Données étudiantes dans Teams : journalisation, archivage et Loi 25

Une équipe de classe contient plus de renseignements personnels qu'il n'y paraît. La liste des membres indique qui est inscrit à quel cours, ce qui peut révéler un programme ou une mesure d'accommodement. Les canaux contiennent des discussions, les fichiers des travaux remis, et les Devoirs, les Notes et les enregistrements de réunions en ajoutent encore. Multipliez par chaque groupe et chaque session.

La plupart de ces équipes sont créées automatiquement en début de session, puis oubliées. Les risques apparaissent plus tard : un étudiant qui a abandonné en septembre a encore accès en décembre, un auxiliaire d'enseignement devenu propriétaire a invité une personne externe, ou une demande d'accès à l'information veut savoir qui pouvait voir une équipe et personne ne peut répondre.

Pourquoi les données étudiantes s'accumulent-elles dans Teams ?

Chaque équipe de classe est un groupe Microsoft 365 avec son propre site SharePoint, ses fichiers et ses conversations, comme le décrit la page Microsoft 365 Éducation. Les établissements en créent des milliers à chaque session, et très peu sont fermées délibérément.

L'exposition augmente de façon prévisible :

• Des propriétaires et des membres ajoutés à la pièce. On ajoute quelqu'un à la main pour régler un problème sur le moment, sans noter pourquoi.
• Des invités oubliés. Un conférencier externe est invité pour une séance et n'est jamais retiré.
• Des membres qui dérivent. Les abandons ne sont pas synchronisés : d'anciens étudiants restent dans les équipes jusqu'à la fin de la session, ou plus longtemps.
• Des journaux limités. Le journal d'audit de Microsoft 365 indique ce qui a changé et quel compte l'a fait, mais il est générique, conservé pendant une durée qui dépend de votre licence, et ne dit rien sur le caractère attendu ou non d'un changement.

Rien de cela n'exige de négligence. C'est le résultat par défaut quand des équipes sont créées à grande échelle et que personne n'est responsable de leur cycle de vie.

Combien cela coûte-t-il ?

Le coût est surtout un risque, et il se matérialise au mauvais moment.

• Des accès non autorisés. Un étudiant qui a abandonné ou un invité oublié qui peut encore ouvrir le contenu d'un cours, c'est exactement la situation que les lois sur la protection des renseignements personnels demandent de prévenir, et cela peut constituer un incident de confidentialité.
• Des questions sans réponse. Quand un étudiant ou un organisme de surveillance demande qui avait accès à quoi, reconstituer la réponse à partir de journaux bruts peut prendre des jours.
• Une conservation excessive. Garder toutes les équipes indéfiniment fait de chaque session passée une partie de votre exposition, et va à l'encontre du principe voulant qu'un renseignement personnel ne soit conservé que le temps nécessaire.
• Une suppression excessive. Supprimer les équipes en fin de session peut détruire des travaux encore nécessaires pour une révision de note, un dossier d'intégrité académique ou le respect du calendrier de conservation.

Qu'attendent la Loi 25 et le RGPD ?

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a modernisé l'encadrement québécois, y compris les règles qui s'appliquent aux organismes publics comme les cégeps et les universités. Ses exigences sont entrées en vigueur par étapes entre 2022 et 2024. De façon générale, elle demande aux établissements de :

• désigner une personne responsable de la protection des renseignements personnels ;
• réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant d'acquérir ou de développer un système qui traite des renseignements personnels, et avant de communiquer ces renseignements à l'extérieur du Québec ;
• tenir un registre des incidents de confidentialité et aviser la Commission d'accès à l'information ainsi que les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux ;
• ne conserver les renseignements personnels que le temps nécessaire, puis les détruire ou les anonymiser, sous réserve du calendrier de conservation de l'établissement.

Le RGPD européen repose sur des principes semblables : minimisation des données, limitation de la conservation, intégrité et confidentialité, et responsabilité, c'est-à-dire la capacité de démontrer la conformité plutôt que de simplement l'affirmer.

Il s'agit d'un résumé général, pas d'un avis juridique. Chaque établissement doit valider ses obligations, et leur application à Microsoft Teams, avec sa personne responsable de la protection des renseignements personnels. La Commission d'accès à l'information publie des guides à l'intention des organisations québécoises.

Les approches qui ne tiennent pas

• Compter sur les enseignants pour faire le ménage. Le contrôle des accès n'est pas leur responsabilité, et la plupart ne retireront jamais personne d'une équipe.
• Tout supprimer en fin de session. C'est rassurant, mais cela détruit des documents que l'établissement doit peut-être conserver.
• Tout garder, pour toujours. Cela évite les décisions difficiles et transforme chaque session passée en passif.
• Se fier au journal d'audit brut comme preuve. Il dit ce qui s'est passé, pas si cela aurait dû se passer.
• Corriger les permissions après coup. Vérifier des milliers d'équipes une fois par année révèle les problèmes des mois après leur apparition.
• Tout verrouiller. Bloquer partout le partage de fichiers, la conversation ou les réunions ne protège rien si les enseignants se replient sur des outils personnels hors du contrôle de l'établissement. De bons contrôles protègent les données étudiantes sans nuire à l'enseignement légitime.

Protéger les données étudiantes dans Teams : une liste de contrôle

Le tableau relie chaque principe à ce qu'il signifie dans Teams et au contrôle qui le met en pratique.

1. Fixez les rôles à la création, pas après

Les enseignants titulaires sont propriétaires de l'équipe et les étudiants, membres. Les auxiliaires d'enseignement ne reçoivent que les droits prévus par votre politique. Les administrateurs TI gèrent Teams depuis le centre d'administration et restent à l'extérieur des équipes de classe.

2. Laissez le SIE décider des membres

Un abandon dans le SIE devrait retirer l'étudiant de l'équipe en quelques minutes pendant la période de modification des inscriptions. Les ajouts manuels deviennent des exceptions documentées avec une date de fin ; les détails sont dans modification des inscriptions sans billets.

3. Encadrez les invités

Décidez si les équipes de classe peuvent accueillir des invités. Si oui, révisez les accès des invités à la fin de chaque session.

4. Surveillez les changements qui comptent

Inutile d'examiner chaque téléchargement de fichier. Il faut en revanche examiner les changements de propriétaires, les ajouts massifs de membres en dehors de la synchronisation, les invitations d'invités et les suppressions ou archivages d'équipes.

5. Rédigez une règle de fin de session

Choisissez un comportement par défaut pour les équipes de classe et documentez les exceptions.

6. Documentez les flux pour votre EFVP

Consignez quelles données l'intégration lit dans le SIE, où elles sont traitées et hébergées, qui peut les voir dans Teams et combien de temps elles sont conservées.

7. Faites l'exercice

Choisissez une équipe et une date, et posez la question : qui avait accès, et pourquoi ? Si la réponse prend plus de quelques minutes, vos journaux ont besoin d'attention.

Comment Teameo soutient la protection des données étudiantes

Teameo garde les équipes de classe liées au SIE pendant toute leur vie. Les rôles sont tirés du SIE à la création de chaque équipe, et les changements d'inscription, y compris les abandons et les changements de groupe, arrivent en temps réel ou selon un horaire. Les exceptions autorisées passent par des règles fines plutôt que par des modifications manuelles. La mise en place d'ensemble est décrite dans comment synchroniser votre SIE avec Microsoft Teams.

Chaque action de création, d'inscription et d'archivage est horodatée et associée à son auteur : vous voyez d'un coup d'œil si un changement vient du SIE ou d'une personne. Cette piste d'audit est conçue pour la reddition de comptes exigée par la Loi 25 et le RGPD, et elle répond à la question de l'étape 7 sans enquête dans les journaux.

En fin de session, Teameo applique la règle de votre établissement, archivage léger, archivage complet ou masquage, en phase avec le calendrier de session du SIE. La connexion passe par Microsoft Entra ID. Teameo roule sur une infrastructure hébergée au Québec et agit comme couche de synchronisation : le contenu des cours reste dans votre locataire Microsoft 365.

LS2 Innovation publie ses politiques de sécurité, de gestion des vulnérabilités et de consignation des événements, que votre personne responsable peut utiliser dans une EFVP ; demandez-les par la page contact. Le reste de la plateforme est présenté sur la page Microsoft Teams Éducation.