Pourquoi la plupart des entreprises de surveillance à distance ne veulent pas que vous lisiez leur politique de confidentialité

Prenons deux scénarios.

Dans le premier, les caméras de sécurité d'une école enregistrent un élève qui circule dans les couloirs et discute avec ses amis. L'école conserve l'enregistrement indéfiniment dans le dossier de l'élève et le partage avec d'autres organisations.

Cela semble inapproprié.

Dans le second scénario, les caméras capturent le même élève en train d'en harceler un plus jeune. Seule la partie de l'enregistrement montrant le comportement est conservée, et elle est partagée avec les organisations responsables de prendre les mesures appropriées.

Cela semble raisonnable. Il existe un objectif légitime, une réponse proportionnée et une limite claire sur ce qui est partagé et pourquoi.

La technologie de surveillance à distance est une extension de ce même principe. La question est de savoir si les entreprises qui la fournissent appliquent ce principe ou l'ignorent totalement.

Ce que les entreprises de surveillance collectent réellement

La plupart des gens supposent que la surveillance en ligne ne capture que ce qui est nécessaire pour vérifier l'identité et contrôler une session d'examen. La réalité, d'après les politiques de confidentialité de nombreux fournisseurs, est bien plus vaste.

De nombreux services de surveillance collectent, intentionnellement ou non, des informations personnelles incluant :

• Numéros de sécurité sociale, numéros de permis de conduire et numéros de passeport
• Informations biométriques, notamment la géométrie faciale, les caractéristiques physiologiques et comportementales, ainsi que les données génétiques
• Adresses IP et identifiants d'appareils
• Historique complet de navigation, historique de recherche et enregistrements des interactions avec des sites web et des applications
• Informations médicales, y compris les conditions de santé physique et mentale
• Historique de consommation de drogues et affiliations politiques
• Images d'enfants, de conjoints et d'autres personnes se trouvant par hasard dans le même espace que la personne surveillée

Ce n'est pas une hypothèse. C'est ce que disent les politiques de confidentialité.

Quatre éléments que vous trouverez dans les politiques de confidentialité des services de surveillance

Voici des extraits réels de politiques de confidentialité d'entreprises de surveillance actuellement en vigueur. Lisez-les attentivement.

1. « En accédant à nos services et en les utilisant, vous consentez à permettre le libre échange d'informations de surveillance entre [Proctoring Service Company] et votre établissement d'enseignement. Nous, ou des prestataires agissant en notre nom, pouvons suivre les sites web que vous avez consultés avant et après nos sites dans le cadre des données de trafic décrites ci-dessus, à des fins commerciales internes. »

2. « Si votre établissement a donné son consentement, nous pouvons également faire appel à des solutions tierces pour traiter certaines données. »

3. « Nous pouvons divulguer des informations, y compris les enregistrements vidéo et audio de votre session d'examen, à votre établissement d'enseignement ou organisme de certification sur demande. Vos informations peuvent être vendues ou transférées dans le cadre de cette transaction. »

4. « Nous ne pouvons garantir ni assurer la sécurité des informations que vous nous transmettez ou que vous stockez sur les services, et vous le faites à vos propres risques. »

Les étudiants et les travailleurs qui passent des évaluations en ligne sont tenus de se soumettre à une surveillance. Ils n'ont pas la possibilité de choisir un autre prestataire ou de refuser. Ce déséquilibre de pouvoir fait de ces politiques bien plus qu'une simple formalité juridique. Il en fait un enjeu éthique.

Pourquoi la protection de la vie privée dès la conception est la seule norme acceptable

L'analogie de la caméra à l'école s'applique également ici. Nous attendons des écoles qu'elles ne partagent les images des élèves que lorsqu'il existe une raison légitime et uniquement dans la mesure nécessaire. Nous devrions exiger la même chose de la technologie de surveillance.

La protection de la vie privée dès la conception (Privacy by Design) n'est pas un label de conformité. C'est un engagement architectural : la décision d'intégrer la minimisation des données, la limitation des finalités et la suppression des informations dans le produit dès le départ, plutôt que d'ajouter des clauses de confidentialité à un document de politique après coup.

C'est ainsi qu'Integrity Advocate est conçu.

Ce qu'Integrity Advocate collecte et ce qu'il supprime

Integrity Advocate ne collecte que ce qui est nécessaire pour vérifier l'identité d'un apprenant et confirmer s'il a respecté les règles établies par l'organisation qui gère l'évaluation. Rien de plus.

L'approche est similaire à celle de PayPal, qui agit comme intermédiaire dans une transaction financière, protégeant les deux parties sans que l'une ou l'autre n'ait besoin d'exposer plus que nécessaire. Integrity Advocate se place entre l'organisation et les données personnelles du candidat, ne partageant que ce qui est requis et uniquement lorsqu'il existe une raison documentée.

En pratique, cela signifie :

• À l'exception d'une seule photo d'identité, tous les enregistrements de l'utilisateur et de son bureau sont supprimés dans les 24 heures si aucune infraction aux règles n'est constatée.
• Lorsqu'une session est signalée, seules les informations minimales requises pour documenter le problème sont partagées avec l'organisation.
• En tant qu'entreprise canadienne, Integrity Advocate opère en dehors de la juridiction du gouvernement américain. Dans l'éventualité peu probable d'une divulgation forcée, les données disponibles pour la grande majorité des utilisateurs se limiteraient à un nom, un prénom et une image faciale représentée sous forme de chaîne de caractères.

Lisez les politiques de confidentialité d'autres fournisseurs de surveillance d'examens et demandez-vous combien d'entre eux peuvent en dire autant.

Ce qu'il faut vérifier avant de choisir un fournisseur de surveillance d'examens

Avant de signer un contrat avec une plateforme de surveillance, votre organisation doit être en mesure de répondre aux questions suivantes en se basant sur leur politique de confidentialité et leur documentation sur le traitement des données :

• Quelles informations personnelles sont collectées, et la collecte est-elle limitée au strict nécessaire ?
• Les données sont-elles vendues, transférées ou partagées avec des tiers en dehors de l'organisation responsable de l'évaluation ?
• Combien de temps les données sont-elles conservées et qu'est-ce qui déclenche leur suppression ?
• Le fournisseur est-il soumis aux demandes de données du gouvernement américain, et que serait-il tenu de divulguer ?
• Existe-t-il un processus de révision humaine, ou les résultats automatisés sont-ils transmis directement à l'établissement ?

Si les réponses ne sont pas clairement documentées, c'est déjà une réponse en soi.

{{post-cta}}