples : choisissez un fournisseur ayant des pratiques documentées en matière de confidentialité, confirmez que le traitement des données est conforme à la législation applicable à votre juridiction et à celle de vos apprenants, exigez des délais clairs de suppression des données et assurez-vous que tout logiciel déployé sur les appareils des apprenants respecte les exigences en matière de consentement et de suppression.

L'approche d'Integrity Advocate

Integrity Advocate est conçu pour réduire les risques de non-conformité liés au déploiement d'un outil de surveillance, et non pour les accroître.

Aucune installation n'est requise dans la plupart des cas, ce qui élimine totalement les dispositions de la LCAP sur les logiciels intrusifs pour la majorité des déploiements. Les données sont collectées uniquement aux fins prévues et supprimées par défaut dans les 24 heures suivant la fin de la session. Le consentement est obtenu avant le début de toute collecte de données. Les données sont stockées dans des juridictions désignées par le RGPD. Les scans de pièce sont facultatifs et peuvent être activés ou désactivés en fonction de l'évaluation de leur nécessité et de leur proportionnalité par l'organisation.

Il ne s'agit pas d'engagements politiques, mais de décisions architecturales intégrées au fonctionnement même de la plateforme.

{{post-cta}}