AgentPublic/cnil huggingface dataset:
L’application LEGHO permettra ainsi au secrétariat général de la Grande Chancellerie de la Légion d’Honneur, à qui les propositions de nomination ou de promotion sont adressées par les ministres, d’établir une seule liste de référence par promotion dans l’ordre de la Légion d’Honneur ou l’ordre national du Mérite,  à partir des propositions saisies en ligne par le Premier ministre, la Grande chancellerie et les ministères. Cette liste,  validée par la Grande chancellerie, sera ensuite transmise par voie électronique au secrétariat général du Gouvernement puis à la direction de l’information légale et administrative (DILA) en vue de la publication des décrets.
Données traitées
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets.
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes.
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Destinataires
Il s’agit des personnels habilités du cabinet du Président de la République (Grand Maître des Ordres Nationaux), du cabinet du Premier ministre, de la Grande Chancellerie de la Légion d’Honneur, des services du Premier ministre et des ministères adressant leurs propositions de nomination ou promotion. Chaque destinataire n’aura accès qu’aux données qui lui sont strictement nécessaires pour remplir sa mission dans le cadre de la publication de ces décrets. 
Information et droit d’accès
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de cette proposition, et où les données à caractère personnel enregistrées dans l’application LEGHO n’ont pas été recueillies directement auprès des personnes concernées mais par les ministères adressant les propositions à la Grande Chancellerie, il n’apparaît pas possible de faire application des dispositions des I et III de l’article 32 de la loi du 6 janvier 1978 modifiée. La Commission estime que cette dérogation d’information est conforme au deuxième alinéa du III dudit article, qui dispose que les obligations d’information ne s’appliquent pas « quand [l’] information [de la personne concernée] se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche ».
En revanche, toutes les informations enregistrées dans l’application LEGHO figurent dans le décret finalement publié au Journal Officiel. Par la publication du décret portant nomination ou promotion, les personnes concernées sont ainsi informées des données auxquelles ont accédé les destinataires précités. En outre, le courrier personnel informant le récipiendaire de sa promotion ou de sa nomination, donnera toutes les précisions sur les caractéristiques du traitement dont la personne aura fait l’objet.
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de cette proposition, et où les données à caractère personnel enregistrées dans l’application LEGHO n’ont pas été recueillies directement auprès des personnes concernées mais par les ministères adressant les propositions à la Grande Chancellerie, il n’apparaît pas possible de faire application des dispositions des I et III de l’article 32 de la loi du 6 janvier 1978 modifiée. La Commission estime que cette dérogation d’information est conforme au deuxième alinéa du III dudit article, qui dispose que les obligations d’information ne s’appliquent pas « quand [l’] information [de la personne concernée] se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche ».
En revanche, toutes les informations enregistrées dans l’application LEGHO figurent dans le décret finalement publié au Journal Officiel. Par la publication du décret portant nomination ou promotion, les personnes concernées sont ainsi informées des données auxquelles ont accédé les destinataires précités. En outre, le courrier personnel informant le récipiendaire de sa promotion ou de sa nomination, donnera toutes les précisions sur les caractéristiques du traitement dont la personne aura fait l’objet.
Les droits d’accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s’exercent directement auprès du cabinet du secrétaire général du gouvernement.
Caractéristiques particulières du traitement
Le traitement LEGHO est soumis au Référentiel Général de Sécurité, ce qui apporte des garanties suffisantes en termes de sécurité des données traitées. 
La traçabilité du système est assurée par la journalisation des connexions. Si les accès aux données à caractère personnel enregistrées dans l’application ne font pas l’objet d’une telle journalisation, il convient de relever que des sécurités techniques sont mises en place afin de s’assurer que chaque intervenant dans le processus ne peut accéder qu’aux données dont il est à l'origine ou qu’il doit nécessairement traiter dans le cadre de ses missions.
Le traitement LEGHO est soumis au Référentiel Général de Sécurité, ce qui apporte des garanties suffisantes en termes de sécurité des données traitées. 
La traçabilité du système est assurée par la journalisation des connexions. Si les accès aux données à caractère personnel enregistrées dans l’application ne font pas l’objet d’une telle journalisation, il convient de relever que des sécurités techniques sont mises en place afin de s’assurer que chaque intervenant dans le processus ne peut accéder qu’aux données dont il est à l'origine ou qu’il doit nécessairement traiter dans le cadre de ses missions.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'éducation nationale, de la jeunesse et de la vie associative ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27-II-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Après avoir entendu Monsieur CARREZ, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie le 3 septembre 2009 par le ministère de l'éducation nationale, de la jeunesse et de la vie associative, d'une demande d'avis portant sur un projet d'arrêté relatif à la procédure d'admission en première année d'une formation post-baccalauréat, conformément aux dispositions de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée en aout 2004.
Un courrier de demande de compléments a été adressé au ministère le 3 novembre 2009. Une relance pour non réponse à cette demande a été adressée au ministère le 4 janvier 2010, à laquelle il a été répondu le 24 mars 2010. 
Une nouvelle demande de compléments a été adressée au ministère le 12 mai 2010, suivi d'une relance le 3 septembre 2010. Le ministère a apporté les derniers éléments de réponse les 1 décembre 2010 et 11 février 2011.
L'application admission post-bac , est un télé-service de l'administration, qui permet aux futurs étudiants de se préinscrire, de classer des vœux, de bénéficier de conseils d'orientation avant de s'inscrire administrativement en première année de l'enseignement supérieur auprès de l'établissement de leur choix.
Sur la finalité poursuivie
La Commission constate que les finalités poursuivies par l'application sont : le recueil et le traitement des vœux des candidats à une admission en première année d'une formation post- baccalauréat, l'impression d'un dossier papier pour les filières sélectives, et le traitement statistique des données.
Elle relève qu'en application des dispositions de la loi n°2007-1199 du 10 aout 2007 codifiée à l'article l.612-3 du code de l'éducation : Tout candidat est libre de s'inscrire dans l'établissement de son choix, sous réserve d'avoir, au préalable, sollicité une préinscription lui permettant de bénéficier du dispositif d'information et d'orientation dudit établissement, qui doit être établi en concertation avec les lycées .
Dès lors, la Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les personnes visées par le traitement
La Commission prend acte que les élèves concernés sont des élèves français ou étrangers, de terminale ou titulaires d'un diplôme de fin d'études permettant l'accès aux études supérieures du pays de délivrance.
Sur les données collectées
Concernant la collecte des notes obtenues par les candidats et les appréciations portées par leurs professeurs
En application de l'article L.612-3 du code de l'éducation, une sélection des candidats est opérée pour l'accès à certains établissements d'enseignement supérieurs, instituts et grandes écoles. Pour permettre cette sélection, l'application admission post-bac prévoit la transmission informatique des notes et appréciations des professeurs et du chef d'établissement sur l'aptitude du candidat à suivre certaines formations post-baccalauréat.
La Commission note que ces informations permettent également aux candidats de bénéficier d'une démarche de conseil et d'accompagnement dans le choix d'une filière d'enseignement dans les universités.
Le ministère a précisé sur ce point que les notes obtenues par les candidats et les appréciations portées par leurs professeurs et chef d'établissements, figurant sur les bulletins trimestriels de notes et la fiche pédagogique, constituent les critères de sélections reconnus pour les candidats qui postulent à une inscription dans l'une des formations ou l'un des établissements visés à l'article L.612-3 du code de l'éducation. 
La Commission prend acte qu'une mention de ces dispositions législatives sera affichée sur le portail de l'application admission post-bac afin d'informer les candidats à une première année de formation post-baccalauréat, de cette sélection.
Elle relève que les résultats scolaires des élèves en classe de terminale, les notes et appréciations sont accessibles aux responsables de formation d'enseignement supérieur auxquelles un candidat postule, uniquement pour les candidats les concernant. Ces derniers sont, en tout état de cause, informés de la transmission des données.
Concernant le recueil de la nationalité
La Commission prend acte des précisions apportées par le ministère indiquant que le recueil de la nationalité et du pays de naissance de l'élève est nécessaire, car un candidat étranger, hors Union européenne, non titulaire d'un baccalauréat français, d'une part doit obtenir un titre de séjour pour pouvoir obtenir une formation en apprentissage, d'autre part doit respecter une procédure spécifique (la demande d'admission préalable) pour solliciter une préinscription en première année de licence.
Elle relève que l'application admission post-bac est ouverte aux préinscriptions dans les formations en apprentissage à tout élève qui en fait la demande, quels que soient sa nationalité et son lieu de résidence. 
Elle prend acte de l'engagement du ministère de mettre en place une information précise destinée aux candidats étrangers non résidant en France. Cette information étant affichée sous la forme suivante sur le portail web de l'application : Si vous envisagez de formuler un vœu sur des formations en apprentissage, nous vous rappelons que ces informations sont conditionnées à la signature d'un contrat d'apprentissage qui est un contrat de travail conclu entre un apprenti (ou son représentant légal) et un employeur. L'inscription définitive à ces formations sera soumise à l'obtention d'un titre de séjour permettant de conclure un contrat d'apprentissage. Pour plus de renseignements, nous vous invitons à consulter le site http://www.service-public.fr .
Concernant le recueil de la situation économique et financière de la famille
La Commission prend acte des précisions du ministère indiquant que le recueil des données relatives aux revenus de la famille et à la composition familiale des candidats permet de mesurer la probabilité d'obtention d‘une bourse de l'enseignement supérieur pour l'année suivante.
Elle relève que la communication de ces donnés ne revêt un caractère obligatoire que pour les seuls candidats qui formulent une demande d'admission en internat. La Commission estime que les candidats devront être spécifiquement informés sur ce point.
Les personnes habilitées à consulter l'application 
La Commission relève que deux agents du département de l'égalité des chances du ministère de l'enseignement supérieur de la recherche disposent d'un compte leur permettant de consulter l'ensemble des dossiers individuels des candidats, ainsi qu'un accès en modification uniquement pour les rubriques suivantes : commune, département de naissance, pays de naissance, nationalité, adresse postale, téléphone, adresse e-mail.
La Commission prend acte que ces modifications se font exclusivement à la demande du candidat.
La Commission relève que les services de coopération et d'action culturelle des ambassades des pays où l'application informatique CEF-Pastel du ministère des affaires étrangères et européennes est mise en œuvre, ont accès aux données personnelles des candidats de leur pays de résidence.
Elle prend acte que cet accès permet aux ambassades concernées de vérifier, avant la délivrance du visa, que l'attestation de préinscription fournie par le candidat étranger n'est pas un faux document. Les services effectuent à cette fin une requête sur le nom du candidat sur l'application afin de vérifier la réalité de la proposition d'admission.
La Commission considère que ces services ne devraient avoir accès qu'aux seules données relatives à la proposition d'admission.
La Commission relève que les agents spécifiquement habilités à cet effet, du ministère de l'agriculture, ne peuvent consulter que les données relatives aux seuls candidats des lycées agricoles et aux candidats à des formations supérieures agricoles, et pour le ministère de la culture, aux formations supérieures relevant de sa compétence.
Elle prend acte que les agents habilités à cette fin de ces deux ministères ont un profil d'accès identique à ceux du service de l'égalité des chances du ministère de l'enseignement supérieur et de la recherche.
Concernant le ministère de l'éducation nationale, elle prend acte que seuls les agents des services académiques d'information et d'orientation et le bureau de l'orientation et de l'insertion professionnelle de la DGESCO ont un accès en consultation des données relatives aux candidats.
Sur les durées de conservation
La Commission relève que les données non nominatives sont conservées cinq ans pour l'élaboration de statistiques et que les données nominatives sont conservées 18 mois.
Elle prend acte que cette dernière durée de conservation permet aux candidats se réinscrivant sur l'application admission post-bac, dans le cadre d'une réorientation en première année, de ne pas être contraints de saisir à nouveau les données de l'année antérieure. Les candidats ont la possibilité de mettre à jour ces données.
Sur les droits des personnes
La Commission estime que les candidats devront notamment être informés du renseignement obligatoire ou facultatif des données en fonction de leur situation, de la durée de conservation de leurs données dans l'application, ainsi que des destinataires de ces données.
Sur les sécurités
Elle note que le ministère a indiqué qu'afin de garantir un égal accès à l'application, les candidats résidant dans le pays où l'accès à un site https n'est pas possible, pourront se connecter en http .
La Commission prend acte qu'une nouvelle politique de mot de passe a été mise en place, conformément à sa demande. Le mot de passe contenant désormais 8 caractères minimum, dont deux alphabétiques et deux non alphabétiques. Elle relève également que les comptes d'accès aux données personnelles sont nominatifs, ce qui permet une traçabilité des actions. Elle note qu'un candidat qui se réinscrit l'année suivante ne conserve ni le même numéro de dossier, ni le même code confidentiel.
Elle note que sept informaticiens spécifiquement habilités sont exclusivement en charge de la gestion de la base admission post-bac . Elle relève qu'il existe des comptes de consultation au sein du Ministère de l'Enseignement Supérieur et de la Recherche aux fins d'établir, à l'aide de requêtes, des indicateurs statistiques sur l'utilisation de l'application. La Commission considère que ces requêtes ne doivent pas permettre une identification des personnes dans l'application. 
Elle prend acte que la traçabilité de l'application permet une journalisation des connexions à l'application ainsi qu'une journalisation des actions en modification et suppression sur les données personnelles. Elle recommande qu'une journalisation des actions en consultation permettant de connaître les informations consultées par une personne connectée soit également mise en œuvre, compte tenu de la sensibilité de certaines des informations.
Le Président,
Alex TÜRK.