L’essor de l’examen en ligne

Crise sanitaire oblige, 2020 et 2021 ont vu une accélération massive de la numérisation des pratiques, que ce soit dans la sphère privée, dans la sphère professionnelle, mais également dans le monde de l’éducation. Afin d’éviter d’agglutiner des centaines d’étudiants dans des amphis mal aérés, les écoles et universités se sont mises à pratiquer largement l’examen en ligne, parfois dans l’urgence et sans se poser toutes les questions inhérentes à ce type d’évaluations. En effet, ce type d’examen implique le plus souvent la collecte et le traitement de nombreuses données personnelles, dont la captation d’image de l’étudiant tout en haut de la liste. Nous envisagerons tout d’abord les conséquences pratiques en termes de valeur et de sécurité de ces examens (I), avant de les analyser au travers du prisme du RGPD (II).

I.               Valeur et risques des examens en lignes

L’examen en ligne, de par sa nature, impose bien souvent une typologie unique d’examen : le QCM. Cela nous conduit à réfléchir sur la valeur que possède l’examen en ligne, par rapport à l’examen sur table (A). De plus, de nombreux témoignages de fraudes ont afflué sur internet après la vague d’examen en ligne consécutive à la situation sanitaire (B).

A.     Le QCM, épreuve reine de l’examen en ligne

Afin de traverser la crise sanitaire tout en maintenant les examens, les universités ont relégué au second plan les épreuves sur tables au profit du questionnaire à choix multiples. Cette tendance interroge à plusieurs niveaux.

Si certaines épreuves peuvent se prêter facilement au QCM, pour d’autres, il est plus compliqué d’attribuer la même valeur à ce type d’examen qu’aux compositions écrites. Cette question dépasse d’ailleurs le cadre de la crise sanitaire et l’on peut citer efficacement l’exemple de la première année de médecine. Afin d’épurer des promotions trop remplies selon le Ministère de l’Enseignement Supérieur (alors que les effectifs en médecine ont atteint un niveau critiquement bas), cette première année est sanctionnée par des évaluations au QCM permettant de tester dans un temps court un grand nombre de connaissances des étudiants.

Cependant, loin de vérifier la compréhension du domaine médicale des candidats, cette épreuve classe les étudiants sur la base de leur capacité à mémoriser un grand nombre d’informations dans un laps de temps très court. Ajouté à cela un numerus clausus (nombre de candidats aptes à passer en deuxième année) extrêmement restreint par rapport à la taille totale de la promotion, nous pouvons nous interroger très fortement sur la portée pédagogique de cette pratique et sur sa pertinence en matière de politique sanitaire nationale.

De la même façon la pertinence de ce type d’évaluation est discutable dans beaucoup d’autres domaines. Quel étudiant en droit ne se souvient pas de ses commentaires d’arrêt et de ses dissertations ? Comment évaluer la capacité d’un étudiant en biologie à réaliser des dessins d’observation ? Il est évident qu’un grand nombre de compétences et d’aptitudes sont difficiles, voire impossibles, à évaluer par le biais d’un QCM.

Ces deux points mettent également en exergue un des maux de l’enseignement supérieur : son décalage avec la réalité du monde du travail. En effet, un juriste d’entreprise rédigera des notes, mais rarement des dissertations, et ne passera pour ainsi dire jamais de QCM. Nous reviendrons sur ce point central dans la partie B.

Néanmoins, une qualité tout à fait appréciable demeure au crédit du QCM: l’efficacité. Sa numérisation permet en effet une correction automatique des examens, dégageant du temps aux enseignants pour se consacrer à du pédagogique pur. De plus, ce fut pour eux une diminution notable de la charge mentale à un moment ou la crise sanitaire pesait sur tout le monde.

Un autre écueil cependant est à mettre à la charge des examens en ligne : la possibilité de fraudes.

B.     L’examen en ligne : Fraude obligatoire ?

« Tout le monde le faisait ! ». C’est par cette petite phrase que Marine, étudiante en biologie, justifiait le fait d’avoir triché dans un article du Point de juillet 2020 . Si la triche est certainement un phénomène aussi ancien que les examens eux-mêmes, c’est l’ampleur qu’il prend lorsqu’il s’agit d’examen en ligne qui interroge.

Un deuxième ordinateur, un deuxième smartphone, des conversations où les étudiants s’échangent les bonnes réponses via les réseaux sociaux : les moyens sont multiples, et surtout faciles à mettre en place.

Si aucun chiffre précis n’existe sur l’ampleur de la triche pendant la crise sanitaire, les témoignages sont légion et font état d’une fraude pratiquement institutionnalisée tant sa dimension collective est importante. Le son de cloche diverge cependant du côté des établissements qui n’ont que de bonnes raisons de minimiser le phénomène, tant pour préserver la réputation de leur structure, que pour protéger les étudiants de ce qu’on pourrait appeler « des diplômes au rabais ».

En effet, au-delà de la question intrinsèque de la valeur de l’examen évoquée plus haut dans cet article, viens s’ajouter celle de la légitimité des diplômés. N’est-il pas pertinent pour un employeur de s’interroger sur la validité du diplôme d’un étudiant issu des promotions COVID, estimant probable que celui-ci ait triché pendant ses examens ? Et donc, à ce titre, de lui préférer un candidat d’une promotion plus ancienne ou plus récente à l’occasion, par exemple, d’une embauche ? Ces questions sont très loin d’être anecdotiques pour une génération d’étudiants qui a déjà souffert de la crise sur le plan extra-scolaire, n’ayant pu connaître les attraits de la vie étudiante.

Deux points noirs majeurs, soulignant ce que nous avons évoqué un peu plus tôt dans cet article : le décalage entre le supérieur et le monde du travail. Que doit-on raisonnablement attendre d’un travailleur dans sa vie professionnelle ? Qu’il ait les réponses à tout, ou bien qu’il soit en capacité de trouver ces réponses dès lors qu’il ne les connait pas ? Aucun travailleur n’ayant la science infuse, nous retiendrons la deuxième possibilité. Dans ce contexte, ce salarié ira interroger une personne ayant potentiellement la réponse, ou bien ira piocher dans des ressources externes telles qu’internet. Soit, précisément, le type d’action que l’on reproche aux étudiants fraudeurs. Ce paradoxe marque une occasion manquée de revoir les méthodes pédagogiques alors que des solutions existent : dossier ou mémoire à rendre, composition à faire chez soi, tout cela quitte à rehausser les barèmes par rapport aux épreuves sur table, toutes les ressources étant disponibles. Bon nombre de Master 2 permettent d’ailleurs déjà aux étudiants de se munir de toute ressource qu’ils jugeront utile pour passer leurs partiels.

Il ne s’agit évidemment pas de faire l’impasse totale sur le QCM, qui peut avoir son utilité, mais de limiter sa place dans l’évaluation des étudiants à l’heure ou d’autres solutions, souvent plus pertinentes, existent. Ces solutions nécessitent de réunir un certain nombre de conditions, à la fois pour garantir la légitimité des notes, mais aussi pour être conforme en matière de protection des données personnelles.

II.              Les examens en ligne face au RGPD

Pour apprécier correctement l’examen en ligne vis-à-vis du RPGD, nous décrypterons ses différents traitements de données, puis nous en tirerons les conséquences adéquates.

A.     Les traitements de données personnelles pour les examens en ligne.

Activation de la webcam, téléphone présenté à la caméra puis posé au sol de façon ostentatoire pour garantir que l’étudiant ne s’en servira pas, lancement d’un logiciel de monitoring de l’utilisation de l’ordinateur, et l’examen peut commencer. Voilà, peu ou prou, ce que fut le rituel de milliers d’étudiants passant leurs examens pendant la crise.

Nous avons ici de multiples traitements de données personnelles. Le plus évident tout d’abord, et le moins sensible, nous renvoie aux informations personnelles pour identifier l’étudiant au sein de sa promotion : nom, prénom, niveau d’étude.

Vient ensuite le contenu même de l’examen, soit les réponses de l’étudiant, dont le degré de sensibilité augmente dans la mesure où cela reflète ses compétences.

Dans une optique d’éviter toute triche, ces examens en ligne s’accompagnent le plus souvent d’une captation d’image. Deux méthodes semblent être couramment utilisées, d’une part la captation vidéo en continu pendant toute la durée de l’épreuve, d’autre part la prise de photo ponctuelle et aléatoire. De façon plus marginale certaines épreuves ont été réalisées à l’aide de logiciels de reconnaissance faciale, comme en témoignait une étudiante dans les colonnes du Figaro.

Enfin, et toujours pour lutter contre la fraude, ont été également mises en place des solutions logicielles de blocage d’autres fonctions de l’ordinateur, voire de monitoring pouvant notamment permettre de prendre le contrôle de l’ordinateur de l’étudiant pendant le déroulé de l’examen, à l’image de SafeExamBrowser.

Cependant, la CNIL au travers de ses analyses a établi un certain nombre de bonnes pratiques ainsi que des cas de disproportion entre la finalité et les moyens employés.

B.     Qualification de ces traitements et conséquences au regard du RGPD

Lors de l’analyse d’un traitement de données personnelles, le premier jalon à atteindre est de déterminer la base légale adaptée aux finalités poursuivies par le traitement (Article 6 du RGPD).

Coqueluche des responsables de traitements, le consentement est la base légale fourre-tout sur laquelle repose (parfois bien maladroitement) un grand nombre de traitements de données personnelles. Pour être valide ce consentement doit libre et éclairé ce qui, dans notre contexte, signifie que l’étudiant doit bénéficier d’un véritable choix, où son refus n’entraine pas de conséquences néfastes pour lui. Mais dans la pratique, l’étudiant a-t-il vraiment le choix ? De toute évidence non, le consentement comme base légale pour les examens en ligne doit donc être écarté. La base légale la plus adaptée pour un établissement d’enseignement est à priori l’exécution d’une mission d’intérêt public. 

Il convient ensuite de respecter les principes de finalité et de proportionnalité des traitements. Concernant le premier, il s’agit de ne pas traiter les informations captées par le dispositif pour autre chose que la finalité poursuivie (ici la télésurveillance et la réalisation de l’examen) au risque de tomber dans l’écueil du détournement de finalité. Coté proportionnalité, il s’agit de s’assurer que les moyens déployés ne dépassent pas ce qui est strictement nécessaire à la poursuite de cette finalité.

La CNIL a notamment considéré que la captation vidéo continue comme la captation de photos à des moments aléatoires respectaient ce principe de proportionnalité. En revanche, les traitements de données biométriques étant par principe interdits, l’utilisation de la reconnaissance faciale a été déclarée non conforme, de même que les logiciels permettant la prise de contrôle du périphérique personnel de la personne évaluée.

Ces traitements doivent être assortis d’une durée de conservation adéquate, c’est-à-dire qu’on ne doit pas conserver les données une fois que le besoin s’est éteint. Pour les examens à distance, la bonne durée renverrait au délai de prescription afférent aux litiges éventuels pouvant naître de l’examen.

Enfin, le responsable de traitement doit évidemment mettre en place un niveau de sécurité adapté aux risques qui pèseraient sur les libertés des étudiants en cas de fuite de données. Parmi les bonnes pratiques : chiffrement des canaux, politique d’accès limité aux données, serveurs avec un haut niveau de sécurité contre les intrusions, etc.

Ajoutons enfin que pour les traitements impliquant de la captation video, il faut réaliser une analyse d’impact relative à la protection des données (Article 35 du RGPD) (insérer lien infographie sur l’AIPD). Cet outil permet de vérifier que le responsable de traitement à pris toute les mesures de sécurité idoines au regard des risques que le traitement fait peser sur les droits et libertés des individus. 

En conclusion, les examens en ligne imposés par le contexte COVID peuvent être perçus comme un échec. A la fois parce qu’ils n’ont été proposés que sous la forme de QCM, là où ils auraient pu être assortis d’autres types d’évaluation, mais aussi parce que le choix des plateformes n’a été adapté, ni en termes d’étanchéité à la fraude, ni en termes de respect des droits RGPD. La crise aujourd’hui derrière nous, elle nous force néanmoins à nous interroger. Les organismes de formation, les écoles et les universités devraient sans doute revoir leur modèle et chercher à intégrer des modes d'examen plus adaptés au numérique au lieu de vouloir calquer l'ancien monde sur les outils du nouveau. Des solutions à fort potentiel existent et permettraient, de surcroît, d'ouvrir les portes des établissements d’enseignement à l'ensemble des étudiants du monde.