AgentPublic/cnil huggingface dataset:
Elle s'interroge toutefois sur la nécessité de continuer à enregistrer, dans les ENT, le lieu de naissance des élèves (ville et pays de naissance) dès lors que l'ajout de l'INE, identifiant non signifiant, interne au système éducatif et unique pour un élève durant toute sa scolarité, doit permettre d'identifier de façon fiable un élève.
En l'absence d'éléments justifiant la collecte de ces données, elle considère que le projet d'arrêté devrait en premier lieu prévoir que, lorsque l'INE est enregistré, les lieu de naissance, ville et pays de naissance ne doivent pas l'être sauf si un cas d'absence d'INE ou de conflit avec un autre est constaté. Elle prend acte de l'engagement du ministère de modifier le projet d'arrêté sur ce point.
En second lieu, la commission estime que le projet d'arrêté devrait permettre aux ENT de continuer à traiter les données actuellement prévues par l'arrêté du 30 novembre 2006 (le nom, les prénoms, les date et lieu de naissance qui comprend la ville et le pays de naissance) à l'exclusion de l'INE ou de ne traiter que l'INE, le nom, les prénoms et la date de naissance. Une période transitoire d'un an pourrait à cet égard être accordée aux ENT déjà en fonction qui souhaiteraient traiter l'INE à la place du lieu de naissance.
Le projet d'arrêté ajoute en outre à la liste des données concernant les élèves ou les étudiants, la scolarité, qui recouvre des données purement administratives telles que l'établissement de rattachement ou la classe, et leurs productions scolaires ou universitaires. Ces données n'appellent pas d'observation particulière de la part de la commission.
En ce qui concerne les responsables légaux des élèves mineurs, il est prévu que soient enregistrés, au titre de l'identité, outre le nom et le prénom, la date de naissance du responsable afin de régler les cas d'homonymie. Compte tenu du fait que chaque utilisateur ne doit pouvoir accéder qu'aux seules données et informations qu'il est habilité à connaître selon son profil, la Commission estime que cette donnée n'est pas excessive au regard des finalités des ENT.
Elle relève toutefois que les données précisément concernées par la mention, dans le projet d'arrêté, de l' identité ne sont pas identiques pour chaque catégorie de personnes concernées par le traitement. Elle estime dès lors que le projet d'arrêté devrait être clarifié sur ce point.
En ce qui concerne les enseignants, le projet d'arrêté ne mentionne pas leurs productions. La Commission rappelle dès lors que, si les productions des enseignants sont concernées, le projet d'arrêté devrait être modifié afin de le mentionner expressément.
L'article 3 du projet d'arrêté prévoit enfin que les données enregistrées dans les ENT autres que les productions scolaires et universitaires sont stockées dans un annuaire. Cette disposition conduit ainsi à considérer que tout élément concernant la vie scolaire d'un élève devrait être stocké dans l'annuaire.
La Commission estime qu'une telle pratique ne serait pas conforme aux principes régissant la protection des données à caractère personnel, et notamment au principe de confidentialité de celles-ci, dans la mesure où l'administrateur des droits, qui a accès à l'ensemble des données stockées dans l'annuaire, aurait aisément accès à l'ensemble des données relatives à la vie scolaire de l'élève ou à la vie universitaire de l'étudiant. Elle prend acte de l'engagement du ministère de modifier cette disposition afin d'exclure des annuaires toutes les données relatives à la vie scolaire des personnes concernées.
Sur les durées de conservation :
L'article 6 du projet d'arrêté prévoit que dans l'enseignement secondaire [les données personnelles] sont supprimées de l'ENT dans un délai de trois mois dès lors que la personne concernée n'a plus vocation à détenir un compte . Ces dispositions, qui reprennent la durée de conservation prévue par l'arrêté du 30 novembre 2006, n'appellent pas d'observation particulière.
L'article 6 du projet d'arrêté prévoit en revanche que, dans l'enseignement supérieur, les données sont conservées jusqu'à ce que l'intéressé demande leur suppression. A cet égard, le ministère a indiqué que cette durée se justifiait par le fait que la plupart des étudiants continuent d'accéder à leur ENT après leur formation et que de nouvelles formations dans un établissement d'enseignement supérieur peuvent être suivies à plusieurs reprises au cours de la vie professionnelle. L'étudiant ou ancien étudiant peut ainsi trouver utile de conserver les données et informations contenues dans son ENT. La commission considère que la conservation des données jusqu'à ce que l'intéressé demande leur suppression n'est pas excessive au regard des finalités poursuivies dans la mesure où elle repose sur l'accord des personnes concernées. Elle estime toutefois que, pour s'assurer de l'effectivité de cet accord, il convient, d'une part, d'en solliciter régulièrement le renouvellement et, d'autre part, de prévoir la possibilité pour la personne concernée de supprimer ses données à tout moment, ce dont elle doit être régulièrement informée.
En outre, la commission estime qu'une durée maximale de conservation doit être prévue dans l'hypothèse où la personne concernée ne répondrait pas à la demande de renouvellement de son accord à la conservation de ses données.
A cet égard, elle relève que, à sa demande, le ministère a prévu de modifier le projet d'arrêté pour indiquer, d'une part, qu'une demande explicite d'accord à la conservation de ses données sera adressée une fois par an à chaque personne concernée qui n'est plus inscrite dans un établissement d'enseignement supérieur et, d'autre part, que, en l'absence de réponse, les données seront définitivement supprimées dans un délai maximal d'un an à compter de l'envoi de ladite demande.
Sur les destinataires :
A titre liminaire, la commission relève qu'aux termes des deux premiers alinéas de l'article 4 de l'arrêté du 30 novembre 2006, qui n'est pas modifié par le projet d'arrêté, les destinataires des ENT semblent n'être que les utilisateurs habilités des ENT. Toutefois, l'article 4 du projet d'arrêté, qui ajoute certaines catégories de destinataires, vise des personnes qui ne sont pas des utilisateurs des ENT. La commission estime dès lors que le projet d'arrêté devrait être clarifié sur ce point en distinguant les personnes accédant directement au traitement des destinataires qui reçoivent communication de certaines données.
Outre quelques ajustements rédactionnels qui n'appellent pas d'observation particulière, l'article 4 du projet d'arrêté prévoit que les associations de parents d'élèves peuvent accéder aux informations de l'ENT en ce qui concerne leur mandat . Les associations de parents d'élève ont en effet une mission de représentation de membres de la communauté éducative. Dans la mesure où les finalités des ENT sont, entres autres, de saisir et mettre à disposition de tous les membres de la communauté éducative de l'enseignement scolaire des informations administratives, relatives à la vie scolaire, aux enseignements et au fonctionnement de l'école ou de l'établissement , la commission estime que ces personnes ont un intérêt légitime, au regard des finalités poursuivies, à disposer d'un accès à l'ENT et à connaître certaines des données et informations qui y sont enregistrées, dès lors qu'elles sont en lien avec leurs missions.
Le projet d'arrêté prévoit en outre que le ministère est destinataire des ENT pour les seules données nécessaires à la mise en œuvre du traitement de données à caractère personnel dénommé gestionnaire d'accès aux ressources , qui a pour objet de permettre l'accès à des ressources ou services numériques fournis par des tiers tout en garantissant que seules les données strictement nécessaires à cette ressource ou ce service sont transmises au fournisseur.
Le projet d'arrêté prévoit également que sont indirectement destinataires de certaines des données enregistrées dans les ENT les destinataires des données du gestionnaire d'accès aux ressources (GAR) afin d'assurer une meilleure transparence sur la circulation des données provenant des ENT.
Le projet d'arrêté prévoit que, dans l'enseignement supérieur, les usagers des formations proposées par l'établissement sont, tout comme les étudiants, utilisateurs des ENT. Ces destinataires n'appellent pas d'observation particulière de la part de la commission.
Le projet d'arrêté prévoit enfin que les fournisseurs proposant des services tiers via l'ENT en dehors du cadre du GAR et dans le respect des conditions strictement définies dans le SDET peuvent également être destinataires des seules données nécessaires au fonctionnement de ces services dans le respect des dispositions de la loi du 6 janvier 1978 . Dès lors que les ENT ont notamment pour objet de permettre un accès à des services tiers, ces destinataires ont intérêt au regard des finalités poursuivies à connaître certaines données.
Sur les mesures de sécurité :
Le ministère a indiqué que les spécificités de l'enseignement scolaire et celles de l'enseignement supérieur ont conduit à prévoir deux SDET différents. La Commission rappelle que, une fois finalisé, le SDET spécifique à l'enseignement supérieur devra lui être transmis.
Concernant le SDET applicable à l'enseignement scolaire, la commission relève que le respect de ce schéma exige le respect du Référentiel général de sécurité (RGS).
Le SDET exige en outre qu'une politique de sécurité soit définie et appliquée et que celle-ci comprenne des éléments relatifs à la gestion des moyens d'accès et des autorisations, à la prévention et à la lutte contre les actes malveillants et à la sécurité et l'intégrité des échanges de donnés avec l'extérieur.
Le SDET prévoit également que tout utilisateur de l'ENT doit posséder un identifiant personnel unique et un moyen d'authentification adapté à la criticité des données et services auquel il accède.
De façon compatible avec les recommandations de la commission en la matière, il est prévu que les données d'authentification ne doivent pas être stockées en clair. Une gestion du cycle de vie des identités et des autorisations doit par ailleurs être mise en œuvre de l'inscription à la suppression de l'utilisateur.
La commission relève que le SDET prend en compte les bonnes pratiques en matière de sécurité. Bien que son objet principal ne soit pas la protection de la vie privée, le respect effectif de ce schéma directeur devrait en principe impliquer le respect des mesures exigées au titre de l'article 34 de la loi du 6 janvier 1978 modifiée.
Concernant la composition des mots de passe, le ministère a rappelé que la politique de configuration des mots de passe est définie soit au niveau du projet ENT, dans l'enseignement scolaire, soit au niveau de chaque établissement, dans l'enseignement supérieur.
La commission rappelle que les mots de passe doivent être composés de douze caractères comprenant des majuscules, des minuscules, des chiffres et des symboles ou, s'ils sont plus courts, que des mesures complémentaires doivent être mises en œuvre. Dans le cadre des ENT, cette dernière option permet notamment d'adapter la politique de mot de passe à l'âge des utilisateurs.
En ce qui concerne les extractions de données, le ministère a indiqué que, afin de faciliter l'alimentation des solutions de gestion des équipements fixes et mobiles et de gestion de classe en données à caractère personnel qui leur sont nécessaires pour leur fonctionnement et pour l'attribution des droits, peuvent être extraites des annuaires des ENT des données relatives à l'identité, à la structure de rattachement des personnes concernées et à la scolarité pour les élèves ou à la discipline enseignée pour les enseignants.
Le ministère a en outre précisé que cette alimentation est subordonnée, d'une part, à l'existence d'un partenariat entre l'Etat et une collectivité territoriale et, d'autre part, à la réalisation d'un engagement de conformité à l'acte réglementaire unique, créé par l'arrêté du 30 novembre 2006, par le responsable de l'ENT. En outre, cette alimentation doit s'effectuer selon le cadre défini dans le référentiel Cadre de référence pour l'accès aux ressources pédagogiques via un équipement mobile (CARMO), version 2.0.
Cette transmission des ENT vers les solutions de gestion des équipements fixes et mobiles ne pose pas de difficulté particulière dès lors qu'elles sont limitées aux seules données nécessaires auxdites solution de gestion.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, notamment ses articles 101 et 103 ;
 
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
En application de l'article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l'Union européenne, ni de l'Espace économique européen ou qui n'assurent pas un niveau de protection suffisant sont interdits.
Néanmoins, il peut être fait exception à cette interdiction par application de l'article 69 de la loi précitée, notamment par décision de la Commission nationale de l'informatique et des libertés lorsqu'un niveau de protection suffisant est apporté aux données transférées par l'intermédiaire de règles internes, c'est-à-dire des règles contraignantes d'entreprise ( binding corporate rules - BCR) constituant un code de conduite interne s'imposant à toutes les entités d'un même groupe.
Au terme d'une procédure de coopération, la Commission et les autorités européennes de protection des données compétentes ont reconnu les BCR responsable de traitement du groupe Merck Sharp and Dohme, connu sous la dénomination de Merck & Co. (ci-après MSD) (dont le siège social mondial est situé à Kenilworth, New Jersey, États-Unis) conformes aux exigences posées par les documents de référence adoptés par le Groupe de travail de l'article 29.
Ainsi, ces BCR sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe MSD.
Les organismes mentionnés à l'article 1er ci-dessous, qui se réfèreront à la présente autorisation unique (n° BCR-046) et adresseront à la Commission un engagement de conformité à celle-ci, seront autorisés à mettre en œuvre leurs transferts.
Un transfert ne peut être autorisé que dans la mesure où :
(i) lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l'informatique et des libertés, et
(ii) le transfert est réalisé dans le strict respect du cadre défini par cette formalité.
Tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique devra faire l'objet d'une décision d'autorisation spécifique.
 
Article 1
Sur les responsables de traitement / champ d'application
Seules les entités du groupe MSD agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR responsable de traitement du groupe MSD et ayant mis en œuvre les engagements pris au titre des BCR peuvent adresser un engagement de conformité à la présente autorisation unique.
 
Article 2
Sur les finalités des transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe MSD et à leurs annexes, seuls sont autorisés les transferts de données à caractère personnel ayant pour finalités :
- celles relatives aux transferts de données personnelles du personnel et assimilés (anciens, présents et potentiels) et de leurs proches désignés :
- gestion du recrutement et de l'embauche ;
- gestion administrative du personnel ;
- gestion des postes et de l'organisation du travail, gestion du temps de travail et des absences, suivi de projets et d'activité, déplacements professionnels ;
- communication avec le personnel y compris enquêtes auprès des employés, liste de contact, organigramme, annuaire, réseau social interne ;
- gestion de la paie et des avantages sociaux du personnel et de leurs proches désignés ;
- gestion des carrières et de la mobilité, y compris l'évaluation professionnelle du personnel, dans le respect de la loi applicable ; la gestion des compétences professionnelles internes ; la validation des acquis de l'expérience professionnelle ; les simulations de carrière et la gestion de la mobilité professionnelle ;
- formation du personnel y compris le suivi des demandes de formation et des périodes de formation effectuées ; l'organisation des sessions de formation, l'évaluation des connaissances et des formations ;
- gestion des audits, enquêtes, procédures disciplinaires et contentieux ;
- gestion des questions d'éthique et de vie privée et réalisation d'enquêtes ;
- gestion et sécurité des biens physiques et virtuels et de l'infrastructure de l'entreprise ; y compris la mise en œuvre de dispositifs destinés à assurer la sécurité, le bon usage et le bon fonctionnement des applications informatiques et de réseau ;
- fourniture, gestion et paiement de biens et services, y compris la gestion des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement ;
- respect des engagements sociétaux, notamment en matière d'environnement, de santé et de sécurité ;
- prise de contact avec les médias ;
- gestion des fusions, acquisitions, restructurations ou cessions ;
- respect des exigences légales, réglementaires et éthiques ;
- celles relatives aux transferts de données personnelles des patients, des sujets participant aux recherches et des chercheurs :
- évaluation des besoins et des opportunités en matière d'innovation médicale et de santé ;
- planification, mise en place, gestion et financement de travaux de recherche ;
- évaluation et recrutement de chercheurs, interactions avec les intervenants impliqués dans les recherches et de partenaires commerciaux afin de supporter les travaux de recherche et le développement des produits ;
- évaluation de la sécurité, de l'efficacité et de la qualité des produits candidats de recherche et commercialisés ;
- respect des obligations en matière de sécurité et de qualité des produits, y compris le signalement et la gestion des incidents et des plaintes en matière de qualité des produits ;
- gestion et suivi des demandes d'information médicale ;
- gestion des exigences réglementaires telles que des demandes d'autorisation et d'enregistrement des produits auprès des autorités compétentes en matière de santé ;
- amélioration des soins délivrés aux patients à travers le monde par l'intermédiaire de services basés sur les données et des solutions axées sur les services cliniques, des solutions de collaboration et sur l'analytique en matière de santé ;
- respect des exigences légales, réglementaires et éthiques ;
- celles relatives aux transferts de données personnelles des clients et prospects y compris les professionnels de la santé :
- analyse des marchés de produits/services ;
- élaboration de statistiques commerciales ;
- publicité et marketing ;
- vente, distribution et livraison de biens ;
- gestion des clients ;
- gestion des activités relatives l'information et à la promotion de produits ;
- pilotage de la connaissance et de la relation clients ;
- communication et collaboration médicale et scientifique ;
- gestion des événements organisés ou en partenariat avec un tiers et des interactions telles que partenariats, dons, congrès, réunions, prestations de services ;
- gestion des activités commerciales et contractuelles, des données financières et transactionnelles ;
- gestion et suivi des demandes d'information médicale ainsi que des réclamations relatives à la qualité des produits ;
- gestion des contentieux ;
- respect des exigences légales, réglementaires et éthiques.
- celles relatives aux transferts de données personnelles des partenaires commerciaux, des investisseurs, des actionnaires et autres parties prenantes :
choix, évaluation et collaboration avec des partenaires commerciaux afin de supporter les activités commerciales ;
- gestion des activités commerciales et contractuelles, des données financières et transactionnelles ;
- gestion des contentieux ;
- communications officielles de l'entreprise ;
- prise de contact avec les autorités et les médias ;
- gestion de l'image de l'entreprise ;
- gestion des fusions, acquisitions, restructurations ou cessions ;
- respect des exigences légales, réglementaires et éthiques ;
- celles relatives aux transferts de données personnelles des utilisateurs des sites internet et services en lignes :
- gestion administrative des services en ligne et gestion des réponses aux demandes des utilisateurs des services ;
- optimisation de l'offre de services.
 
Article 3
Sur les catégories de données personnelles transférées
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe MSD et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :
Pour les transferts relatifs aux données personnelles du personnel et assimilé (anciens, présents et potentiels) et de leurs proches désignés :
- état civil/identité/ données d'identification ;
- vie professionnelle ;
- vie personnelle ;
- numéro de sécurité sociale (uniquement pour la gestion de la paie) ;
- données de connexion ;
- données de localisation ;
- informations d'ordre économique et financières ;
- décès des personnes.
Pour les transferts relatifs aux données personnelles des patients et des sujets participant aux recherches :
- état civil/identité/données d'identification ;
- vie personnelle ;
- vie professionnelle ;
- données de santé ;
- origine raciale ou ethnique ;
- données génétiques strictement nécessaires pour répondre aux objectifs ou finalités de la recherche ;
- décès des personnes ;
- informations d'ordre économique et financières ;
Pour les transferts relatifs aux données personnelles des clients, prospects y compris professionnels de la santé, des chercheurs et des intervenants impliqués dans les recherches :
- état civil/identité/ données d'identification ;
- vie professionnelle ;
- informations d'ordre économique et financières ;
- numéro de sécurité sociale (uniquement pour la gestion de la paie des professionnels de santé ayant un statut assimilé salarié ) ;
- données de connexion ;
Pour les transferts relatifs aux données personnelles des partenaires commerciaux, investisseurs, actionnaires, et autres parties prenantes :
- état civil/identité/ données d'identification ;
- vie professionnelle ;
- informations d'ordre économique et financières.
Pour le transfert de données personnelles des utilisateurs des sites internet ou autres services en ligne :
- état civil/identité/ données d'identification ;
- données de connexion.
 
Article 4