La surveillance des ordinateurs portables scolaires comporte toutefois des risques, car elle implique une intrusion dans la vie privée de l’élève. Si l’établissement recourt à la surveillance, il est responsable du traitement des données à caractère personnel. C’est pourquoi il est important que l’établissement respecte les obligations du Règlement général sur la protection des données (« RGPD »).
Exemples :
Un enseignant en arrêt maladie ne peut pas vérifier ce que font les élèves à l’école pendant l’heure d’étude.
Les enseignants ne peuvent pas vérifier ce que les élèves font chez eux sur leur ordinateur portable scolaire lorsqu’ils font leurs devoirs.
La surveillance des ordinateurs portables scolaires ne doit donc pas être utilisée simplement parce que c’est « pratique » pour l’enseignant. Les principaux points à retenir sont brièvement présentés ci-dessous.
Règles que les établissements scolaires doivent respecter
Les établissements scolaires ne peuvent utiliser des logiciels de surveillance que s’ils :
ont défini un objectif
ont un motif légal
ne traitent que les données strictement nécessaires à la réalisation de cet objectif
ne disposent d’aucune alternative ayant un impact moindre sur la vie privée
ont fourni des informations sur l'utilisation du logiciel de surveillance aux personnes concernées : comment il fonctionne, pourquoi il est nécessaire, quels sont vos droits et comment vous pouvez les exercer
sécurisent correctement les données et ne les conservent pas plus longtemps que nécessaire
L'établissement scolaire doit veiller à ce que toutes ces règles soient respectées et à ce que les enseignants n'abusent pas du logiciel de surveillance.
Explications complémentaires
Il est essentiel que l'établissement scolaire détermine précisément à l'avance les raisons pour lesquelles il souhaite utiliser ce logiciel de surveillance. Le traitement des données à caractère personnel doit toujours avoir un objectif clair.
L’établissement scolaire doit également disposer d’un motif légal pour utiliser un logiciel de surveillance. Il doit donc être en mesure de démontrer que l’utilisation de ce logiciel est nécessaire à l’exécution d’une mission qu’il accomplit dans le cadre de l’intérêt général. De plus, s’il existe des alternatives ayant un impact moindre sur le droit à la protection des données à caractère personnel des élèves et permettant d’atteindre le même objectif, l’établissement scolaire doit privilégier ces alternatives.
Enfin, la minimisation des données est également importante. Cela signifie que l’école ne peut traiter que les données qui sont réellement nécessaires pour atteindre l’objectif visé. L’école ne peut donc pas collecter ou utiliser plus de données à caractère personnel que nécessaire. Si trop de données sont traitées, cela constitue une violation du RGPD.
Par ailleurs, il est également obligatoire d’informer les élèves et leurs parents, de manière accessible et compréhensible, sur l’utilisation du logiciel de surveillance. Ils doivent être informés sur : le fonctionnement du logiciel, les raisons pour lesquelles il est nécessaire, les droits des élèves et leurs parents et la manière dont ils peuvent les exercer.
Il est également recommandé que l'établissement scolaire élabore des directives à l'intention des enseignants concernant l'utilisation du logiciel. Ainsi, les enseignants doivent savoir clairement dans quels cas ils sont autorisés ou non à utiliser le logiciel et quels outils ils sont autorisés ou non à utiliser. L'établissement scolaire est responsable de l'utilisation correcte du logiciel de surveillance et doit également veiller à ce qu'il n'y ait pas d'abus de la part des enseignants.
L’établissement doit également veiller à ce que les données à caractère personnel soient protégées au mieux, par exemple sur un serveur sécurisé à accès restreint. Les données ne doivent pas être conservées plus longtemps que ce qui est strictement nécessaire à la finalité poursuivie. Cet aspect, ainsi que d’autres aspects du traitement, doivent être pris en compte dans une analyse d’impact relative à la protection des données (appelée « AIPD »). L’utilisation d’un logiciel de surveillance présente en effet un risque élevé pour le droit à la protection des données à caractère personnel des élèves. L’AIPD est une sorte d’analyse d’impact et de risque dans laquelle les effets sur la protection des données à caractère personnel sont identifiés et évalués. L’AIPD doit donner un aperçu de ces risques ainsi que des mesures que l'école compte prendre pour les minimiser.
Les critères Bărbulescu
La surveillance des ordinateurs portables scolaires ne peut donc pas se faire sans raison valable. De même, les employeurs ne peuvent pas surveiller sans raison valable les communications personnelles de leur personnel. La Cour européenne des droits de l’homme a déjà rendu un arrêt important à ce sujet dans l’affaire Bărbulescu.
Pour déterminer si une surveillance est légale, il convient de se poser les questions suivantes :
- Le salarié savait-il à l’avance qu’une surveillance était possible ?
- Quelle était l’étendue de la surveillance ? S’est-on limité à ce qui était nécessaire, ou a-t-on consulté un grand nombre d’informations personnelles ?
- Y avait-il une raison valable justifiant la surveillance ?
- Le même objectif aurait-il pu être atteint par des moyens moins intrusifs ?
- Quelles ont été les conséquences de la surveillance pour le salarié ?
- L’employeur a-t-il suffisamment garanti la protection des données du salarié ?
Cette affaire portait sur la surveillance dans le contexte professionnel, mais ces critères sont également importants pour évaluer d’autres formes de surveillance, notamment dans le contexte scolaire. Les établissements scolaires doivent donc eux aussi respecter les critères de l’arrêt Bărbulescu lorsqu’ils utilisent des logiciels de surveillance. La relation entre l’élève et l’établissement scolaire est de même nature que celle entre le salarié et l’employeur. On observe ici aussi un rapport de force inégal, susceptible de donner lieu à des abus si certaines garanties ne sont pas mises en place. Dans un contexte scolaire, il s'agit en outre de mineurs qui ont droit à une protection spécifique, car ils sont souvent moins conscients de leurs droits et sont parfois moins à même d'évaluer les risques et les conséquences potentiels du traitement de leurs données à caractère personnel.
Vous vous inquiétez de l'utilisation des logiciels de surveillance à l'école ?
En tant qu'élève ou parent, l'utilisation des logiciels de surveillance à l'école vous préoccupe-t-elle ? L'établissement scolaire est tenu de vous fournir des informations sur les données à caractère personnel qu'il collecte et sur la manière dont il les traite. N'hésitez donc pas à contacter l'établissement pour poser vos questions à ce sujet. Le problème n'est pas résolu ? Contactez alors l'Autorité de protection des données.
Vous souhaitez en savoir plus sur le contexte juridique ?
Les articles 5 et 6 du RGPD constituent en quelque sorte le cœur normatif du RGPD. L’article 5, paragraphe 1, du RGPD énumère les principes fondamentaux qui doivent être respectés lors de tout traitement de données à caractère personnel. L’article 6, paragraphe 1, du RGPD définit la base juridique d’un traitement licite des données à caractère personnel.