L’espion dans la salle de classe

À première vue, il s’agit d’un cadeau bienvenu pour les écoles en ces temps de pression économique. Une infrastructure sûre, une conception moderne et simple d’utilisation, et des fonctions performantes. Et tout ça presque gratuitement.

L’offre de Google consacrée à l’éducation s’appelle G Suite for Education. Elle est toujours plus appréciée dans les salles de classe helvétiques. Il s’agit d’une sorte d’espace Google limité. Les élèves n’ont accès qu’à certains services comme Google Docs, ou à des services spécifiques tels que Classroom. Plus de 40 millions d’élèves et d’étudiants utilisent G Suite dans le monde.

En théorie, G Suite est un monde fermé, sans publicité. Mais dans la pratique, c’est à partir de ce moment que commence la collecte des données concernant vos enfants. Une dyslexie, une préférence pour les thématiques sportives ou l’activité nocturne – le géant de la tech connaît ainsi les intérêts et préférences d’enfants de neuf ans déjà.

C’est précisément cette vaste collecte de données concernant les élèves des écoles primaires qu’Educa.ch, l’agence nationale spécialisée TIC et éducation, veut empêcher. Ou au moins réguler. Cette agence négocie depuis des mois déjà avec Google Suisse, comme des recherches de Republik l’ont révélé. En fait, le contrat-cadre aurait déjà dû être en vigueur depuis le mois de mai.

Mais les négociations traînent. Pour une raison bien précise. Le groupe propriétaire du moteur de recherche ne fait aucune concession concernant deux exigences centrales posées par les Suisses: la protection des données et les questions de responsabilité.

Le cas de Konolfingen

L’école de Konolfingen, dans le canton de Berne, travaille depuis 2014 avec l’offre pour l’éducation proposée par Google. On y travaille avec des Chromebooks, et les devoirs à domicile sont livrés numériquement au moyen de services Google comme Docs et Classroom.

Le responsable TIC de l’école, Samuel Jäggi, a présenté G Suite for Education en novembre 2018 lors du congrès spécialisé Educa.ch. «J’ai confiance que Google protège nos données et ne nous causera pas de dégâts.»

Dans les faits, Jäggi ne peut que «avoir confiance». En effet, l’école de Konolfingen ne dispose d’aucune sécurité juridique. Contrairement au cas de Microsoft, qui est toujours utilisé par la plupart des écoles en Suisse, il n’existe encore aucun contrat-cadre avec les autorités helvétiques de l’instruction. Le for est toujours en Irlande, respectivement aux États-Unis. Et Google impose des clauses de responsabilité «sûres», qui libèrent le groupe de nombreuses obligations.

La Direction de l’instruction publique du canton de Berne avait critiqué cela dans un rapport de 2015. Comme pour Microsoft, il faut urgemment établir un contrat-cadre. Car en dernière instance, c’est l’école de Konolfingen qui est responsable du traitement des données par les applications Google, et non pas le groupe technologique. En effet, dans le cas du cloud computing, il s’agit d’une externalisation auprès d’un prestataire privé.

Mais en la matière, c’est le département de l’éducation de la commune de Konolfingen qui a eu le dernier mot. Et a donné le feu vert. Depuis lors, l’école travaille avec la salle de classe virtuelle du géant de la tech – sans garanties juridiques. En effet, c’est le droit imposé par Google qui s’applique.

Pour répondre aux questions critiques concernant la protection des données, Jäggi et le porte-parole de Google Samuel Leiser renvoient aux nombreux liens liés à la protection des données sur le Net. Mais quiconque s’engage dans l’inextricable fouillis des documents contractuels éparpillés sur le Net doit s’attendre à quelques difficultés. De nombreux termes sont formulés de manière équivoque et laissent une grande marge d’interprétation.

À Konolfingen, on porte un regard tout à fait critique, mais aussi imperturbable, sur cette problématique. Parce qu’il s’agit seulement de matériel pédagogique. Les examens et les tests ne seraient pas réalisés sur G Suite. «Les données concernant les personnes restent sur le serveur de l’école», explique le responsable du département de la commune de Konolfingen Bernhard Bacher à la «Berner Zeitung».

Mais cela ne règle donc de loin pas la problématique de l’exploitation des données.

Google personnalise – et se sert partout

Google veut donner le signal de fin d’alerte: le monde de G Suite ne propose pas de publicité. Dans plusieurs vidéos publicitaires, des administratrices Google assurent qu’aucun profil publicitaire des élèves n’est établi. Cela s’applique aux offres principales de G Suite: Classroom, le calendrier, Drive (pour les documents), Gmail (messagerie électronique) et Chrome (navigateur).

Mais l’appariement des données se fait quand même. Le géant de la tech écrit qu’il «améliore» globalement ses services – cela signifie qu’il les personnalise. Sur l’un des liens, il est écrit noir sur blanc: «Nous utilisons également ces informations pour présenter des contenus personnalisés aux utilisateurs, tels que des résultats de recherche plus pertinents.»

C’est au plus tard à ce moment-là que les choses se clarifient. Les parents doivent abandonner l’illusion d’un cocon protégé pour les enfants.

Le profilage – c’est-à-dire le fait de proposer des contenus taillés sur mesure en fonction des intérêts personnels – commence dès l’instant de l’ouverture d’une adresse Gmail. La navigation privée et les activités scolaires sont ainsi étroitement liées, dès la plus tendre enfance. C’est ce que des enfants de huit ans apprennent: bienvenue dans le monde personnalisé de Google.

Par conséquent, on peut imaginer un scénario possible: la dyslexie d’un élève (qui tape des titres avec des fautes sur Google Docs, par exemple) aboutira peut-être, tôt ou tard, à des recommandations pour des tutoriels de cours particuliers sur Youtube.

L’école de Konolfingen est consciente de cette problématique. Et veut prendre les devants. Il vaudrait mieux que les élèves soient confrontés aujourd’hui à la réalité, et que leur éducation les mène vers la responsabilité individuelle. Un «monde protégé et isolé n’apporte rien à personne», dit Jäggi. «Une école à succès ne peut pas être un aquarium», complète Bacher. L’important serait de sensibiliser de manière générale sur le sujet de la personnalisation, et d’expliquer les choses aux élèves.

Enfin, Beat Döbeli Honegger, directeur de l’institut des médias et de l’école à la Haute école pédagogique de Schwyz, trouve aussi qu’un débat impliquant toute la société est nécessaire. Il s’agirait de clarifier deux questions: «L’école est-elle un monde parallèle, où l’on doit s’isoler avec des filtres approuvés par l’État, afin de protéger les élèves de la personnalisation? Et quel pouvoir les plates-formes privées doivent-elles avoir dans l’éducation?»

Beaucoup de pouvoir et un grand fardeau pour les administrateurs

Quiconque lit attentivement les documents concernant la protection des données de G Suite remarquera que la sphère privée dépend du comportement des administrateurs de l’école, et donc des enseignants ou des responsables IT.

Dans l’Avis de confidentialité de G Suite for Education, on lit souvent la tournure de phrase «En fonction des paramètres activés par l’établissement scolaire…» – ou une formulation similaire. Quelques services Google sont accessibles aux élèves pratiquement par défaut, comme l’accès à Youtube par exemple. Seule la désactivation de ces services – dans le jargon, opt-out – permet de les bloquer.

L’administrateur doit donc d’abord supprimer toutes les coches. S’il omet de le faire, alors un enfant de neuf ans pourra consommer des films sur Youtube, les commenter publiquement avec son image de profil et recevoir en plus de la publicité sur le sujet.

Et même si les directions d’école, le corps enseignant et les responsables IT s’attaquent à ces questions de manière approfondie, comme à Konolfingen: les écoles sont-elles vraiment à la hauteur de cette grande responsabilité?

Ce sont précisément ces zones grises juridiques que l’agence spécialisée de la Confédération et des cantons Educa.ch souhaite éliminer. Markus Willi et Simon Graber, les collaborateurs scientifiques compétents, négocient avec Google Suisse depuis des mois. L’objectif: la sécurité juridique pour les écoles helvétiques. En cas de plaintes des parents, il faut pouvoir en appeler à un juge suisse. Et le droit suisse doit primer sur le droit imposé par Google. Une grande partie des contrats de Google perdraient ainsi leur validité.

La protection des données est un critère d’exclusion

Les recherches effectuées par Republik montrent que le groupe propriétaire du moteur de recherche semble certes prêt à faire des concessions pour ce qui concerne le for. Mais sur les problématiques délicates telles que le profilage – et donc l’association de toutes les données Google concernant un profil personnel –, il ne veut pas s’écarter de ses règlements.

La conclusion du contrat-cadre dépendra de la protection des données. «La protection des données est un critère d’exclusion», explique Markus Willi.

Les négociations sont bloquées. L’agence nationale d’éducation Educa.ch s’oriente à la norme cantonale, suisse et européenne. Ce n’est pas le cas de Google: dans les documents concernant la protection des données, le RGPD européen n’est même pas cité. Google se réfère au droit américain et s’appuie ainsi sur le FERPA (Family Educational Rights and Privacy Act).

Il y a aussi des divergences de vue pour ce qui concerne les clauses de responsabilité mentionnées ci-dessus. Google se lave les mains de nombreuses questions de responsabilité: «Aucune des parties ne sera responsable au titre du présent Contrat (…) des pertes suivantes subies ou encourues par l’autre partie (…), que ces pertes soient ou non envisageables par les parties à la Date d’entrée en vigueur du présent Contrat (…)» Ce genre de phrase n’est tout simplement pas acceptable pour Educa.ch. Aucun tribunal suisse n’accepterait cela, explique Willi. Pour Educa.ch, ce point est central. Sinon, ce sont les écoles qui sont responsables des fuites de données.

On se trouve actuellement dans une phase délicate. Educa.ch ne souhaite pas en dire plus. L’agence spécialisée ne s’exprime pas non plus concernant les questions autour de l’amende conventionnelle – et donc, à combien s’élève l’amende que Google devrait payer en cas de violation du contrat. «Veuillez comprendre que nous ne pouvons donner aucune indication concernant les négociations contractuelles en cours actuellement avec l’entreprise Google.»

Maintenant, c’est à l’équipe du préposé zurichois à la protection des données Bruno Baeriswyl de jouer. Cette équipe examine le contrat-cadre en vigueur actuellement avec les Hautes écoles helvétiques dans le cadre d’un mandat de Privatim – la Conférence des Préposés à la protection des données. Dans ce contexte, c’est la fondation Switch qui est responsable.

Il a fallu négocier pendant quatorze mois avec les responsables Google pour en arriver là, explique le porte-parole de Switch Immo Noack. Comme pour Educa.ch, le projet de Switch comporte trois priorités pour la Suisse: concernant le droit sur la protection des données, le for et les clauses de responsabilité. Si les négociations devaient être couronnées de succès, le projet serait également repris par Educa.ch, écrit l’agence spécialisée sur demande. Privatim veut encore conclure l’examen avant les vacances d’été. Ensuite, la balle sera dans le camp de Google.

Des personnes bien informées doutent que le contrat-cadre Educa.ch puisse être conclu. Leur réflexion est que Google voudra s’accrocher à ses règles générales et ne fera certainement aucune exception pour la Suisse.

La sécurité, argument principal pour G Suite

Mais pourquoi donc les écoles primaires helvétiques décident-elles de travailler en collaboration avec un géant américain de la tech? D’une part, il y a l’argument des coûts. Seuls le domaine et l’hébergement sont payants. Pour Konolfingen, la somme s’élevait à 50 dollars au total. Autrement dit, l’utilisation de G Suite est pratiquement gratuite.

En ce qui concerne la vente des Chromebooks, Google est arrangeant avec les petites écoles concernant les prix. Mais le matériel informatique n’est pas une condition pour l’utilisation de G Suite. Seul un navigateur Internet est nécessaire.

À vrai dire, pour l’école de Konolfingen, d’autres facteurs ont été décisifs: la performance, la rapidité et la sécurité des données. Sur ces plans-là, l’acteur mondial est imbattable. En effet, Google emploie les meilleurs ingénieurs en sécurité au monde. Le porte-parole de Google Samuel Leiser explique: «Nos systèmes sont parmi les plus sûrs dans la branche.»

Et l’argument du piratage fait mouche. Google protégerait mieux les écoles contre les accès non autorisés, estime également le professeur d’informatique Beat Döbeli Honegger. «J’ai plutôt tendance à croire que les grandes entreprises sont capables de garder les données en sécurité. Tout simplement parce que sur un plan strictement économique, elles ont plus de ressources à disposition pour le faire.»

Le corps enseignant et la direction des écoles auraient donc aussi moins de soucis à se faire avec les approvisionnements informatiques. Le fait de miser sur un leader sur le marché constitue un investissement sûr.

Avec le contrat-cadre, la Suisse est l’exception

Jen Persson, une Britannique qui milite pour la vie privée et fait partie de l’ONG Defend Digital Me, voit surtout un intérêt stratégique dans la «googlisation du paysage éducatif». «Je me demande s’il ne s’agirait pas simplement d’un nouveau cheval de Troie dans l’infrastructure étatique, dans laquelle le géant de la tech veut s’engouffrer.»

Google pourrait ainsi accumuler des méta-connaissances précieuses – par exemple, qui se connecte quand et comment aux services d’éducation, et quels sont les besoins et les faiblesses des écoles. Si toutes les écoles menaient les questionnaires avec les «formulaires Google», par exemple, le géant de la tech disposerait rapidement de données plus précises sur leurs performances que l’enquête Pisa.

Microsoft a également accumulé ces méta-connaissances – et a été réprimandé pour cela par le Ministère néerlandais de la justice. Le groupe collectait ce que l’on appelle des données de diagnostic. C’est ainsi que des informations sensibles atterrissaient sur des serveurs aux États-Unis, notamment quels sites Web ont été visités par les personnes qui utilisent ses services. Après cet avertissement, le groupe a immédiatement adapté ses logiciels. Avec le contrat-cadre Microsoft, les préposés suisses à la protection des données disposaient d’un instrument maniable.

Les organismes de défense de la vie privée comme Defend Digital Me sont convaincus que dans le cas de G Suite, il s’agit de fidéliser précocement les enfants à l’écosystème Google. Des enfants de six ans déjà doivent disposer d’un identifiant Google, si possible sous leur vrai nom. Les préposés à la protection des données souhaitent prendre des mesures contre cette commercialisation des enfants. Ils examinent actuellement dans quelle mesure les écoles Google opèrent en conformité avec le RGPD.

Jen Persson envie la Suisse. En effet, il s’agit de l’un des rares pays où le comportement de Google sur le marché de l’éducation sera peut-être régulé à l’avenir.

Son conseil à Educa.ch: Négociez bien!

Ce texte à été traduit par notre lectrice Christelle Konrad. Merci beaucoup!