Respecter les libertés fondamentales des acteurs de l'éducation

Comme toute personne, les acteurs de l'éducation disposent de droits sur les traitements de leurs données personnelles, leur permettant de garder la maîtrise des informations les concernant : droit à l'information, recueil du consentement, droit d'opposition, droits d'accès et de rectification[1].                                                       

Des données révélant des informations sensibles sur les personnes

Les données d'éducation révèlent de nombreuses informations sur les personnes, de façon directe ou indirecte.

Le travail effectué par un élève fournit des informations sur son niveau de connaissances sur le sujet en question. Le contenu des cours utilisés par un enseignant fournit des informations sur sa façon d’enseigner et ses choix pédagogiques. Mais aussi les moments ou lieux de connexion d’un élève ou d’un enseignant sur une plateforme numérique fournissent des informations sur leur mode de vie. Ces informations mobilisées par des données deviennent plus riches à mesure que les méthodes de traitement de celles-ci évoluent. Par exemple, le rythme de frappe sur un clavier d'un individu peut donner des informations sur son état émotionnel[2].

Les données de comportement des élèves ou enseignants sur une plateforme numérique peuvent aussi être utilisées algorithmiquement pour catégoriser les utilisateurs et ainsi, par association, les orienter vers des contenus ou encore personnaliser le service qui leurs est fourni sur la plateforme. Cette catégorisation algorithmique poussée à l'extrême induit le phénomène bien connu de « bulle » qui enferme les individus et peut devenir une source de discrimination et de perte d’objectivité.

Au sens du RGPD, les données personnelles sensibles sont des données qui sont vues comme étant particulièrement à risques, notamment pour les droits et libertés fondamentales et dont le régime juridique de protection est renforcé. « Ce sont les informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale. Ce sont également les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique, les données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique.

 

Il est interdit de recueillir et d'utiliser ces données, sauf dans certains cas précis »^[3]. Les traitements des données personnelles sensibles sont donc plus contraints juridiquement.

Concernant les données d'éducation, certaines données sont clairement identifiées comme données sensibles au sens du RGPD car relatives par exemple à la santé (allergies alimentaires ou handicaps) et sont traitées dans le cadre scolaire (régime alimentaire à la cantine ou aménagement d'épreuves), tandis que d'autres peuvent être perçues comme sensibles d'un point de vue social, parce qu'elles peuvent entraîner des dommages pour les élèves, sans pour autant être reconnues explicitement comme sensibles au sens du RGPD. Par exemple, les données scolaires relatives aux bulletins peuvent être discriminantes pour les élèves et nuire à leur future carrière si elles sont sorties du contexte scolaire et connues de futurs employeurs.

Les données scolaires sont également des données qui peuvent être croisées avec d'autres données, révélant ainsi des informations « sensibles » au sens du RGPD.

Par exemple, si l'on note une corrélation entre les absences répétées d'un élève et les dates de fêtes religieuses il serait possible d’inférer sa religion. Aussi, des difficultés scolaires, apparaissant dans des copies, évaluations ou dossiers administratifs d’école, peuvent être corrélées à des données de santé comme des troubles spécifiques de l’apprentissage comme la dyslexie ou la dyspraxie. Enfin, la connaissance de données sur des enfants permet de mieux les connaître et éventuellement d'orienter leurs choix avec un risque de manipulation.

Protection des données d'éducation et consentement

L'ensemble des données d'éducation des élèves, selon le RGPD[4], ne sont pas considérées comme des données à caractère personnel sensibles du point de vue des libertés et des droits fondamentaux et qui, par suite, mériteraient une protection spécifique. Comme le préconise la déclaration conjointe France-Estonie (EIGS 2019) présentée en annexe 3, il faudrait reconnaître un statut spécifique aux données pédagogiques personnelles des élèves.

Actuellement, le RGPD protège ces données en tant que données personnelles de mineurs nécessitant une attention particulière[5] et protège de façon spécifique celles des données éducatives reconnues comme sensibles – telles que des données de santé – lorsque celles-ci peuvent être traitées dans le cadre éducatif.

Dans ce cadre, plusieurs cas sont prévus[6]. Le principe est que les traitements de données d'éducation à caractère personnel sont majoritairement fondés sur l’exécution d’une mission d’intérêt public. Si le traitement n’est pas compatible avec ce fondement, un autre fondement sera recherché parmi ceux de l’exercice de l’autorité publique, du respect d’une obligation légale ou de l’intérêt légitime du responsable de traitement. Ce n’est, le plus souvent, qu’à défaut que le traitement sera fondé sur le consentement, celui-ci devant être ni contraint ni influencé. Le nombre de traitements mis en œuvre par l'école ou tout autre acteur dans le cadre éducatif reposant sur le consentement est ainsi en principe peu important.

Un exemple de cas où le consentement des responsables légaux (ou de l’élève s’il est majeur) peut être valablement demandé est par exemple le cas où on veut utiliser les photos d'un élève sur le site de l’école afin de documenter des activités organisées par l’école. Le consentement serait ici le fruit d’un véritable choix dès lors que les élèves/responsables légaux ne se verront pas privés de tout enseignement ou de tout service, et pourront refuser sans aucun préjudice[7].

Soulignons ici que lorsque le consentement doit être recueilli, l'élève doit pouvoir refuser, sans que ce refus n'entraîne une rupture d'égalité avec les autres élèves.

De son côté le Ministère a pris acte que de nombreux usages pédagogiques s'appuient aujourd'hui sur l'utilisation des données personnelles des élèves et a édité en partenariat avec la CNIL une fiche à destination des enseignants pour leur conseiller d'adopter des réflexes pour enseigner avec le numérique[8].

Cette fiche présente dix principes clés, cinq concernant le choix des outils tels que « privilégier l'usage de logiciels libres ou développés par le ministère » ou encore « utiliser de préférence des logiciels ou applications hébergés dans l'Union européenne », et cinq portant sur la protection des données des élèves dans toute activité pédagogique tels que « limiter toute collecte de données personnelles aux informations indispensables au bon déroulement de l'activité et veiller à ce qu'elles soient supprimées ou archivées selon la réglementation », ou encore « respecter le droit à l'image des élèves ». Dans cette fiche le 8^ème principe recommande aux enseignants de « sensibiliser les élèves aux enjeux de la protection des données personnelles ».

Pour que ces conseils soient compris et suivis il faut que les enseignants soient eux-mêmes sensibilisés à l'importance de ces principes avec la conscience des conséquences de leur non-respect. La tâche est multiple. Il faut sensibiliser non seulement les élèves, mais aussi leurs familles et bien sûr les enseignants qui se doivent d'être exemplaires dans le respect des droits fondamentaux. Si des actions de sensibilisation sont déjà en cours[9], il faut les généraliser et les intensifier en diversifiant les mesures.

Enjeux d’éthique et recommandations

Nous relevons ici un certain nombre de risques pour les données d’éducation relatifs aux libertés fondamentales :

• Les données sont susceptibles d’être récupérées par de nombreux acteurs publics ou privés, français et internationaux, donnant des indications d’ordre privé sur des élèves, pouvant entraîner des risques de perte de confidentialité pour ceux-ci.

• La connaissance des données comportementales des élèves et des enseignants sur les plateformes numériques peut donner lieu à des incitations à consulter des contenus ciblés, pouvant conduire à des manipulations et des enfermements.

• Les données scolaires qui pourraient être collectées et stockées par l’État peuvent être exposées à des risques de piratage si le système de cybersécurité n’est pas suffisant. Or on ne souhaite pas anonymiser toutes les données pédagogiques des élèves en raison du suivi pédagogique personnalisé si bien que des données personnelles des élèves pourraient être ainsi divulguées, et le procédé de pseudonymisation n'exclut pas la possibilité de ré-identification.

• L’espace physique - clos et limité - de la classe n’existe plus lors d'une séance de téléenseignement conduisant à une ingérence possible de membres extérieurs à la classe dans l’espace virtuel, avec de plus un abolissement des frontières entre espace privé et espace scolaire. Cette situation peut entraîner un risque d’ingérence dans la vie privée par l’usage des outils numériques avec des dérives telles que par exemple le cyberharcèlement et la pornodivulgation (revenge porn).

• Les conditions générales d'utilisation des données (CGU) des plateformes ou des outils sont peu lisibles et peuvent évoluer rapidement.

• La signification de la mention « conforme au RGPD » n'est pas évidente pour tous et n'a pas de valeur juridique à l'heure actuelle. Par ailleurs, utiliser, en tant que responsable de traitement, un outil qui affirme être « conforme RGPD », ne retire aucune des obligations du responsable de traitement.

• La question de savoir qui donne le consentement se pose. Des outils délèguent aux enseignants l'obtention du consentement des parents et il existe également le risque que le consentement soit donné par des élèves n’ayant pas la capacité juridique de le faire, à la place de leurs parents.

• Il pourrait exister un risque de discrimination en cas de non consentement de l'élève ou de ses parents, et/ou de mise à l’écart du suivi pédagogique dans les cas où il faudrait y faire recours.

Recommandations

1. Engager une réflexion sur l'opportunité d'introduire dans le RGPD le statut de données sensibles pour les données d’éducation, à l’instar des données de santé, à des fins de protection de la vie privée des élèves et des enseignants.
2. Donner un statut juridique plus protecteur pour les données d’éducation, au niveau français en instituant un code de bonne conduite sur les données d'éducation pour l'ensemble des acteurs (publics comme privés).
3. Attirer l’attention des différents acteurs (enseignants, élèves, familles, entreprises, acteurs académiques, politiques) sur le caractère « spécifique » des données d’éducation et continuer à responsabiliser ces acteurs dans leur utilisation de ces données.
4. Intensifier la formation au droit à la protection des données, en particulier de celles qui sont liées aux usages pédagogiques numériques, pour les enseignants, les élèves et leurs familles, en illustrant avec des cas pratiques.
5. Accentuer la sensibilisation des différents responsables de traitements aux principes de protection des données exigés par le RGPD pour la collecte des données personnelles en les explicitant, en les expliquant et en les exemplifiant.
6. Continuer et intensifier les démarches de sensibilisation de l’équipe éducative et des élèves aux risques d’ingérence dans la vie privée par l’usage des outils numériques (dont cyberharcèlement). Ces démarches de sensibilisation doivent s’inscrire bien au-delà du domaine de l’éducation et concerner aussi les usages des réseaux sociaux par les élèves.
7. Proposer un label (ou une certification) ouvert à tous les acteurs des EdTech remplissant un certain nombre de critères qui garantissent le respect de la vie privée des acteurs de la communauté éducative.
8. Offrir des garanties de sécurité des outils que l'Etat recommande ou met à la disposition des acteurs de l’éducation, et évaluer le risque que fait courir leur perte éventuelle de confidentialité.
9. Mettre en place des accords avec les acteurs privés dont les élèves et les enseignants utiliseraient les outils, afin de garantir une minimisation de l’usage de la donnée à une liste définie par le Ministère, ainsi qu’un effacement régulier des données.

Garantir la souveraineté numérique en matière d'éducation 

La question de la souveraineté numérique implique la question de la formation des acteurs de la communauté éducative, qui doit être prioritaire.

Recours à une offre privée internationale

Le recours à l’offre du privé dans l’EdTech (française ou internationale) de moyens numériques pour échanger des documents et converser à distance a augmenté de façon considérable pendant la période de confinement. A la fin mars, on constatait que des outils très variés étaient communément utilisés par les enseignants, parmi lesquels figuraient dans le top 20 WhatsApp, Google Suite, Zoom ou Discord[10]. Il est à noter qu'il a été difficile pour les utilisateurs de s’assurer de la conformité au RGPD de ces outils, comme Discord qui a fait l'objet de critiques dans la presse[11].

L’offre publique n’a pas pu dans un premier temps assurer le flux des demandes, ni proposer des outils disposant de toutes les fonctionnalités nécessaires à la continuité pédagogique dans le respect du RGPD. Dans un second temps, l’offre publique a grandi en puissance et le ministère de l'Education Nationale a donné des directives, comme vu en section 1.3.1. Il faut noter toutefois que ces directives n'ont pas été suivies par tous.

On a pu observer peu d’adhésion des différents acteurs à l’offre publique, probablement en raison de l’accoutumance à l’usage des technologies privées, et au fait que les outils privés peuvent s’avérer plus conviviaux et plus robustes pour une utilisation par un grand nombre de participants. Pour exemple, on peut citer la formidable augmentation des utilisations de ZOOM, un logiciel de visioconférence privé américain, dont pourtant très vite des failles de sécurité menaçant la vie privée ont été détectées et rapportées dans la presse[12], puis assez vite corrigées.

Par ailleurs, les utilisateurs peuvent se laisser bercer par l'illusion que les entreprises privées leur offrent gratuitement leurs outils numériques sans contrepartie. Or comme dit l'adage « si c'est gratuit, c'est que c'est vous le produit ». Une méconnaissance du modèle économique sous-jacent au marché des données peut conduire à une telle illusion. Il s'ensuit un enjeu d'équité pour permettre aux plus démunis de disposer d'outils numériques efficaces et conviviaux qui ne mettent pas en péril leurs données personnelles.

Les données d'éducation : une richesse stratégique nationale

Comme on l'a vu précédemment[13], les données permettent d’extraire des statistiques sur le système d’éducation par ville, par région voire à l’échelle du pays. Les données agrégées permettent d'évaluer la situation d'un pays en matière d'éducation nationale et son évolution dans le temps, et constitue de fait un enjeu stratégique national.

La connaissance de ces données par d'autres pays étrangers peut constituer une vulnérabilité pour notre pays, si elles sont utilisées à mauvais escient. Le pays doit pouvoir rester maître de la diffusion de ces informations.

Par ailleurs, ces données d'éducation constituent une véritable mine pour la recherche et l'innovation, tant pour les acteurs publics que privés, qu'ils soient nationaux ou internationaux dans le but de développer des ressources éducatives.

Enfin, si l’éducation n’est pas en soi une marchandise, comme les biens éducatifs se répandent et se multiplient, ils s’inscrivent dans des mécanismes de marché. Relevons qu’il existe un véritable marché des données d'éducation, et il faut définir une stratégie de gouvernance de ces données qui soit respectueuse de nos valeurs.

Les données scolaires agrégées sont donc une richesse nationale et à ce titre l’Education est un actif stratégique national de l’Etat au même titre que les activités de transport, de communication numérique, ou de santé publique.

Utiliser des outils qui mobilisent les valeurs européennes

En France et dans l'Union Européenne, les données personnelles sont soumises au RGPD qui est une réglementation mobilisant les valeurs de protection de la vie privée et des libertés individuelles.

Il est fondamental que toutes les données personnelles d'éducation, dont on a vu qu'elles sont spécifiques et constituent un enjeu stratégique national, soient traitées par des outils qui respectent une telle réglementation, et que soit exclu tout recours à des outils ne respectant pas les valeurs fondamentales européennes. Il en va de la souveraineté numérique de la France. « Il faut donner aux citoyens français la capacité d'utiliser des solutions technologiques qui reflètent leurs valeurs »[14], leur permettant ainsi de garder la maîtrise du choix de société dans laquelle ils veulent vivre.

Enjeux d’éthique et recommandations

Nous relevons ici un certain nombre de risques pour les données d’éducation relatifs à la souveraineté numérique :

• Un grand nombre de ces données peuvent tomber dans les mains d’acteurs publics ou privés, français ou étrangers, dont les usages peuvent être difficilement contrôlés. Cela pose la question du devenir de l’utilisation de ces données, de qui en disposera, de qui les stockera, or on a vu qu'il s'agit d'une ressource stratégique et sa non maîtrise peut constituer une menace sur le fonctionnement démocratique de nos institutions avec un risque d’ingérence dans les choix de société.

• L'absence actuelle d’outils développés au niveau Français ou Européen ayant les mêmes robustesses (e.g. passage à l’échelle) et fonctionnalités (en termes d’ergonomie ou en termes d’analyse des données) que certains outils étrangers qui peuvent ne pas respecter le RGPD, ainsi que le manque d’interopérabilité des outils, peuvent générer un risque pour la protection des données.

• Les plus démunis peuvent être enclins à choisir des outils numériques « gratuits » même s'ils ne sont pas respectueux des valeurs fondamentales.

 Recommandations

1. Définir une stratégie nationale et portée par l’Europe concernant le développement de produits numériques d’éducation respectant les valeurs fondamentales Européennes.
2. Assurer une offre gratuite à l’échelle nationale ou européenne d’outils de téléenseignement de bonne qualité, relative à un minimum de fonctionnalités (telles que des actions de partage collaboratif), à leur convivialité (rapidité d'exécution, facilité de prise en main) et à leur robustesse (outils adaptés à un grand nombre de participants) qui respectent les valeurs éthiques européennes portées par le RGPD.
3. Encourager les utilisateurs (élèves, enseignants, parents), au besoin par des formations dédiées, à recourir à l’offre publique, chaque fois qu'elle est suffisante.
4. Identifier au niveau national les offres dont le fonctionnement peut poser à moyen ou long termes des problèmes éthiques liés aux données.
5. Effectuer une veille et une analyse des principaux outils de communication, de partage et de collaboration qui peuvent s’avérer utiles dans le cadre de l’enseignement scolaire, développés par des acteurs publics ou privés français ou européens qui sont respectueux de nos libertés fondamentales.
6. Sensibiliser les différents acteurs (enseignants, élèves, familles, entreprises, acteurs académiques, politiques) aux enjeux de souveraineté numérique dans le domaine des données scolaires numériques.

Les articles du rapport :

1. Enjeux d'éthique des usages des données numériques d'éducation

2. Des données spécifiques au cœur de la souveraineté numérique

3. Assurer l'égalité d'accès au numérique

[1]https://www.cnil.fr/fr/respecter-les-droits-des-personnes

[2] Identifying Emotional States using Keystroke Dynamics. CHI 2011, May 7–12, 2011, Vancouver, BC, Canada

[3]https://www.cnil.fr/fr/cnil-direct/question/une-donnee-sensible-cest-quoi  et RGPD, art. 9.

[4] RGPD articles 9 et 10, et considérant 51.

[5] Considérants 38, 58, 65, 71 et 75 du RGPD. Concernant les droits des mineurs, le RGPD considère les enfants comme vulnérables, et ce critère doit donner lieu, combiné à un autre critère issu des lignes directrices du G29, à la réalisation d’une analyse d'impact (AIPD), pour construire des traitements respectueux de la vie privée (https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd)

[6]https://www.privacy-regulation.eu/fr/6.htm

[7] Lignes directrices sur le consentement au sens du règlement 2016/679A : https://www.cnil.fr/sites/default/files/atoms/files/ldconsentement_wp259_rev_0.1_fr.pdf

[8]https://www.education.gouv.fr/les-enjeux-de-la-protection-des-donnees-au-sein-de-l-education-7451

[9]https://www.cnil.fr/fr/signature-dune-convention-triennale-sur-la-protection-des-donnees-personnelles-dans-les-usages, décembre 2018.

[10] https://lewebpedagogique.com/2020/03/29/comment-travaillent-les-profs-pendant-le-confinement/

[11]https://www.liberation.fr/checknews/2020/03/27/les-enseignants-peuvent-ils-faire-cours-sur-discord-pendant-le-confinement_1783162

[12] Article du 31 mars  de France 24 : https://www.france24.com/fr/20200331-coronavirus-zoom-l-appli-vid%C3%A9o-au-m%C3%A9pris-de-la-vie-priv%C3%A9e et article du Monde du 2 avril : https://www.lemonde.fr/pixels/article/2020/04/02/securite-donnees-usages-cinq-questions-sur-zoom-le-service-de-videoconference-qui-cartonne_6035309_4408996.html.

[13]  Voir section 1.3.1.

[14] Audition de Bernard Benhamou le 12 mai.