Re: [EDUC] Visio / lycées

[Olivier Guillard <mairie AT guillard.nom.fr>]

Bonsoir,

N'étant plus de la maison, je peux joyeusement intervenir ici sans risquer de me mettre à dos un collègue, et ça, c'est un vrai luxe :-)

Blague à part, je me permets quelques réactions à propos d'éléments trouvés dans ces échanges

François Bocquet écrit :

> C'est ce qui explique que des universités choisissent Zoom, Webex, Collaba (de Blackboard), Teams ou encore Meet parfois en plus de services Jitsi ou BBB dont elles assurent elles-mêmes l'exploitation.

Le problème ici c'est que l'on mélange des torchons et des serviettes : "Zoom, Webex, Teams ou Meet" sont des produits qui ne sont à disposition que dans le cadre de stratégie des sociétés privées qui les proposent (M$oft et consort), au services donc de finalités qu'elles sont seules à définir (en trouvant toujours le moyen de s'accommoder des éventuelles exigences, voire même d'un faire des atouts, par exemple dans le cadre des fameux "partenariats gagnant/gagnant"). Jitsi ou BBB sont eux des outils techniques qui ne font que proposer des fonctionnalités et ne charrient pas "intrinsèquement" de finalités en dehors du contexte de leur exploitation.

William écrit :

> pourquoi s'être dôté d'un cadre législatif tel que le RGPD et ne pas avoir pris la peine de mettre en place une sorte de "certification" ou de "validation"

Mais des certifications, il y en a pléthore ! C'est d'ailleurs prévu danss le texte originel (voir l'Article 42 du RGPD) et c'est aussi un très juteux business :-)

Voir les déclinaison ici :

https://www.cnil.fr/fr/certification

Ou encore ici :

https://www.cnil.fr/fr/les-labels-cnil

Au niveau européen, y'a aussi :

https://edpb.europa.eu/our-work-tools/our-documents/procedure/edpb-document-procedure-approval-certification-criteria-edpb_fr

Voir aussi là sur des sujets connexes :

https://www.techtalks.fr/cybersecurite-comment-label-certification-anssi/

Ou ici :

https://www.ssi.gouv.fr/administration/qualifications/

et encore là :

https://www.ssi.gouv.fr/adminisc'est d'avoir de l'argent pour pouvoir candidater aux labelstration/produits-certifies/certification-faq/

...

Bref, inutile de dire que, pour qui a des sous, pas de souci pour trouver de bonne sources de "labellisation" ou de "certification", souvent conditions préalables d'ailleurs de "qualification" pour l'accès aux appels d'offres publics.

Comme cela a été évoqué dans un récent échange sur cette liste à propos du RGPD :

Le mar. 16 mars 2021 à 16:14  :

> Avec le RGPD n'importe qui peut collecter les données personnelles qu'il veut du moment qu'il est capable de "prouver sa conformité"

> (justifier d'une finalité, utiliser des solutions estampillées par l'ANSSI, etc.). Et puisque c'est la loi, pas moyen de s'en extraire.

> C'est donc un boulevard, une machine à tuer "la petite" concurrence pour les grosses écuries.

> J'ai bien peur qu'à terme, le remède soit pire que le mal...

Bien à tous,

---

Olivier

Le jeu. 8 avr. 2021 à 19:07, william <educ AT april.org> a écrit :

Bonsoir,

merci à toi François de partager ces infos avec nous. J'ai aussi suivi quelques formations sur le RGPD en solo et j'essaie de diffuser ses principes auprès de mes collègues et avec bienveillance.

Pourtant, ce qui m'interpelle dans tout ça, c'est : pourquoi s'être dôté d'un cadre législatif tel que le RGPD et ne pas avoir pris la peine de mettre en place une sorte de "certification" ou de "validation" qui permettrait un affichage bien plus efficace qu'actuellement.

Car, il faut le dire, quand on veut évaluer la conformité d'une solution ou d'une autre, c'est un peu le parcours du combattant entre ceux qui n'indiquent rien, ceux qui indiquent trop et essaient de noyer le poisson ... Il me semble que se doter d'un organisme de certification, fusse à l'échelle européenne, aurait permis de cibler directement ceux qui sont ou pas conformes.

Je ne suis pas dupe et je pense que l'explication est juste politique. Ce ne peut être que la conséquence d'un choix de ne pas mettre en oeuvre une telle structure.

La CNIL fait ce qu'elle peut, mais pour moi elle arrive après coup. Et, si ses guides de bonne pratiques et ses préconisations sont existantes, elles n'engagent que ceux qui veulent bien les lire et mettre en oeuvre. Certes le bâton est assez dissuasif pour les petites structures, mais pour les grands groupes internationaux .... ?

Je comprends Vincent (même si je ne partage pas sa colère) sur le constat d'usine à gaz que sont devenu les clicodrone d'accueil dont le principal effet est un rejet de la plupart de ceux avec qui j'évoque la question.

Une certification aurait plus de visibilité ....

J'ai réussi à faire que maintenant, lorsqu'un collègue souhaite utiliser une solution, il pense à me demander en amont. Cela me montre qu'ils se posent la question et c'est déjà un progrès. Mais je ne suis pas juriste et je sollicite déjà pas mal la DPD de mon académie. Cela prend du temps ....

Bref, merci encore pour tes précisions ;-)

William

Le 08/04/2021 à 10:00, FRANCOIS BOCQUET a écrit :

Bonjour,
Je télétravaille depuis février dernier et n'ai donc plus accès aux informations informelles aussi facilement.
A ma connaissance le dossier RGPD n'est pas géré directement par la DNE ni par les DAN en académies.
Il a été prévu dès le début de d'en faire une compétence exclusive du DPD académique qui est normalement chargé de conseiller chaque chef d'établissement sur la conformité des traitements dont il est responsable. Cette conformité implique des mesures d'informations des personnes concernées, la tenue de registres et la vérification des critères techniques, fonctionnels, réglementaires et contractuels pour chacun des traitements.
Je dirais donc que pour le moment l'interlocuteur lorsque qu'une organisation dysfonctionne est d'abord le responsable de traitement (chef d'établissement dans le secondaire) puis le délégué à la protection des données qu'il a désigné (normalement le DPD académique) puis si nécessaire la CNIL qui peut être saisie par tout citoyen (et le cas échéant le procureur de la république si un délit constaté ou supposé).
Bonne journée.
o------------------------------------------------------------o
  François BOCQUET 
  Chef de projet Veille et Prospective
  Bureau du soutien à l’innovation et à la recherche
  Sous-direction de la transformation numérique
  Direction du Numérique pour l’Éducation
  au Ministère de l’Éducation Nationale
  Tél. : +33 155 557 781 ou +33 6 35 48 21 13
  Bureau 116A au 107 rue de Grenelle à Paris
  Mèl. : francois.bocquet AT education.gouv.fr 
  Portfolio : http://fr.linkedin.com/in/fbocquet/

Le 08/04/2021 08:18, « educ-request AT april.org au nom de Stéphane Moulinet » <educ-request AT april.org au nom de smoulinet AT april.org> a écrit :

    Bonjour,
    
    Je vous remercie bien sûr pour ces commentaires éclairés.
    
    La mise en avant de la nécessité de la contractualisation de la sous-traitance dans le RGPD sert à mettre en place les responsabilités des différents acteurs des traitements. Dans le cas d’un établissement public, cela ne va pas sans l’obligation de tenu d’un registre des traitements, qui doit être transmis à toute personne qui en fait la demande.
    
    Bref, beaucoup de chose repose sur la responsabilité et la rigueur du chef d’établissement. Pouvez-vous nous informer sur le suivi de la DNE (ou autre direction) quand cette organisation dysfonctionne.
    
    Cordialement,
    
    S.
    
    

--
Pour vous désinscrire de cette liste : https://listes.april.org/wws/sigrequest/educ

Pour connaître la configuration de la liste, gérer votre abonnement à la liste educ et vos informations personnelles :
https://listes.april.org/wws/info/educ

--
Pour vous désinscrire de cette liste : https://listes.april.org/wws/sigrequest/educ

Pour connaître la configuration de la liste, gérer votre abonnement à la liste educ et vos informations personnelles :
https://listes.april.org/wws/info/educ

--

      Olivier Guillard
Saint Léger en Yvelines