AgentPublic/cnil huggingface dataset:
Sous cette réserve, la Commission considère que les données personnelles traitées dans le système d'information de la commission du contentieux du stationnement payant sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6-3° de la loi Informatique et Libertés .
Sur la durée de conservation des données :
L'article 3 du projet d'arrêté dispose que les données relatives à la création d'un compte sur le site Internet www.ccsp.fr sont conservées un an à compter du dernier échange dématérialisé intervenu entre la CCSP et le requérant. Toutefois, si la commission du contentieux n'est pas saisie d'une requête dans un délai d'un mois à compter de la création du compte, ces données sont supprimées au terme de ce délai.
Ce même article prévoit que les autres données sont conservées pendant cinq ans à compter de la date de la décision de la CCSP rendue sur le litige, ce qui correspond au délai durant lequel des recours en révision peuvent être formés par les justiciables contre les décisions de la CCSP.
La Commission considère que les durées de conservation prévues par le projet d'arrêté n'excèdent pas les durées nécessaires au regard des finalités poursuivies par le traitement, conformément aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et destinataires des données :
L'article 4 du projet d'arrêté prévoit qu'ont accès aux données traitées, à raison de leurs attributions et dans la limite du besoin d'en connaître, les magistrats de la CCSP, les agents du greffe de la CCSP ainsi que les agents des services informatiques de la CCSP.
En outre, ce même article prévoit que peuvent être rendus destinataires des données traitées, à raison de leurs attributions et dans la limite du besoin d'en connaître :
- les agents de l'Agence nationale de traitement automatisé des infractions (ANTAI), dans les cas de recours contre les titres exécutoires, pour les seules données à caractère personnel et informations relatives à l'identité du requérant, au numéro de l'avis de paiement du forfait de post-stationnement contesté et au sens de la décision rendue par la CCSP ;
- les agents des collectivités territoriales, ou leur avocat le cas échéant, pour les seules données relatives à l'identité du requérant, au numéro de l'avis de paiement du forfait de post-stationnement ou du titre exécutoire et au montant à rembourser au requérant le cas échéant ;
- les agents de la direction générale des finances publiques, dans l'hypothèse où les décisions de la CCSP sont favorables aux requérants, pour les seules données relatives à l'identité du requérant, au numéro de l'avis de paiement du forfait de post-stationnement ou du titre exécutoire et au montant à rembourser au requérant le cas échéant ;
- les agents de l'unité de production du Centre national de production des titres (CNPT) ;
- les agents de l'Imprimerie nationale ;
- les membres du Conseil d'Etat pour les seules données relatives aux recours dont ils sont saisis ;
- les requérants et leurs avocats, le cas échéant, pour les seules données relatives aux recours les concernant.
La Commission rappelle que le destinataire, au sens de l'article 3-II de la loi du 6 janvier 1978 modifiée, est toute personne habilitée à recevoir communication des données personnelles traitées autre que la personne concernée, le responsable de traitement, le sous-traitant et les personnes qui, en raison de leurs missions, sont chargées de traiter les données. A cet égard, elle prend acte que, à sa demande, le ministère entend modifier la rédaction du projet d'arrêté afin de supprimer de la liste des destinataires des données les requérants et leurs avocats qui, s'agissant d'un téléservice, auront naturellement accès aux données les concernant via leur compte.
De même, elle prend également acte que les agents de l'unité de production du CNPT, qui sont chargés de la numérisation des dossiers papiers reçus par la CCSP, et les agents de l'Imprimerie nationale, qui procèdent à l'impression de la correspondance de la CCSP à envoyer aux justiciables, seront supprimés de la liste des destinataires dans la mesure où il s'agit de sous-traitants agissant pour le compte du responsable de traitement.
Dans ces conditions, la liste des accédants et destinataires des données n'appelle pas d'observation de la part de la Commission.
Sur l'information et les droits des personnes :
La Commission prend acte qu'il est prévu une information des personnes concernées sur le formulaire de requête, dans sa version dématérialisée comme dans sa version papier, ainsi que sur le site web. A cet égard, elle rappelle la nécessité que cette information porte sur l'ensemble des mentions prévues à l'article 32 de la loi Informatique et Libertés .
Dans la mesure où la saisine par voie électronique est facultative, hors le cas des avocats et de certaines collectivités à compter du ler juillet 2018, la Commission souligne l'importance de délivrer une information claire et complète aux requérants quant à la possibilité qui leur est offerte de saisir la CCSP par d'autres voies (postale, de télécopie ou par le dépôt de la requête directement auprès du greffe de la commission du contentieux).
A cet égard, elle prend acte de l'engagement du ministère de présenter les différents modes de saisine de la CCSP sur le site www.ccsp.fr, dans la notice de renseignement qui accompagnera le formulaire et qui sera disponible sur le site de la juridiction, ainsi que sur différents imprimés, tels que l'avis de paiement rectificatif du forfait de post-stationnement (émis à la suite d'un recours administratif préalable obligatoire) et l'avertissement adressé en cas de non-paiement du forfait de post-stationnement dans le délai de trois mois.
En outre, la Commission relève que le ministère entend permettre à tout requérant qui n'aurait pas choisi la voie dématérialisée lors de la saisine de passer au mode numérique à tout moment de la procédure s'il le souhaite. A cet égard, elle prend acte de l'engagement du ministère de permettre au requérant, au stade du dépôt de la requête, dans le formulaire papier, de choisir la voie numérique pour ses échanges à venir avec la CCSP en cochant la case correspondante. Elle prend également acte du fait que, pendant l'instance, le requérant peut passer à la voie numérique en informant le greffe par la voie d'un courrier. La Commission appelle l'attention du ministère de conserver une trace de ce consentement dans le traitement SI CCSP.
S'agissant des droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, l'article 6 dispose que ces droits s'exercent auprès du chef de greffe de la commission du contentieux du stationnement payant. Les modalités d'exercice de ces droits figurent sur le site internet www.ccsp.fr et sur le formulaire de requête en ligne à cet effet.
Par ailleurs, la Commission appelle l'attention du ministère sur l'obligation qui incombe au responsable de traitement qui a collecté des données personnelles par voie électronique de permettre à toute personne d'exercer ses droits, notamment son droit de rectification, également par voie électronique, conformément à l'article 43 bis de la loi du 6 janvier 1978 modifiée.
En outre, la Commission rappelle que, si les droits d'accès et de rectification institués par la loi peuvent permettre au requérant de se faire communiquer et de faire modifier les données le concernant qui font l'objet d'un traitement, il ne saurait lui permettre d'obtenir la communication ou la modification de l'ensemble des documents qui mentionnent son identité et dont la transmission et la rectification sont régies par les règles particulières de communication de pièces applicable à la procédure en cours devant la CCSP.
Le ministère entend enfin faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition. A cet égard, la Commission rappelle que cette disposition n'a pas pour effet de rendre obligatoire la saisine par voie électronique et que l'exclusion du droit d'opposition ne porte que sur le traitement dématérialisé de l'ensemble des requêtes. Sous cette réserve, l'exclusion du droit d'opposition n'appelle pas d'observation particulière de la Commission.
Sur la sécurité des données et la traçabilité des actions :
Concernant les mesures de traçabilité, une journalisation des opérations de création, consultation et modification des données est mise en place. L'article 5 du projet d'arrêté prévoit que l'identifiant de leur auteur, ainsi que la date, l'heure et l'objet de l'opération seront conservés un an. A cet égard, la Commission considère, en l'état des éléments dont elle dispose, qu'une durée de conservation de 6 mois serait suffisante pour répondre à l'objectif poursuivi.
La Commission prend acte que des mécanismes de purge des données seront mis en place afin de garantir leur suppression effective à l'issue des durées de conservation précisées dans le projet d'arrêté.
Concernant les besoins de sécurité identifiés par le ministère dans son étude des risques présentés par le traitement, la Commission regrette que les impacts sur les personnes n'aient pas été explicitement pris en compte.
Elle rappelle que, le traitement étant un téléservice au sens de l'ordonnance du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, il doit être conforme au référentiel général de sécurité prévu par le décret susvisé du 2 février 2010 et doit, à ce titre, faire l'objet d'une analyse de risque incluant les risques pesant sur les personnes concernées afin de garantir que les mesures mises en œuvre permettent de limiter efficacement les risques pour ces personnes. Elle rappelle également qu'il appartient au responsable de traitement d'attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d'une homologation RGS et d'en publier l'attestation d'homologation sur son site.
La Commission relève que les modalités de chiffrement des données sont conformes au référentiel général de sécurité et que le site web sur lequel le téléservice sera mis à disposition sera développé en suivant les recommandations pour les sites web de l'ANSSI.
Les accès au traitement se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d'utiliser la version de TLS la plus récente.
Concernant les échanges de données à caractère personnel réalisés avec les destinataires et sous-traitants (l'ANTAI, la CNPT et l'Imprimerie nationale), la Commission rappelle que ceux-ci doivent faire l'objet de mesures de chiffrement permettant de garantir la confidentialité des communications, ainsi que l'authentification de l'émetteur et du destinataire.
La Commission prend acte des engagements du ministère qui prévoit de mettre en œuvre une politique de mot de passe conforme à la délibération du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe et de recourir à des certificats électroniques via la carte agent du ministère de l'intérieur.
Elle prend également acte que les personnes physiques pourront recourir au mécanisme d'authentification proposé par France Connect afin de se connecter au téléservice, mais que ce mode d'accès ne sera pas exclusif.
Elle observe en outre que le protocole DNSSEC sera mis en œuvre afin de sécuriser la gestion des domaines utilisés par le téléservice.
La Commission estime que les mesures de sécurité décrites sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l'enseignement supérieur, de la recherche et de l'innovation d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement de données à caractère personnel dénommé Parcoursup ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministère de l'enseignement supérieur, de la recherche et de l'innovation d'une demande d'avis portant sur un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé Parcoursup.
Dans la mesure où le traitement automatisé de données à caractère personnel permet de formuler une demande de préinscription dans une formation de l'enseignement supérieur, il permet aux usagers du service public de l'éducation d'effectuer une démarche administrative et constitue un téléservice de l'administration électronique, au sens de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, qui doit dès lors être autorisé par arrêté ministériel, pris après avis motivé et publié de la commission.
A titre liminaire, la commission relève que la plate-forme APB admission post-bac (APB) qui permettait le recueil et le traitement des vœux des candidats à une première année de formation dans l'enseignement supérieur, a été fermée. Dès lors, il n'existe plus à ce jour de téléservice permettant la préinscription dans l'enseignement supérieur. Par ailleurs, le Gouvernement a décidé de réformer le code de l'éducation afin de prévoir de nouveaux critères d'affectation des candidats dans une formation de l'enseignement supérieur, mais ces dispositions ne sont pas encore en vigueur, le projet de loi orientation et réussite des étudiants étant en cours d'examen par le Parlement.
Dans l'attente des nouvelles dispositions applicables et pour assurer la mise en place de la rentrée 2018, le ministère a décidé de mettre en œuvre une plate-forme de recueil des vœux des candidats, et a saisi la commission d'un projet d'arrêté concernant ce traitement de données à caractère personnel.
Dans ce contexte, la commission estime que la nécessité de garantir la continuité du service public de l'enseignement supérieur justifie de procéder à une collecte des vœux et des données qui pourraient ultérieurement être nécessaires à l'affectation des candidats, également dite opération de traitement des vœux. Elle considère toutefois que cette collecte doit revêtir un caractère préparatoire et temporaire et qu'elle doit être assortie de garanties. C'est à la lumière de ces éléments que la commission examinera le traitement projeté.
La commission prend en outre acte de l'engagement du ministère de la saisir ultérieurement du traitement couvrant l'ensemble du dispositif et permettant l'affectation des candidats. Elle rappelle enfin que son présent avis est sans préjudice des observations qu'elle pourra formuler sur le futur dispositif.
Sur les finalités :
L'article 1er du projet d'arrêté prévoit que le traitement dénommé Parcoursup a pour finalité le recueil des vœux dans le cadre de la gestion de la procédure nationale de préinscription dans une formation du premier cycle de l'enseignement supérieur .
Le code de l'éducation prévoit déjà un dispositif de préinscription, ce que ne remet pas en cause le projet de loi précité. Le recueil des vœux des candidats et la collecte des données et informations qui permettront par la suite de traiter ces vœux est la première étape nécessaire à une telle préinscription. La mise en œuvre de ce traitement est ainsi justifiée, étant rappelé qu'il ne sera pas procédé à une prise de décision d'affectation, dans le cadre de ce premier traitement.
Compte tenu de la nature préparatoire du traitement et des garanties qui doivent entourer sa mise en œuvre, la commission estime que le projet d'arrêté devrait rendre compte du nécessaire caractère temporaire de celui-ci, dans l'attente d'une nouvelle saisine du ministère. A cet égard, elle prend acte de l'engagement du ministère de modifier le projet d'arrêté en limitant le traitement à l'année universitaire 2018-2019.
Au regard de ces éléments, la commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données :
L'article 2 du projet d'arrêté renvoie à une annexe listant les données enregistrées dans Parcoursup. Outre les données relatives à l'identité des candidats et de leurs responsables légaux sont enregistrées des données relatives à la scolarité des candidats, à leur projet de formation, à leur parcours extra-scolaire, le cas échéant, à leur statut de boursier, aux appréciations par le professeur principal et le chef d'établissement.
Compte tenu de l'objectif préparatoire du nouveau dispositif de préinscription dans l'enseignement supérieur poursuivi par le traitement et en l'état des éléments dont dispose la commission, la collecte de ces nombreuses catégories de données collectées n'appelle pas d'observations particulières.
La commission estime toutefois que le ministère devrait s'engager, d'une part, à ne pas traiter ces données à d'autres fins que le recueil préparatoire des vœux et données et, d'autre part, à supprimer celles qui ne seraient pas ultérieurement nécessaires à l'affectation des candidats, au regard des dispositions qui seront applicables au dispositif de préinscription.
En tout état de cause, la commission rappelle que la pertinence de chacune de ces catégories de données sera ultérieurement réexaminée en détail, lors de la saisine du nouveau projet d'arrêté relatif à Parcoursup.
Sous réserve du respect de ces observations, la commission considère que les données enregistrées dans Parcoursup sont conformes à l'article 6 (3°) la loi du 6 janvier 1978 modifiée.
Sur les durées de conservation :
L'article 4 du projet d'arrêté prévoit que les données et informations enregistrées dans Parcoursup sont conservées en base active pendant une durée maximale de deux ans puis de quatre ans en base d'archives intermédiaires. Le ministère a précisé que la durée de conservation en base active a pour objet de permettre aux candidats qui ont formulé des vœux sans que ceux-ci n'aboutissent à une inscription dans une formation de l'enseignement supérieur, de récupérer sur la plate-forme les éléments du dossier déjà constitués. La durée de conservation en base d'archives intermédiaires doit permettre de répondre à d'éventuels recours administratifs ou contentieux formés contre les décisions individuelles prises.
La commission rappelle que la durée de conservation des données collectées doit être appréciée à l'aune de l'objectif préparatoire et temporaire poursuivi par le traitement. Elle estime dès lors que les durées de conservation prévues par le projet d'arrêté ne sont pas proportionnées au recueil des vœux et données, indispensable pour préparer la prochaine rentrée universitaire et que le projet d'arrêté devrait être modifié sur ce point.
La commission considère que le projet d'arrêté devrait prévoir une durée de conservation limitée à la durée nécessaire au recueil des vœux assortie d'une possibilité de conserver, dans le traitement ultérieur permettant l'affectation des candidats, les catégories de données nécessaires à l'affectation des candidats et la suppression des autres données.
A cet égard, la commission prend acte de l'engagement du ministère de modifier le projet d'arrêté afin, d'une part, de limiter la durée de conservation des données au 2 avril 2018, date à laquelle les vœux devraient être examinés par les établissements d'enseignement supérieur, et, d'autre part, de prévoir qu'après cette date, les données collectées seront supprimées à moins que leur traitement ne soit expressément autorisé par la réglementation en vigueur à cette date.
Sur les destinataires :
L'article 3 du projet d'arrêté prévoit des destinataires au sein de la direction de l'enseignement supérieur et de l'insertion professionnelle (DGESIP) du ministère de l'enseignement supérieur et de la direction générale de l'enseignement scolaire (DGESCO) du ministère de l'éducation nationale, des rectorats et des établissements du second degré dans lequel sont scolarisés les candidats.
La commission rappelle qu'est seul justifié l'accès par des personnes devant avoir connaissance des vœux des candidats, dans le cadre de la phase temporaire de leur recueil. A cet égard, elle relève que les personnels des établissements du second degré (notamment les professeurs et chefs d'établissement) doivent saisir des informations et appréciations sur les candidats. Le ministère a en outre précisé que certains personnels des rectorats (chef du service académique de l'information et de l'orientation - CSAIO - et ses collaborateurs) et du département de l'orientation et de la vie de campus, équipe de la DGESIP qui assure la maîtrise d'ouvrage de Parcoursup, sont chargés d'apporter une aide individualisée aux candidats qui rencontreraient des difficultés pour saisir leurs vœux, notamment en cas de blocage de leur dossier. Dès lors, l'accès de ces personnels aux données enregistrées dans Parcoursup est justifié.
En revanche, en l'absence de précisions sur les raisons justifiant que des personnels de la DGESCO connaissent, au stade du recueil des vœux des candidats, les données enregistrées dans le présent traitement, la commission estime que la transmission, à ces destinataires, des données n'est pas justifiée au regard de la finalité poursuivie. Elle prend acte de l'engagement du ministère de modifier le projet d'arrêté sur ce point et rappelle que cela n'exclut pas que l'accès de tels personnels puisse, par la suite, être justifié au regard des dispositions qui seront ultérieurement applicables.
Sur l'information et les droits des personnes :
Le ministère a précisé que l'information prévue à l'article 32 de la loi du 6 janvier 1978 modifiée figurera dans la charte candidat, dont celui-ci doit prendre connaissance avant la saisie de ses vœux. Le modèle de mention fourni par le ministère contient l'ensemble des mentions informatives prévues par la loi.
En application de l'article 38 de la loi du 6 janvier 1978 modifiée, l'article 5 du projet d'arrêté exclut le droit d'opposition. Cette exclusion est conforme à l'article 38 de la loi du 6 janvier 1978, tel qu'interprété par le Conseil d'État, le traitement étant fondé sur l'article 27 de ladite loi.