La surveillance des examens via webcam atteint-elle à la vie privée ?

Pour certains étudiants, l'annonce de la surveillance des examens via webcam a été la goutte d'eau qui fait déborder le vase. Après une fin de semestre difficile, tant pour eux que pour le corps enseignant, ils voient cette nouveauté d'un très mauvais œil.

Mais que dit la loi à ce sujet ? Peut-on, légalement, surveiller un étudiant dans son environnement personnel avec la webcam de son ordinateur, tout en bloquant l'accès aux autres fonctionnalités de ce dernier ?

Pour Maître Wéry, avocat aux barreaux de Bruxelles et de Paris, les logiciels de télésurveillance des examens (TestWe, WISEflow, Blackckboard,…) sont «évidemment attentatoires à la vie privée». Mais selon ce spécialiste en droit des technologies, «la question n’est pas de savoir s’il y a une atteinte, mais plutôt de savoir si celle-ci est légitime ou pas».

D'après un récent sondage mené en Belgique par la** Fédération des étudiants francophones (FEF)**, 24 % des étudiants déclarent être concernés par ces examens «télésurveillés». Néanmoins, le cabinet de la ministre de l’Enseignement supérieur en Fédération Wallonie-Bruxelles affirme que «la plupart des établissements ont fait savoir qu’ils n’auraient pas recours à des logiciels anti-triche».

«Je ne sais pas dire si c’est attentatoire à la vie privée ou non»

Pour bien comprendre, nous nous sommes tournés vers ceux qui ont admis un recours à cette surveillance dans certains cas, à l'instar de l'**UCL **(université catholique de Louvain) ou de l'**IHECS **(Institut des hautes études des communications sociales).

Pour Yves Deville, professeur à l’École polytechnique de Louvain et conseiller du recteur de l’UCL, le but est de mettre le plus d’outils possible à la disposition des professeurs pour organiser des examens équitables à distance, parmi lesquels des logiciels qui offrent aux enseignants la possibilité de surveiller les étudiants.

«L’université comprend et respecte le fait qu’un étudiant refuse qu’on s’introduise à son domicile via un logiciel. D’un point de vue légal, je ne sais pas dire si c’est attentatoire à la vie privée ou non. Mais nous proposons l'alternative de venir passer l’examen en présentiel à l’université, et ce avec les logiciels. Est-ce contraire au Règlement général sur la protection des données (RGPD) de surveiller un examen via la caméra d’un ordinateur à l’université ? Selon nos juristes, non.»

Maître Wéry détaille : «Dans ce cas-ci, l’atteinte n’est pas illégitime puisqu’a priori, elle respecte quatre conditions nécessaires, c'est-à-dire d'être prévu par un texte (un règlement d’université suffit), de répondre à un objectif admissible (ici, la lutte contre la fraude), d'être nécessaire et enfin, d'être proportionné à l'objectif.»

Et c’est précisément dans cette quatrième condition que réside toute la nuance. «La proportionnalité est un critère complètement subjectif, dépendant d’une infinité de paramètres et qui ne peut être évaluée qu’a posteriori. Mais le fait de proposer une alternative (présenter l’examen en présentiel, par exemple) à ceux qui ne supportent pas l’idée d’être surveillés chez eux, fait partie de l’appréciation de la proportionnalité.»

«Le jeu n’en vaut pas la chandelle»

L'université libre de Bruxelles (ULB) fait partie des institutions qui n’auront pas recours à ce type de méthode «anti-triche». Selon Éric Uyttebrouck, responsable du centre d’appui pédagogique de l’ULB, «Le jeu n’en vaut pas la chandelle. Ces logiciels n’empêcheront pas certains étudiants de tricher. À cela s’ajoute la question de la légalité. Pour prendre des photos de quelqu’un, il faut son consentement. Mais dans ce cas, comment peut-on considérer que le consentement de l’étudiant est non contraint et libre, s’il doit le donner pour passer son examen ?» 

Sur cette question du consentement, la réponse de l’Autorité de protection des données (APD, Belgique) est claire : «Dans le cadre scolaire, vu qu’il existe une relation d’autorité entre l’établissement et l’étudiant, le consentement ne sera de surcroît probablement pas considéré comme valable. En effet, le consentement, pour être valable, doit être “libre”. Or, il ne peut que difficilement être librement donné dans le cadre d’une relation inégale (d’autorité).»

Cependant, le consentement de l'utilisateur n'est pas une base légale obligatoire. L'usage de logiciels de télésurveillance est légitime s'il peut reposer sur l'une des autres bases légales prévues par le RGPD, se reposant sur les quatre conditions énoncées plus tôt.

«Chaque étudiant est libre d’accepter la télésurveillance ou non»

Du côté de TestWe, principale entreprise proposant des logiciels anti-triche en France et en Belgique, Benoît Sillard se défend : «Chaque étudiant est libre d’accepter la télésurveillance ou non. Auquel cas, il peut faire son examen en présentiel ou ne pas le passer du tout, si ces conditions ne lui conviennent pas.»

Par ailleurs, il précise : «TestWe_ est un prestataire de services auprès des établissements d'enseignement supérieur. Ce n’est pas nous qui faisons passer les examens aux étudiants, mais bien les établissements, qui choisissent d’utiliser l’un ou l’autre de nos services.»_ Dans ce sens, le dirigeant de TestWe rappelle que ce sont ces mêmes établissements qui réceptionnent les données collectées sur les étudiants et en aucun cas l'entreprise de télésurveillance. 

À l’université Caen Normandie, ce type de logiciel est bien connu. À tel point que dans une ordonnance du ministère français de l’Enseignement supérieur du 27 mars dernier, l’UniCaen et certains prestataires de services (dont **TestWe **) sont pris en exemple et recommandés dans une fiche intitulée «Évaluer et surveiller à distance».

En 2016, l’université normande avait obtenu le feu vert de la Commission nationale de l'informatique et des libertés (CNIL, France) pour une expérimentation de télésurveillance des examens dans le cadre de formations à distance.

Pierre Beust, le vice-président délégué aux transformations pédagogiques de l’UniCaen, explique :

«Depuis la mise en application du RGPD, quand un établissement veut engager un traitement de données à caractère personnel, il n’a plus à demander un avis préalable à la CNIL. Il doit cependant déclarer le traitement des données dans le registre de l’établissement. Ce registre local doit être instruit par une étude d’impact sur les utilisateurs avec une homologation du système de sécurité et d’information, précisant où, comment et combien de temps sont conservées les données.»

En Belgique, l’utilisation de ces logiciels est inédite et l’APD n’a donc pas encore été sollicitée sur le sujet, contrairement à son homologue français. Concernant le respect du RGPD, «il est de la responsabilité des établissements les utilisant de s’en assurer», rappelle Aurélie Waeterinckx pour l’APD.

La porte-parole confirme que l'APD a reçu de la part d’étudiants des demandes d’avis de la Commission vie privée sur l’utilisation de logiciels de télésurveillance. En effet, tout citoyen qui estime que ses droits sont menacés peut demander un avis ou porter plainte auprès de l’Autorité de protection des données. Cette dernière, avant de rendre son avis, récolte les arguments respectifs de la partie plaignante et de la partie défenderesse. 

«Trouver des mesures pour amoindrir ces risques»

S’il faut donc patienter avant de recevoir les conclusions de l’Autorité de protection des données en Belgique, celle-ci estime nécessaire que des analyses d'impact de protection des données (AIPD) soient établies au préalable par les universités et les écoles utilisant des logiciels de télésurveillance. L‘analyse d’impact doit comprendre au moins une description complète du traitement, une évaluation de sa nécessité et de sa proportionnalité, ainsi qu'une évaluation des risques pour les droits et les libertés des personnes concernées et enfin, les mesures envisagées pour y faire face.

«Au bout de cette analyse, si les établissements se rendent compte qu’ils ne parviennent pas à réduire les risques d’atteinte aux droits des utilisateurs, ils doivent venir vers nous. Soit ce traitement n’a pas le droit d’avoir lieu parce que les risques restent trop élevés, soit on les aide à trouver des mesures pour amoindrir ces risques», détaille Aurélie Waeterinckx.

Par contre, si l’analyse d’impact ne révèle aucun risque, alors l’APD n'a pas lieu d'être consultée. À l’heure actuelle, aucune analyse d’impact n’est parvenue à l’Autorité de protection des données.

Quant à savoir si l’UCL a réalisé une analyse d’impact, Yves Deville, le conseiller du recteur répond : «Il y a eu une analyse du traitement. Une évaluation de la nécessité d’utiliser ces outils, y compris la question de la proportionnalité, a été analysée par les services juridiques de l’université. Les questions liées aux droits et aux libertés des personnes ont été traitées par notre responsable RGPD afin de vérifier et mettre en œuvre les mesures nécessaires qui assureront le respect du RGPD.»

Mais selon Pierre Beust, de l’UniCaen : «Le débat n’est pas juridique, ni éthique, car les conditions sont remplies. S’il y a débat, il est idéologique.»