La CNIL n’interdit pas la télésurveillance des examens en ligne : elle demande de la proportionner à l’enjeu de l’épreuve, de prévoir une alternative en présentiel et d’écarter l’analyse automatique du comportement. Lecture guidée de la délibération n° 2023-058 du 8 juin 2023, article par article, avec les numéros de paragraphe pour vérifier chaque affirmation.
La CNIL n’interdit pas la télésurveillance des examens en ligne. Elle demande trois choses : proportionner le dispositif à l’enjeu réel de l’épreuve, prévoir une alternative en présentiel chaque fois que c’est possible, et renoncer à l’analyse automatique du comportement des candidats. Le reste — base légale, durées de conservation, chiffrement, journalisation — découle du RGPD et n’a rien de propre aux examens.
C’est ce que dit la délibération n° 2023-058 du 8 juin 2023, publiée au Journal officiel n° 0203 du 2 septembre 2023 (texte n° 63). Elle tient en six articles et cinquante-sept paragraphes numérotés, et c’est aujourd’hui le texte de référence en France sur le sujet. Cet article la parcourt dans l’ordre, en citant les numéros de paragraphe pour que chaque affirmation soit vérifiable dans le texte publié par la CNIL.
La CNIL part d’une observation simple : depuis la crise sanitaire, les établissements d’enseignement supérieur publics et privés recourent bien davantage aux examens à distance sous forme numérique (§ 1). Cette possibilité n’est pas nouvelle — l’article D. 611-12 du code de l’éducation l’encadre depuis 2017 et impose trois garanties : vérifier que le candidat dispose des moyens techniques nécessaires, vérifier son identité, et surveiller l’épreuve dans le respect des règles applicables aux examens (§ 2).
Le texte n’est pas un règlement. C’est une recommandation qui rappelle les obligations découlant du RGPD et « incite au respect de bonnes pratiques » face à des outils que la CNIL qualifie d’intrusifs « par nature » (§ 3), adoptée après une consultation publique dont le § 37 rend compte. Sa portée est large : elle vise « la mise en œuvre de dispositifs de télésurveillance pour les examens en ligne pour tout type d’examen ou certification, organisée par un établissement public ou un organisme privé » (§ 9). Un organisme de formation professionnelle privé est donc concerné au même titre qu’une université.
Deux constats de préambule méritent d’être lus avant tout choix d’outil. D’abord, l’examen à distance fait disparaître le nivellement des conditions matérielles qu’assure la présence physique dans une salle : il peut pénaliser les candidats en zone blanche, sans pièce au calme ou sans ordinateur suffisamment performant, et la CNIL demande que la télésurveillance soit « exempte de tout biais discriminatoire quant à l’origine des étudiants concernés », avec une attention particulière aux personnes handicapées (§ 4). Ensuite, la télésurveillance conduit à surveiller « un terminal informatique privé, à l’intérieur d’un local privé », et elle reste « nécessairement imparfaite », ne serait-ce que parce qu’elle ne couvre pas l’intégralité de la pièce (§ 5).
C’est l’article le plus long, et le plus souvent sauté. Il ne parle presque pas de technologie.
L’établissement qui décide de recourir à une solution de télésurveillance est le responsable du traitement (§ 10). Ce n’est pas une formalité : c’est lui qui doit utiliser des solutions éprouvées, tester les dispositifs en amont dans les cas dégradés — faible bande passante, perte temporaire de connexion, compatibilité avec les terminaux et systèmes d’exploitation des candidats — et se rapprocher de son délégué à la protection des données pour vérifier la conformité du dispositif (§ 10 et § 11). L’éditeur de la plateforme, lui, est sous-traitant (§ 17, § 51). Aucune case cochée dans un logiciel ne transfère cette responsabilité.
Le § 12 énumère les principes à prendre en compte : obligation d’information, droits des personnes et en particulier droit d’accès, finalités déterminées, minimisation des données, sécurité et confidentialité, proportionnalité et pertinence, limitation de la durée de conservation, limitation des transferts hors Union européenne.
Trois exigences sont ensuite formulées de manière inhabituellement directe :
L’article se referme sur une phrase qui recadre l’ensemble du débat : le recours à ces outils « n’a pas vocation à être plus efficace qu’une surveillance d’examens en présentiel, ni même à garantir un niveau de surveillance équivalent » (§ 21). La CNIL rappelle aussi qu’il existe des modalités permettant de valider des compétences à distance sans télésurveillance — mémoire de fin d’études, soutenance de projet — ou en limitant l’intrusion : examen oral, examen à livre ouvert, passage dans des locaux dédiés (§ 7).
Les bases légales se déterminent dans les conditions de l’article 6 du RGPD (§ 22). La CNIL en désigne deux comme appropriées :
Les autres « apparaissent moins appropriées » (§ 25). Le consentement suppose une alternative en présentiel sans conséquence négative et la possibilité de le retirer, c’est-à-dire de changer d’avis. L’intérêt légitime implique un droit d’opposition, « difficile à gérer dans le cadre de l’organisation d’un examen ». Pour un organisme de certification privé, le contrat est donc souvent la voie praticable — mais elle se prépare dans les conditions d’inscription, pas la veille de l’épreuve.
C’est la partie du texte qui se traduit le plus directement en phrases à écrire — dans un règlement d’examen, dans des conditions d’inscription, dans une mention d’information.
Le consentement n’est pas la base légale du dispositif. Une case « j’accepte l’outil de surveillance » cochée au démarrage de l’épreuve ne fonde rien : à cet instant, le candidat n’a plus le choix, et un consentement qui n’est pas libre n’est pas un consentement. Ce qui fonde le traitement, c’est la mission d’intérêt public (§ 23) ou le contrat dont les modalités sont fixées et connues avant l’inscription (§ 24). La rédaction suit : « le candidat est informé que l’épreuve est télésurveillée selon les modalités suivantes… », et non « le candidat accepte ». L’information reste due, entière, au titre de l’article 13 du RGPD, et les modalités doivent être rappelées avant la connexion à la plateforme (§ 29) : ce que vous recueillez alors est un accusé d’information, pas un consentement.
L’alternative en présentiel n’est pas exigée partout. Elle doit être « systématiquement proposée » (§ 19), mais la CNIL prévoit elle-même le cas des établissements dont l’organisation repose exclusivement sur le distanciel : l’alternative n’est alors pas requise, à condition que les modalités soient connues des candidats dès leur inscription (§ 20). Un organisme de formation entièrement à distance n’a donc pas à ouvrir une salle d’examen ; il a à écrire ses modalités au bon endroit, et suffisamment tôt. À défaut d’alternative et de ce cas de figure, l’absence doit être justifiée et documentée (§ 31).
Une procédure de repli reste nécessaire, au cas par cas. Avoir une base légale ne dispense de rien : un candidat peut invoquer sa situation particulière — logement partagé, handicap, matériel inadapté, connexion instable — et, lorsque le traitement repose sur la mission d’intérêt public, exercer le droit d’opposition de l’article 21 du RGPD. Le règlement d’examen gagne à prévoir la réponse avant la question : autre créneau, autre lieu, autre forme d’épreuve, ou épreuve sans télésurveillance quand l’enjeu le permet (§ 7). C’est aussi ce qu’appelle le § 4, qui demande un dispositif « exempt de tout biais discriminatoire » et attentif aux personnes handicapées.
L’article 82 de la loi « Informatique et Libertés » impose le consentement pour les opérations de lecture et d’écriture sur le terminal de l’utilisateur, sauf lorsqu’elles sont strictement nécessaires à la fourniture d’un service qu’il a lui-même demandé (§ 26) ; les réseaux non accessibles au public — intranet, extranet sur VPN — n’y sont a priori pas soumis (§ 27). La conclusion de la CNIL est pragmatique : recueillir un consentement au début de l’épreuve « semble difficilement compatible » avec un examen qui ne peut se tenir sans surveillance (§ 29), de sorte que les opérations de lecture et d’écriture dans le terminal du candidat qui demande à accéder au service peuvent être considérées comme strictement nécessaires à sa fourniture (§ 30) — à condition que les modalités de télésurveillance et la nature des données collectées aient été rappelées avant la connexion à la plateforme (§ 29).
C’est le cœur du texte, et la partie qui distingue un dispositif défendable d’un dispositif qui ne l’est pas.
L’analyse doit être conduite globalement et non mesure par mesure (§ 33). Deux corollaires en découlent : un dispositif qui ne prévient pas efficacement la fraude est « par nature disproportionné », et si aucun juste équilibre ne peut être trouvé entre efficacité et intrusivité, il faut envisager le présentiel ou une autre forme d’épreuve. La CNIL rappelle au passage que la conception du sujet — composition ou questions à réponse courte, questions identiques ou non, temps accordé par question — fait partie des leviers anti-fraude.
Le choix des outils s’apprécie « au regard du contexte et de l’enjeu de l’épreuve » (§ 34). Une surveillance renforcée paraît appropriée pour un concours d’entrée dans une école ; à l’inverse, un examen à faible enjeu, « tel qu’un examen blanc, devrait être effectué sans télésurveillance ».
Deux obligations de méthode encadrent cette analyse : l’associer, si possible, aux responsables pédagogiques, aux représentants des étudiants et au délégué à la protection des données, et tester les dispositifs en amont sur un panel représentatif du matériel des candidats (§ 31) ; et réaliser, avec le délégué à la protection des données et avant la mise en œuvre, une analyse d’impact (AIPD), « à moins que le dispositif utilisé n’engendre pas de risques élevés pour les droits et libertés des étudiants » (§ 32).
Pour les examens nécessitant une télésurveillance renforcée, le § 35 énumère les modalités qui « semblent proportionnées » :
Cette liste est utile en pratique : c’est la grille contre laquelle comparer une offre commerciale, fonctionnalité par fonctionnalité.
C’est sur l’analyse automatique du comportement — les mots exacts du § 37 — que le texte tranche le plus nettement. La CNIL distingue l’analyse automatique de l’environnement du candidat — niveau sonore anormal, présence d’une tierce personne — de l’analyse automatique de son comportement — fréquence de frappe, direction du regard, émotions (§ 36).
Sur le second, la conclusion est explicite : ces dispositifs sont particulièrement intrusifs, les travaux et la consultation de la CNIL ont fait ressortir « un risque élevé de faux positifs », et les étudiants risquent de se focaliser sur l’adoption d’un comportement « normal » face à l’outil plutôt que sur l’examen. « Par conséquent, eu égard au principe de nécessité et de proportionnalité, la CNIL recommande de ne pas recourir à des dispositifs de télésurveillance procédant à des analyses automatiques du comportement des candidats » (§ 37).
L’analyse de l’environnement, elle, apparaît « plus fiable et moins intrusive » et peut être envisagée au cas par cas, lorsque le nombre de candidats est important et si le dispositif est suffisamment fiable (§ 38). Avec une limite absolue : ces dispositifs « ne doivent jamais conduire à une décision automatique ayant un effet immédiat pour le candidat ». Leur seul rôle est d’attirer l’attention d’un surveillant ; conformément à l’article 22 du RGPD, une vérification humaine doit systématiquement précéder toute décision. L’exemple donné est parlant : un examen ne devrait pas être interrompu au seul motif de la détection automatique d’un niveau sonore anormal, mais il peut être proportionné d’alerter un surveillant et de lui proposer de réécouter l’événement (§ 40).
Deux points sont souvent négligés. La collecte incidente : les établissements doivent avertir les étudiants que le dispositif peut capter des données sur leurs proches ou leur environnement, et leur conseiller de s’isoler dans une pièce calme et neutre (§ 41). Les logiciels dédiés : ils peuvent n’entraîner aucune collecte supplémentaire — la CNIL parle de « privacy by design » — mais le responsable du traitement doit vérifier qu’ils ne créent pas d’inégalité selon le matériel de l’étudiant, et garantir l’absence de réutilisation des données par l’éditeur (§ 50).
Vérifier l’identité des candidats est une obligation (§ 42). La CNIL cite en premier le rapprochement documentaire effectué par un surveillant lors d’un entretien en visioconférence ; une vérification automatisée par comparaison d’un justificatif d’identité avec le visage du candidat « peut parfois être justifiée, notamment si le nombre d’étudiants est très important » (§ 43).
Ce second dispositif traite des données biométriques au sens de l’article 9 du RGPD. Il suppose donc soit le consentement des personnes, avec une alternative disponible, soit un motif d’intérêt public important strictement encadré par un texte et assorti d’une intervention humaine possible (§ 44). Quatre conditions cumulatives s’y ajoutent (§ 45) : une seule vérification d’identité, un nombre de candidats très important au regard de la nature de l’épreuve, une alternative toujours disponible, et une information préalable précise sur le recueil du consentement. Enfin, ces dispositifs ne doivent « en aucun cas » conduire à la constitution de bases de gabarits biométriques, ni chez les établissements ni chez les prestataires (§ 46), et ne doivent servir à aucune autre finalité (§ 47).
La recommandation ne fixe pas de durée unique. Elle demande au responsable du traitement de définir, avant la mise en œuvre, les conditions d’accès aux données et leur durée de conservation ou les critères permettant de la définir, en fonction du type d’information et de la finalité (§ 48). Une seule borne est chiffrée : en cas de suspicion de fraude, la durée « ne devrait pas excéder les délais légaux des procédures disciplinaire ou contentieuse qui pourraient être engagées, et qui est en principe de deux mois » (§ 49). C’est aux voies de recours de votre propre règlement d’examen qu’il faut confronter ce repère.
L’article 5 tient en un paragraphe : le recours à des sous-traitants, en particulier étrangers, peut impliquer un transfert hors de l’Union européenne, qui n’est possible qu’à condition de garantir un niveau de protection suffisant, encadré par les outils juridiques prévus par la réglementation (§ 51).
L’article 6 est une liste de mesures concrètes, adossée à l’article 32 du RGPD (§ 52) :
Si vous n’en retenez qu’une page, voici les questions auxquelles votre dossier doit pouvoir répondre, avec le paragraphe correspondant :
| Question | Réf. |
|---|---|
| Cette épreuve justifie-t-elle une télésurveillance, ou une autre modalité suffirait-elle ? | § 7, § 15, § 34 |
| Une alternative en présentiel est-elle proposée ? Sinon, à quel titre ? | § 19, § 20 |
| Les modalités ont-elles été communiquées aux étudiants suffisamment tôt ? | § 13, § 14 |
| Sur quelle base légale le traitement repose-t-il : mission d’intérêt public ou contrat ? | § 23, § 24 |
| La mention d’information dit-elle que le candidat « est informé », plutôt qu’il « accepte » ? | § 25, § 29 |
| L’analyse de proportionnalité a-t-elle été conduite globalement, avec le DPO et les représentants étudiants ? | § 31, § 33 |
| Une AIPD a-t-elle été réalisée, ou l’absence de risque élevé documentée ? | § 32 |
| Le dispositif analyse-t-il le comportement des candidats ? | § 37 |
| Une vérification humaine précède-t-elle toute décision consécutive à une alerte automatique ? | § 38 |
| Les durées de conservation ont-elles été fixées avant la mise en œuvre ? | § 48, § 49 |
| Chiffrement, restriction des accès et journalisation sont-ils en place ? | § 53 à § 56 |
Nous avons construit notre dispositif de surveillance des épreuves en nous alignant sur ce texte, et notre positionnement tient en trois choix assumés.
Aucune analyse automatique du comportement : ni direction du regard, ni détection d’émotions, ni dynamique de frappe. Ces technologies n’existent pas dans le produit, même en option — c’est le § 37 appliqué à la lettre. Ce que nous détectons porte sur l’activité dans l’épreuve : sortie du plein écran, passage sur une autre application, copier-coller, présence d’un second écran.
La vérification d’identité, dans le produit standard — offres Mini, Pro et Max — est un rapprochement documentaire : le participant photographie sa pièce d’identité et son visage, l’examinateur compare à l’œil et tranche. C’est la première modalité que cite le § 43, et aucun gabarit biométrique n’y est calculé ni stocké (§ 46). Sur le plan Organisation, une validation automatisée d’identité peut être déployée sur devis, via un prestataire spécialisé : désactivée par défaut, elle ne s’active jamais sans décision explicite de l’organisation, se limite à établir l’identité du candidat — avant l’épreuve, ou après coup en option — et ne sert jamais à le surveiller pendant l’épreuve (§ 47). Elle traite alors des données biométriques au sens de l’article 9, et c’est au responsable du traitement de vérifier que les conditions cumulatives du § 45 sont réunies. Nous ne poussons ni vers l’une ni vers l’autre : le choix vous appartient, nous configurons celui que vous avez arrêté, et notre page sécurité en détaille les conditions.
Aucune décision automatique : le score de risque de fraude est calculé à partir des évènements détectés pendant l’épreuve, et il n’est pas un verdict. Il ne ferme aucun examen, ne signale personne à votre place et ne constitue pas une preuve : ce sont des indices à instruire. L’examinateur ouvre le rapport d’intégrité, y lit les évènements horodatés et tranche lui-même — la vérification humaine que le § 38 exige en renvoyant à l’article 22 du RGPD.
Un écart, enfin, que nous préférons écrire que taire. La première des quatre modalités du § 35 décrit une télésurveillance en direct sans conservation des données, sauf suspicion de fraude ; chez nous, la relecture d’un passage signalé a lieu après l’épreuve et non pendant, et les enregistrements webcam et micro sont donc conservés trois mois par défaut, sur tous les plans. Sur le plan Organisation, cette durée peut être fixée par l’organisation responsable du traitement, qui la choisit proportionnée à l’enjeu de l’épreuve et la porte à la connaissance des candidats — c’est le § 48 pris au mot : les durées se fixent avant la mise en œuvre. Les captures d’écran, elles, sont rattachées à la copie du candidat : elles suivent la durée de conservation des copies, fixée par l’établissement examinateur, et sont supprimées avec elles. Et lorsqu’une procédure disciplinaire ou contentieuse est engagée, vous pouvez demander le gel des enregistrements du dossier concerné : ils sont alors conservés jusqu’au terme de la procédure, sans modification ni suppression (§ 49, § 55). La demande se formule avant l’échéance de suppression.
Le détail de ces engagements, y compris ce que nous ne détenons pas — ni SOC 2, ni ISO 27001 en notre nom propre — est sur notre page sécurité, avec un tableau qui met en regard chaque recommandation de la CNIL et ce que fait Evalmee. Le régime de conservation, la répartition des rôles et la liste des sous-traitants ultérieurs figurent dans notre politique de confidentialité, nos conditions et notre accord de sous-traitance, mis à jour le 4 septembre 2026. C’est à vous, responsable du traitement, de vérifier que la durée retenue correspond aux délais de recours de votre propre règlement d’examen.
Une lecture, pas un avis juridique. Les paragraphes cités renvoient à la numérotation du texte publié par la CNIL, mais l’interprétation que nous en donnons est la nôtre et n’engage pas la CNIL. En tant que responsable du traitement, il vous revient de conduire votre propre analyse avec votre délégué à la protection des données, et de réaliser le cas échéant l’analyse d’impact prévue au § 32.
Une dernière remarque, parce qu’elle est dans le texte et qu’on la cite rarement : la CNIL écrit que ces outils n’ont pas vocation à être plus efficaces qu’une surveillance en présentiel (§ 21). Le dispositif le plus conforme n’est donc pas le plus complet, mais celui qui reste défendable devant un étudiant qui demanderait pourquoi sa webcam était allumée.
Non. La délibération n° 2023-058 est une recommandation, pas une interdiction. Elle demande de proportionner le dispositif à l’enjeu de l’épreuve, de prévoir une alternative en présentiel chaque fois que c’est possible, et d’écarter l’analyse automatique du comportement des candidats.
L’établissement ou l’organisme qui décide de recourir à une solution de télésurveillance est le responsable du traitement, au sens du paragraphe 10 de la recommandation. L’éditeur de la plateforme agit comme sous-traitant (§ 17, § 51). C’est donc à l’établissement de conduire l’analyse préalable et, le cas échéant, l’analyse d’impact.
Le paragraphe 32 demande au responsable du traitement de réaliser une analyse d’impact relative à la protection des données, conjointement avec son délégué à la protection des données et avant la mise en œuvre du traitement, à moins que le dispositif utilisé n’engendre pas de risques élevés pour les droits et libertés des étudiants.
Le paragraphe 9 indique que la recommandation vise la télésurveillance des examens en ligne pour tout type d’examen ou certification, organisée par un établissement public ou un organisme privé. Une délibération portant adoption d’une recommandation est la doctrine de l’autorité française, non une règle contraignante : c’est la grille de lecture que la CNIL appliquera à un dispositif déployé en France si elle le contrôle un jour, et son raisonnement reste un repère utile partout où le RGPD s’applique.
La CNIL range le consentement parmi les bases légales « moins appropriées » (§ 25) : recueilli au début de l’épreuve, il n’est pas libre, puisque le candidat ne peut plus renoncer à l’examen. Les deux bases citées comme appropriées sont la mission d’intérêt public (§ 23) et le contrat dont les modalités d’examen sont connues avant l’inscription (§ 24). L’obligation d’information de l’article 13 du RGPD reste entière, et les modalités doivent être rappelées avant la connexion à la plateforme (§ 29) : le candidat est informé, il n’« accepte » pas.
La CNIL cite d’abord le rapprochement documentaire effectué par un surveillant lors d’un entretien en visioconférence. Une vérification automatisée par comparaison du visage avec un justificatif traite des données biométriques au sens de l’article 9 du RGPD : elle suppose une base spécifique et les quatre conditions cumulatives du paragraphe 45. Le paragraphe 46 proscrit en outre toute constitution de bases de gabarits biométriques.
La recommandation ne fixe pas de durée unique : le paragraphe 48 demande au responsable du traitement de définir les durées avant la mise en œuvre. En cas de suspicion de fraude, le paragraphe 49 précise que la conservation ne devrait pas excéder les délais légaux des procédures disciplinaires ou contentieuses, qui sont en principe de deux mois.
Découvrez comment Evalmee peut simplifier votre processus d'évaluation.
Cet article est aussi disponible en :
Douze mesures contre la triche aux examens en ligne, classées de la moins à la plus coûteuse pour le candidat honnête : ce que chacune empêche, ce qu’elle n’empêche pas, et où le RGPD et la CNIL posent la limite. Aucune mesure ne rend la triche impossible ; quelques-unes, combinées et choisies selon l’enjeu de l’épreuve, la rendent coûteuse, incertaine et traçable.
Guide pas à pas pour configurer un Test Moodle qui résiste à la copie : banque de questions par catégories, questions aléatoires, temps disponible, une seule tentative, navigation séquentielle, options de relecture, clé d'accès et adresse réseau. Ce que Safe Exam Browser verrouille et ce qu'il ne voit pas. Et ce que Moodle ne fait pas : surveillance, détection du copier-coller, vérification d'identité, correction assistée par IA.
Responsabiliser sans sanctionner : le pari de l’évaluation formative engageante. Une évaluation obligatoire n’est pas forcément une évaluation notée ou certificative. Au contraire, rendre obligatoire une évaluation formative permet d’améliorer l’engagement, le suivi pédagogique et la régularité, tout en évitant la pression de la note. Voici comment réussir cette approche innovante.
Commencez gratuitement dès aujourd'hui.