les implications RGPD pourront être approfondies selon les usages.
Vu de l'extérieur, je ne suis pas sûr.
Tu as bien sûr l'argument "boarf, ça ne change pas fondamentalement ce qu'on faisait avant", et oui, bien sûr, il est très probable que les pratiques actuelles dans les salles des profs défoncent allègrement la quasi-totalité des paragraphes de la RGPD et des préconisations de la CNIL : les photos sont partagées par email, trainent sur des disques durs partout, sont utilisées pour faire des trombinoscopes "sauvages" pour des utilisations non-documentées, les données ne sont pas suivies (personne ne sait sur combien de machines elles sont placées, il n'y a pas de protocole de destruction en fin d'année, quand les données sont supprimées elles restent dans la corbeille, et de toutes manières c'est sur du matériel perso (laptops, téléphones, tablettes achetées par les enseignants, partagés avec leur famille, etc)). Donc OK, on parle d'informations personnelles sur des enfants, recuieillies officiellement par une administration publique, et gérées sans aucun cadre ni légal ni informatique; c'est difficile d'imaginer pire, en fait.
La différence entre un trombinoscope sauvage en Powerpoint et le répertoire .local/piveo, c'est la constitution d'une base de données standardisée. Et c'est là où la responsabilité (légale je ne sais pas, mais au moins morale) du concepteur du logiciel peut être invoquée : il n'existe probablement aucune situation en pratique dans laquelle coller ces informations dans le /home d'un PC puisse être légale; le logiciel fait "tout naturellement" un truc totalement illégal, probablement sans que l'utilisateur ne le sache.
Il faudrait évidemment consulter un référent RGPD, mais pour que le contenu du répertoire .local/piveo soit conforme, il faut que le répertoire soit identifié (c'est à dire que le responsable informatique soit au courant de l'existence de ce fichier et de son contenu et qu'il soit déclaré sur le registre RGPD de l'établissement), que les élèves aient explicitement consenti à cette application (on ne peut pas leur dire "c'est pour un trombinoscope" et utiliser leurs photos pour se faire des quizz prénoms), que la date de création de ce fichier et de toutes ses sauvegardes soient consignées sur le registre RGPD, que l'accès à ce fichier soit sécurisé (autrement dit, pas compatible du tout avec un laptop perso...), que la date de suppression des données soit renseignée (et que les données soient effectivement supprimées, ainsi que leurs backups et leurs duplicats, y compris dans la corbeille) à la date prévue, etc etc. C'est tout un gros truc à mettre en place, et c'est normal : il s'agit d'informations d'État civil de mineurs enrichies de photos et éventuellement d'autres informations personnelles, ce sont des informations précieuses dont il faut prendre un soin très particulier. Le RGPD n'est pas là pour entraver la liberté, il est là pour que les utilisateurs de telles données réalisent à quel point ces données sont sensibles et doivent être protégées—si vous trouvez tout ça trop casse-pied, c'est fait pour.
Donc voila, la conformité RGPD, c'est pas un truc qu'on regarde après, comme une amélioration possible d'un truc qui fonctionne. Un logiciel conçu pour manipuler des données personnelles sans implémenter les briques de bases du RGPD (chiffrement, contrôle d'accès, pas de copie locale, ...) est un logiciel profondément bugué.
Il serait très facile de transformer ce logiciel pour apprendre les espèces de félidés ou les constellations, c'est juste qu'un tel logiciel ne peut pas légalement être utilisé pour manipuler des données personnelles.
[^] # Re: RGPD
Posté par arnaudus . En réponse au journal Piveo 2.4.0: logiciel d'apprentissage de prénoms et noms. Évalué à 7 (+4/-0).
Vu de l'extérieur, je ne suis pas sûr.
Tu as bien sûr l'argument "boarf, ça ne change pas fondamentalement ce qu'on faisait avant", et oui, bien sûr, il est très probable que les pratiques actuelles dans les salles des profs défoncent allègrement la quasi-totalité des paragraphes de la RGPD et des préconisations de la CNIL : les photos sont partagées par email, trainent sur des disques durs partout, sont utilisées pour faire des trombinoscopes "sauvages" pour des utilisations non-documentées, les données ne sont pas suivies (personne ne sait sur combien de machines elles sont placées, il n'y a pas de protocole de destruction en fin d'année, quand les données sont supprimées elles restent dans la corbeille, et de toutes manières c'est sur du matériel perso (laptops, téléphones, tablettes achetées par les enseignants, partagés avec leur famille, etc)). Donc OK, on parle d'informations personnelles sur des enfants, recuieillies officiellement par une administration publique, et gérées sans aucun cadre ni légal ni informatique; c'est difficile d'imaginer pire, en fait.
La différence entre un trombinoscope sauvage en Powerpoint et le répertoire .local/piveo, c'est la constitution d'une base de données standardisée. Et c'est là où la responsabilité (légale je ne sais pas, mais au moins morale) du concepteur du logiciel peut être invoquée : il n'existe probablement aucune situation en pratique dans laquelle coller ces informations dans le /home d'un PC puisse être légale; le logiciel fait "tout naturellement" un truc totalement illégal, probablement sans que l'utilisateur ne le sache.
Il faudrait évidemment consulter un référent RGPD, mais pour que le contenu du répertoire .local/piveo soit conforme, il faut que le répertoire soit identifié (c'est à dire que le responsable informatique soit au courant de l'existence de ce fichier et de son contenu et qu'il soit déclaré sur le registre RGPD de l'établissement), que les élèves aient explicitement consenti à cette application (on ne peut pas leur dire "c'est pour un trombinoscope" et utiliser leurs photos pour se faire des quizz prénoms), que la date de création de ce fichier et de toutes ses sauvegardes soient consignées sur le registre RGPD, que l'accès à ce fichier soit sécurisé (autrement dit, pas compatible du tout avec un laptop perso...), que la date de suppression des données soit renseignée (et que les données soient effectivement supprimées, ainsi que leurs backups et leurs duplicats, y compris dans la corbeille) à la date prévue, etc etc. C'est tout un gros truc à mettre en place, et c'est normal : il s'agit d'informations d'État civil de mineurs enrichies de photos et éventuellement d'autres informations personnelles, ce sont des informations précieuses dont il faut prendre un soin très particulier. Le RGPD n'est pas là pour entraver la liberté, il est là pour que les utilisateurs de telles données réalisent à quel point ces données sont sensibles et doivent être protégées—si vous trouvez tout ça trop casse-pied, c'est fait pour.
Donc voila, la conformité RGPD, c'est pas un truc qu'on regarde après, comme une amélioration possible d'un truc qui fonctionne. Un logiciel conçu pour manipuler des données personnelles sans implémenter les briques de bases du RGPD (chiffrement, contrôle d'accès, pas de copie locale, ...) est un logiciel profondément bugué.
Il serait très facile de transformer ce logiciel pour apprendre les espèces de félidés ou les constellations, c'est juste qu'un tel logiciel ne peut pas légalement être utilisé pour manipuler des données personnelles.