Quelques conseils pour juger de la sécurité des plateformes éducatives

Depuis la mise en place du Centre gouvernemental de cyberdéfense du gouvernement du Québec, de nouvelles politiques et directives ont été élaborées et diffusées au sein des ministères et organismes de la province, notamment en lien avec la protection des renseignements personnels et l’hébergement des données. Celles-ci s’appliquent aussi au réseau de l’éducation et gagnent à être davantage connues.

Depuis mars 2020, l’usage d’outils technologiques a connu une grande croissance dans les établissements d’enseignement. Ces outils ne sont malheureusement pas tous égaux sur les plans légal, éthique, de la sécurité et de la protection des renseignements personnels. Quelques vérifications s’imposent avant de choisir un nouvel outil. Voilà pourquoi le personnel enseignant devrait développer des réflexes visant particulièrement à assurer la protection des renseignements personnels.

Qu’est-ce qu’un renseignement personnel?

Selon la Commission d’accès à l’information du Québec, « les renseignements personnels sont ceux qui portent sur une personne physique et permettent de l’identifier. Ils sont confidentiels. Sauf exceptions, ils ne peuvent être communiqués sans le consentement de la personne concernée ». Il peut donc s’agir du nom d’une personne, d’un numéro de téléphone, d’un courriel, etc.

Ce qu’il faut savoir

Selon les lois québécoises et les directives gouvernementales, les plateformes choisies doivent respecter les bonnes pratiques en termes de sécurité de l’information et de protection des renseignements personnels.

Cela signifie, notamment, que la plateforme :

• doit comporter des mécanismes de sécurité qui sont raisonnables, tenant compte de la sensibilité des renseignements personnels (plus un renseignement est jugé sensible, plus le niveau de protection devra être élevé);
• ne doit pas collecter des renseignements personnels des élèves ou des parents d’élèves à leur insu (si la plateforme choisie permet la collecte des données personnelles d’un élève mineur, l’enseignant doit s’assurer d’obtenir, préalablement à son utilisation, le consentement d’un parent ou du tuteur); 
• ne doit pas permettre le transfert ou le stockage des renseignements personnels dans un pays qui n’offre pas le même niveau de protection que la province de Québec. (Il s’agit d’une obligation prévue dans la Loi d’accès à l’information. Généralement, au Canada et aux États-Unis, on peut considérer que la protection est équivalente).

Avant de choisir

• Cerner les besoins en termes d’enseignement, d’apprentissage ou de collaboration;
• Identifier les options possibles;
• S’informer auprès des collègues pour savoir si une plateforme est déjà utilisée ou privilégiée dans son centre de services scolaire;
• Éviter la multiplication des plateformes qui ont une même finalité (afin de faciliter l’appropriation ainsi que l’accompagnement pour tous (enseignants, élèves, parents);
• Si le choix d’une nouvelle plateforme s’impose, faire quelques vérifications supplémentaires :
  • Lire la page À propos (l’information est-elle claire?);
  • Valider qu’il existe un service à la clientèle facilement accessible (par courriel ou téléphone, y a-t-il des heures d’ouverture?; le nom d’une personne contact?);
  • S’informer du lieu d’hébergement des données;
  • Lire la politique de confidentialité et de sécurité (même si cela peut sembler fastidieux).

Attention, ce n’est pas parce qu’une plateforme est conforme en ce moment qu’elle le sera pour toujours. Il faut donc refaire des vérifications à chaque année. Par exemple, des plateformes peuvent être vendues ou le contexte politique peut changer la donne (ex. plateforme appartenant à des intérêts russes).

Finalement, pour s’assurer de la conformité d’un outil avant de l’utiliser et discuter des options, les enseignants sont invités à communiquer avec le responsable de l’informatique ou de la sécurité de l’information de leur centre de services scolaire (tous devraient en avoir au moins un). Ainsi, ils pourront trouver un compromis entre les besoins pédagogiques et les enjeux de sécurité.

Le Centre opérationnel de cyberdéfense du ministère de l’Éducation est également disponible pour répondre à des questions venant des CSS ou de pousser plus loin les recherches concernant certaines plateformes.

En complément :

• Politique gouvernementale de cybersécurité
• Directive gouvernementale sur la sécurité de l’information 
• Guide de référence de l’infonuagique (voir Volet infrastructures dans cette page)
• Les 15 mesures de sécurité minimales requises

Aussi dans notre fil d’actualités :

• Des formations en sécurité de l’information pour tous
• 6 conseils pour choisir des outils numériques qui protègent les renseignements personnels des utilisateurs