Re: [EDUC] Visio / lycées

[Olivier Guillard <mairie AT guillard.nom.fr>]

Bonsoir,

(désolé pour le doublon, une partie du texte bogué dans mon précédent post)

N'étant plus de la maison, je peux joyeusement intervenir ici sans risquer de me mettre à dos un collègue, et ça, c'est un vrai luxe :-)

Blague à part, je me permets quelques réactions à propos d'éléments trouvés dans ces échanges

François Bocquet écrit :

> C'est ce qui explique que des universités choisissent Zoom, Webex, Collaba (de Blackboard), Teams ou encore Meet parfois en plus de services Jitsi ou BBB dont elles assurent elles-mêmes l'exploitation.

Le problème ici c'est que l'on mélange des torchons et des serviettes : "Zoom, Webex, Teams ou Meet" sont des produits qui ne sont à disposition que dans le cadre des stratégies des sociétés privées qui les proposent (M$oft et consort), au services donc de finalités qu'elles sont seules à définir (en trouvant toujours le moyen de s'accommoder voire même de faire des atouts d'éventuelles exigences, par exemple dans le cadre des fameux "partenariats gagnant/gagnant").

Jitsi ou BBB ne sont eux des outils techniques qui ne font que proposer des fonctionnalités sans charrier "intrinsèquement" des finalités cachées en dehors du contexte de leur exploitation.

William écrit :

> pourquoi s'être dôté d'un cadre législatif tel que le RGPD et ne pas avoir pris la peine de mettre en place une sorte de "certification" ou de "validation"

Mais des certifications, il y en a pléthore ! C'est d'ailleurs prévu dans le texte originel (voir l'Article 42 du RGPD) et c'est aussi un très juteux business :-)

Voir les déclinaisons ici :

https://www.cnil.fr/fr/certification

Ou encore ici :

https://www.cnil.fr/fr/les-labels-cnil

Au niveau européen, y'a aussi :

https://edpb.europa.eu/our-work-tools/our-documents/procedure/edpb-document-procedure-approval-certification-criteria-edpb_fr

Voir aussi là sur des sujets connexes :

https://www.techtalks.fr/cybersecurite-comment-label-certification-anssi/

Ou ici :

https://www.ssi.gouv.fr/administration/qualifications/

et encore là :

https://www.ssi.gouv.fr/adminisstration/produits-certifies/certification-faq/

Bref, inutile de dire que, pour qui a des sous, pas de souci pour trouver de bonne sources de "labellisation" ou de "certification", souvent conditions préalables d'ailleurs de "qualification" pour l'accès aux appels d'offres publics.

Comme cela a été évoqué dans un récent échange sur cette liste à propos du RGPD :

Le mar. 16 mars 2021 à 16:14  :

> Avec le RGPD n'importe qui peut collecter les données personnelles qu'il veut du moment qu'il est capable de "prouver sa conformité"

> (justifier d'une finalité, utiliser des solutions estampillées par l'ANSSI, etc.). Et puisque c'est la loi, pas moyen de s'en extraire.

> C'est donc un boulevard, une machine à tuer "la petite" concurrence pour les grosses écuries.

> J'ai bien peur qu'à terme, le remède soit pire que le mal...

Bien à tous,

---

Olivier

Le jeu. 8 avr. 2021 à 21:10, william <educ AT april.org> a écrit :

Le 08/04/2021 à 19:23, Laurent COOPER a écrit :

Bonjour

Je ne suis pas certain qu'un "certification" soit possible

Bonjour Laurent,

je ne peux pas affirmer que ce soit possible, en effet, mais cela semble pourtant à mes yeux une solution envisageable ...

Le RGPD oblige basiquement à deux choses :

• la tenue d'un registre de traitement des données. Ce registre de traitement des données indique clairement quelle donnée est utilisée, dans quel but
  
• le fait que le traitement et la récupération des données soit en accord avec le but

Le RGPD oblige a bien plus que ces 2 choses que tu décris. La liste est claire et publique. Elle peut donc être auditée, ce que certaines entreprises se sont empressées de proposer. Si audit il peut y avoir, alors pourquoi une certification (appelez-la comme vous voulez) doit l'être aussi, avec une durée de validité et des controles ou renouvellements réguliers et obligatoires. On y arrive bien pour le contrôle technique.... et pourtant la liste des vérifications y ait également longue .... (la note aussi :-) )

le "but" peut faire l'objet d'interprétation différentes d'un établissement à un autre. Une entreprise, un site, peuvent se déclarer "conforme au RGPD". Cela signifie pour moi qu'ils donnent la possibilité de remplir le registre de traitement. L'adéquation entre la captation des données et la mission est parfois plus complexe, et relève d'une appréciation du DPD local dans un contexte donné.

En effet, certains critêres peuvent être sujets à interprétation, ce qui fait la joie des juristes ....

Ce n'est que mon appréciation, je ne suis pas un expert sur la question

C'est bien le problème : moi non plus, et je me retrouve pourtant à devoir "apprécier" des situations et solliciter la DPD qui n'a pas que mon établissement en responsabilité .... (aussi tout les autres lycées, collèges et écoles de l'académie .... toute seule .....)

William

--
Pour vous désinscrire de cette liste : https://listes.april.org/wws/sigrequest/educ

Pour connaître la configuration de la liste, gérer votre abonnement à la liste educ et vos informations personnelles :
https://listes.april.org/wws/info/educ

--

      Olivier Guillard
Saint Léger en Yvelines