Les moyens d'enseignement numériques et les applications d'apprentissage traitent différentes données. Parmi elles, des données personnelles, ce qui pose de nouvelles exigences quant à leur traitement. C'est ce que montre le rapport «Gestion des moyens d'enseignements sous l'angle de la protection des données dans le canton d'Argovie». Celui-ci analyse l'ensemble du processus des moyens d'enseignement, de l'évaluation à l'utilisation concrète dans les écoles obligatoire argoviennes. Les résultats permettent d'élaborer des mesures pour une utilisation des moyens d'enseignement numériques sûre et conforme à la protection des données.
Les dispositions légales sous la loupe
Le rapport se fonde sur une analyse juridique des bases légales argoviennes relatives aux moyens d'enseignement et à la protection des données. Il explique comment un traitement des données conforme à la protection des données doit être concrètement organisé et qui doit accomplir quelles tâches. Il s'avère que la responsabilité en matière de protection des données est liée à l'organisation de la gestion des moyens d'enseignement.
Selon le type de moyen d'apprentissage (moyens d'enseignement communs correspondant aux objectifs et aux progressions du Plan d'études romand (PER) versus autres moyens d'apprentissage et applications d'apprentissage), différents niveaux étatiques ou unités administratives sont responsables de l'évaluation, de la mise en œuvre et de l'utilisation. Par conséquent, différents services décident des moyens et des objectifs du traitement des données scolaires. Il en résulte une responsabilité partagée au sens de la protection des données.
Les responsabilités sont déléguées sur une base légale aux différents niveaux de l'État (par ex., loi sur l'école obligatoire, loi sur les communes ou dans le cadre du droit du personnel). Au sein de cette chaîne de responsabilités complexe, il est essentiel pour la protection des données d'être toujours au clair sur sa propre responsabilité. Cela vaut en particulier lorsque le traitement des données est confié à des tiers ou à des éditeurs de moyens d'enseignement. En effet, la responsabilité reste du ressort de l'État concerné. Celui-ci est tenu de prévoir, par le biais d'un contrat de sous-traitance des données, que la responsabilité en matière de protection des données soit respectée dans la même mesure par le fournisseur de services.
Responsabilité partagée pour les moyens d'enseignement communs
Lorsqu'un moyen d'enseignement est déclaré obligatoire par le canton, cela signifie pour l'école qu'elle doit l'utiliser. La décision concernant les moyens de traitement des données – c'est-à-dire le moyen d'enseignement concret – revient donc au canton. C'est ainsi au canton qu'incombe la responsabilité d'effectuer un contrôle de l'application et de recommander des mesures permettant de réduire les risques. Le canton est toutefois trop éloigné du traitement effectif des données – c'est-à-dire de l'utilisation dans l'enseignement – de sorte que la commune ou l'école ont également une responsabilité à deux égards. D'une part, celles-ci sont tenues – selon leurs compétences – de mettre à disposition un environnement numérique adéquat dans lequel il est possible d'utiliser le moyen d'enseignement et les applications d'apprentissage en conformité avec la protection des données. Pour cela, les mesures techniques et organisationnelles (TOM) déjà existantes doivent être vérifiées et éventuellement complétées. D'autre part, il faut s'assurer pendant l'utilisation du moyen d'enseignement que ces mesures sont appliquées. Pour ce faire, le corps enseignant ainsi que les élèves et, le cas échéant, les responsables légaux doivent être formés et sensibilisés de manière appropriée.
Aperçu exemplaire de la pratique
Des entretiens avec des responsables scolaires ont ensuite permis de déterminer comment les praticiens gèrent la protection des données dans le cadre des moyens d'enseignement et des applications d'apprentissage numériques. Dans l'ensemble, l'image qui s'est dégagée est très hétérogène. Plus une école est grande et plus elle dispose de ressources, plus il semble facile de mettre en place des processus (vérifications de protection des données, formations, etc.) et d'élaborer des outils (par ex. un guide de protection des données). Cependant, il est clairement ressorti de toutes les interviews que les responsables scolaires souhaiteraient un soutien de la part du canton ou d'un organisme compétent. Le sujet est trop complexe et demande trop de ressources pour que chaque école puisse chercher des solutions seule.
Solutions possibles
Pour relever les défis identifiés, les solutions suivantes peuvent être envisagées:
- définir clairement les compétences le long de la chaîne de responsabilité et les communiquer de manière transparente;
- effectuer des vérifications d'application itératives afin de pouvoir prendre des mesures ciblées pour minimiser les risques;
- développer les compétences techniques et juridiques nécessaires à cet effet dans les services concernés.
- En outre, il convient de renforcer la prise de conscience des thèmes de la protection et de la sécurité des données (en abrégé ISDS) par des mesures de sensibilisation à grande échelle et de proposer une formation spécifique lors de l'introduction de nouveaux moyens d'enseignement.
- Enfin, il faudrait renforcer la collaboration cantonale et intercantonale afin d'exploiter les synergies lors des vérifications d'application et, le cas échéant, des processus d'acquisition. Pour ces derniers, il s'agit notamment d'imposer aux fournisseurs de services des exigences claires en matière de critères de protection et de sécurité des données dès l'achat de moyens d'enseignement.
Perspectives
Les connaissances acquises seront à présent reprises dans le cadre du développement d'une politique d'utilisation des données pour l'espace suisse de formation et affinées sous forme de développement concrets.