Dans la bonne direction, mais en attendant des améliorations. C'est le message que le Conseil de transparence et de protection des données d'Andalousie a transmis au gouvernement régional (PP) sur les garanties et sauvegardes qu'il accorde aux 738 502 élèves mineurs, 43 2020 enseignants et 2 676 écoles dont les profils sont stockés par la multinationale Google à travers sa plateforme éducative virtuelle Workplace for Education. Depuis cinq ans, l'Exécutif andalou a violé la protection des données des étudiants et des enseignants non universitaires en ne respectant pas le Règlement général européen sur la protection des données (RGPD), pour lequel il a reçu six sanctions. Il prépare désormais le terrain et conçoit le nouvel accord qu'il signera en novembre prochain avec le géant de la technologie pour éviter de nouvelles réprimandes et se conformer à la loi.
Dans sa résolution d'il y a un an, le Conseil de Transparence a imposé des devoirs au Gouvernement andalou et le 10 février, au lendemain de la publication par ce média du transfert de données à Google, l'organisation a publié un rapport de conformité pour vérifier si l'Exécutif obéit et suit ses recommandations. La conclusion est que le Département andalou de développement éducatif et de formation professionnelle est sur la bonne voie pour protéger les profils de ses étudiants, mais il lui reste encore à corriger des aspects fondamentaux.
Le gouvernement a commis une grave violation pour ne pas avoir procédé à une évaluation d’impact appropriée concernant la protection des données des étudiants, « un outil fondamental du principe de responsabilité proactive ». Il s'agit d'un plan visant à évaluer les risques d'éventuelles failles de sécurité qui affecteraient des milliers de personnes. « L'analyse d'impact constitue une avancée significative dans le respect des obligations dérivées du règlement européen et des mesures correctives imposées (…) Le document constitue un point de départ nécessaire, mais pas suffisant. Il nécessite d'être complété et approfondi dans les aspects indiqués pour atteindre la rigueur qui correspond à un traitement qui touche plus d'un million d'utilisateurs potentiels, pour la plupart mineurs, dans le domaine du système éducatif public andalou », indique le rapport sur la protection des données.
L'une des deux sanctions très graves imposées au gouvernement concernait le transfert de données sur les étudiants vers des pays comme Singapour, le Salvador ou les Philippines, qui ne respectaient pas le RGPD. L'agence estime désormais que la loi est respectée. Bien entendu, elle le fait sur la base d'un document envoyé par l'entreprise nord-américaine dans lequel elle garantit que tous les transferts de données des étudiants andalous sont conformes au règlement européen. « Les transferts vers les États-Unis et les transferts ultérieurs des États-Unis vers des pays tiers offrent le cadre de protection des données comme garantie. [un compromiso de adecuación a la norma europea por parte de Google] », indique l'écrit.
À cet égard, le ministère andalou a souligné qu'il est « responsable du traitement des données personnelles » des étudiants. « Comme les données personnelles appartiennent au Ministère, elles sont absolument illisibles par Google et les modèles de compte sont absolument anonymisés », défend la porte-parole du Département, la conseillère Carmen Castillo, signataire de l'accord avec l'entreprise en 2020 et d'un avenant en 2024 qui sera réalisé à la fin de cette année.
Le professeur de philosophie du droit de l'Université Pablo de Olavide de Séville, Rafael Rodríguez, s'interroge sur le fait que l'Exécutif projette de prolonger l'accord de libre-échange avec le géant technologique : « Dans un contexte juridique changeant, où les relations transatlantiques entre l'UE et les États-Unis ne sont pas à leur meilleur, il est frappant de constater que ces risques sont en cours. la confiance se manifeste dans la bonté de Google. L'UE a infligé trois amendes à l'entreprise pour abus de position dominante, pour un montant total de 8,257 millions.
Rodríguez trouve « étonnant » que la Commission confie aux équipes de direction des écoles et instituts la responsabilité de surveiller et de contenir les contenus publiés sur la plateforme éducative virtuelle de l'entreprise. « Il est certainement curieux de faire en sorte que les enseignants, en plus d'enseigner, d'aider les parents et les élèves et de résoudre la bureaucratie, deviennent soudainement des experts en protection des données », critique-t-il après la certification de 8 004 enseignants en 96 jours dispensés par le ministère. L’expert recommande l’utilisation du système open source Moodle, « sans exclure d’autres voies ouvertes, collectives et créatives ».
Parce que les risques sont là. Parce que la plateforme Workplace for Education est très intuitive et offre une gamme convaincante d'outils pour noter les devoirs, partager des documents et rationaliser la bureaucratie, certaines équipes de direction sont aveuglément infidèles et ignorent les moindres réserves pour protéger les données de leurs étudiants. Ce journal a confirmé qu'au moins un centre andalou a sauvegardé les procès-verbaux d'évaluation dans Google Drive, même s'ils doivent se trouver sur Seneca, la plateforme activée par la Commission et qui offre des garanties de sécurité. En outre, l'inspection éducative provinciale a indiqué au centre qu'elle n'avait violé aucune réglementation en téléchargeant le procès-verbal sur la plateforme virtuelle de l'entreprise technologique.
Ces procès-verbaux sont des documents officiels où l'évolution des élèves est enregistrée avec nom et prénom et comprend leurs maladies, diagnostics médicaux, problèmes socio-économiques, ainsi que leur évolution tout au long de l'année scolaire. « Personne ne se rend compte que cet élève qui ne fait pas de gymnastique aujourd'hui parce qu'il a un souffle cardiaque voudra s'assurer dans 10 ans et ne pourra pas le faire parce que la compagnie d'assurance saura que son cœur ne fonctionne pas bien », censure un enseignant qui demande l'anonymat par crainte de représailles. À cet égard, le ministère se limite à rappeler que Seneca est la seule plateforme officielle sur laquelle doivent être téléchargés les procès-verbaux d'évaluation des écoles.
Les données de santé sont particulièrement protégées dans le règlement européen car il s'agit d'une catégorie particulière de données sensibles dont une utilisation abusive peut porter atteinte à la vie privée et aux droits fondamentaux des personnes. « L'Administration saute tout : elle signe avec Google et ne fait pas d'évaluation d'impact. Il faut tout réglementer, on ne peut pas respecter ses termes par intérêt ou par ignorance. Finalement, l'entreprise obtiendra des données désagrégées pour connaître avec des cartes thermiques les intérêts et les philosophies des enfants, selon leur âge, pour les exploiter et identifier des segments par âge, ce qui n'est pas correct non plus », prédit Mario de la Peña, membre de la commission des mineurs de l'Association professionnelle de la vie privée et de l'intelligence artificielle (Apep).
Ce jeudi, la ministre de l'Éducation, Carmen Castillo, a été franche dans son intervention au Parlement régional : « Il n'y a jamais eu de lacune dans la protection des données personnelles des étudiants et des enseignants andalous (…) La seule chose que le Conseil de transparence nous a demandé, c'est que nous informions et formions les familles et les enseignants pour éviter les risques. nos données sont protégées. L'opposition politique, qui a qualifié l'affaire de « scandale », a demandé à Castillo de mettre fin à l'accord avec Google, de réaliser un audit interne et d'assumer des responsabilités politiques.
