Surveillance d'examens à distance et Loi 25 : liste de vérification

Une demande arrive sur le bureau de la personne responsable de la protection des renseignements personnels : un département veut surveiller ses examens finaux à distance dès la session prochaine. Dans un cégep ou une université, cela veut dire enregistrer des personnes étudiantes, souvent chez elles, avec un outil que l'établissement n'a pas encore évalué. La direction des TI, qui devra le déployer, et le service de l'approvisionnement, qui devra lancer l'appel d'offres, se posent vite les mêmes questions.

Ces questions reviennent avant chaque période d'examens, quand un projet pilote devient la norme et au renouvellement du contrat. Cette liste de vérification présente ce que recueille la surveillance d'examens à distance, ce qu'exige généralement la Loi 25 et ce qu'il faut demander à tout fournisseur. Elle explique la loi en termes généraux et ne constitue pas un avis juridique : validez l'application de chaque obligation à votre établissement avec votre responsable de la protection des renseignements personnels ou vos conseillers juridiques.

Que recueille la surveillance d'examens à distance ?

Selon le produit et ses paramètres, un outil de surveillance peut recueillir :

• La vidéo et l'audio de la personne étudiante, par la caméra et le microphone, souvent depuis sa chambre ou sa cuisine.
• L'enregistrement de chaque écran branché, qui peut capter des notifications, des noms de fichiers et des onglets ouverts.
• L'activité au clavier et à la souris pendant l'examen.
• Des données d'identité : le compte de la personne et, avec certains outils, la photo d'une pièce d'identité ou une image du visage comparée à une référence.
• Des journaux d'événements : connexion, heures de début et de fin, applications ouvertes, alertes déclenchées.
• Des données d'examen et d'inscription provenant du progiciel de gestion pédagogique (PGI), et parfois des mesures d'accommodement qui peuvent laisser deviner un handicap.

Une partie de ces renseignements est sensible. La Loi 25 considère un renseignement personnel comme sensible lorsque, par sa nature (médicale ou biométrique, par exemple) ou en raison du contexte de son utilisation, il suscite un haut degré d'attente raisonnable en matière de vie privée. La vidéo d'un domicile, un gabarit facial ou une mesure d'accommodement liée à un état de santé peuvent entrer dans cette catégorie. Les mesures d'accommodement demandent d'ailleurs une attention particulière, comme l'explique l'article mesures d'accommodement en examen à distance.

Qu'attend la Loi 25 d'un projet de surveillance d'examens ?

La Loi 25, adoptée en 2021 pour moderniser la législation québécoise sur la protection des renseignements personnels, a modifié à la fois la Loi sur l'accès, qui vise généralement les cégeps et les universités, et la loi applicable au secteur privé, qui vise la plupart des fournisseurs. Ses obligations sont entrées en vigueur par étapes jusqu'en 2024. Pour un outil de surveillance, voici les points qui comptent généralement le plus.

• Une évaluation des facteurs relatifs à la vie privée (EFVP). Un organisme public doit généralement évaluer les facteurs relatifs à la vie privée de tout projet d'acquisition ou de développement d'un système d'information impliquant des renseignements personnels, dès le début du projet.
• Une évaluation avant toute communication hors Québec. Avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris dans une autre province, l'établissement doit généralement évaluer s'ils bénéficieront d'une protection adéquate et encadrer la communication par une entente écrite.
• La nécessité. On ne recueille que les renseignements nécessaires à la finalité, ici le déroulement et la vérification d'un examen.
• La confidentialité par défaut. Lorsqu'un produit ou un service technologique comporte des paramètres de confidentialité, la Loi 25 s'attend généralement à ce que les plus protecteurs s'appliquent par défaut. En surveillance d'examens, cela revient à n'activer que les captures dont l'examen a besoin.
• La conservation et la destruction. Les renseignements sont conservés le temps nécessaire à leur finalité, puis détruits de façon sécuritaire ou anonymisés, conformément au calendrier de conservation de l'établissement.
• Les incidents de confidentialité. L'établissement doit prendre des mesures raisonnables pour diminuer les risques de préjudice, inscrire chaque incident dans un registre et, s'il y a un risque de préjudice sérieux, aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées.
• La transparence. Les personnes étudiantes doivent savoir ce qui est recueilli, pourquoi, qui y aura accès et quels sont leurs droits. Lorsqu'une décision est fondée exclusivement sur un traitement automatisé, la personne concernée doit en être informée.
• La biométrie. Vérifier l'identité au moyen de caractéristiques biométriques, comme la reconnaissance faciale, exige généralement le consentement exprès de la personne et une déclaration à la CAI avant la mise en place du procédé.

Ce que coûte une erreur

• Une période d'examens compromise. Une EFVP lancée après le projet pilote, alors que des personnes étudiantes ont déjà été enregistrées, peut renvoyer le projet à la planche à dessin quelques semaines avant les examens finaux.
• Des enregistrements inutiles. Une vidéo conservée des années après la remise des notes reste exposée aux incidents bien après avoir servi.
• Des incidents impossibles à évaluer. Si le fournisseur ne peut pas dire qui a ouvert quel enregistrement, l'établissement ne peut pas juger du risque de préjudice sérieux, et risque d'aviser trop largement ou trop tard.
• La confiance. Une caméra dans la chambre d'une personne étudiante passe mal quand on l'apprend d'un collègue de classe plutôt que de l'établissement. Une information claire, donnée tôt, fait partie de l'obligation.
• L'exposition aux sanctions. La Loi 25 a renforcé les pouvoirs de surveillance de la CAI et les sanctions qui peuvent suivre un manquement à la loi.

Ce qui ne fonctionne pas

Se fier à un sceau de conformité. La conformité est une obligation de l'établissement pour un usage précis. Aucun fournisseur ne peut être conforme à votre place ; il peut seulement fournir à votre évaluation les faits dont elle a besoin.

Tout enregistrer, au cas où. Activer toutes les captures pour tous les examens va à l'encontre du principe de nécessité. Un questionnaire à choix multiples dans un laboratoire informatique surveillé a rarement besoin de la caméra qu'exige un examen final à distance.

Confondre Canada et Québec. La règle de la Loi 25 sur la communication hors Québec vise aussi les autres provinces. « Hébergé au Canada » ne répond qu'à une partie de la question.

Laisser la conservation au réglage par défaut. Si personne ne fixe de durée, les enregistrements ont tendance à rester indéfiniment. La durée de conservation relève de l'établissement et a sa place dans son calendrier de conservation.

Ajouter des fonctions d'IA sans les évaluer. Certains outils de surveillance analysent la vidéo par reconnaissance faciale ou par des modèles de comportement, puis produisent un score de suspicion. Ce peut être un choix délibéré, mais il soulève des questions de biométrie et de traitement automatisé auxquelles l'EFVP doit répondre. Pour peser les options, lisez surveillance d'examens à distance sans IA ni reconnaissance faciale.

La liste de vérification pour le fournisseur

Utilisez ces questions dans votre appel d'offres, votre questionnaire fournisseur et votre EFVP, et exigez des réponses écrites.

Quatre décisions restent à l'établissement, quel que soit l'outil : les captures dont chaque type d'examen a besoin, la durée de conservation des enregistrements, les personnes qui peuvent les consulter à l'interne et l'information donnée aux personnes étudiantes avant l'examen.

Comment Examo répond à la liste

Examo est une application de surveillance d'examens à distance pour Windows et macOS, conçue par LS2 Innovation à Montréal. Voici sa réponse à chaque ligne ; les détails se trouvent sur la page sécurité et confidentialité.

Deux points demandent tout de même votre propre analyse. Au regard de la Loi 25, être hébergé au Canada n'est pas être hébergé au Québec : demandez quelle région Azure contient vos données et consignez-la dans votre EFVP. Et comme Examo ne recueille aucune donnée biométrique et ne prend aucune décision automatisée, votre évaluation peut constater l'absence de ces fonctions plutôt que de les analyser.

La minimisation se joue dans les paramètres de l'examen : les trois modes de surveillance (surveillance en direct, enregistrement continu, détection des événements à risque) se combinent par examen, et toute capture dont l'examen n'a pas besoin peut rester désactivée. Les détections ne font que signaler des événements ; c'est une personne qui décide de leur portée.

La transparence est plus simple avec une page que les personnes étudiantes peuvent lire. La page pour les étudiants explique en langage clair ce qui est enregistré, qui le voit et quand c'est supprimé ; ajoutez-la à vos consignes d'examen, à côté de votre propre avis de confidentialité.

Depuis 2021, LS2 Innovation se consacre aux logiciels infonuagiques pour les cégeps, les collèges et les universités, et ses solutions sont utilisées par une cinquantaine d'établissements. Pour montrer à votre responsable de la protection des renseignements personnels les paramètres de capture, les contrôles de conservation et la documentation avant le début de l'EFVP, réservez une démo.