AgentPublic/cnil huggingface dataset:
Le dossier administratif prévoit que l'information des personnes sera assurée, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, par affichage dans les locaux des services des officiers du ministère public concernés ainsi que par l'insertion d'une mention sur les courriers adressés aux personnes dans le cadre de la gestion de leur recours. Le projet d'arrêté prévoit que les droits d'accès et de rectification s'exerceront, conformément aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, auprès de la direction de la sécurité de la police de la police d'agglomération parisienne de la préfecture de police. Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement.
Sur les mesures de sécurité
Le traitement est hébergé dans les locaux sécurisés de la préfecture de police et les connexions empruntent un réseau privatif du ministère de l'intérieur. Les données font l'objet de sauvegardes régulières, elle-même sécurisées. Le projet d'arrêté prévoit une traçabilité complète des actions de création, modification, suppression et consultation. La commission prend acte que, conformément à ses recommandations, l'accès au traitement sera sécurisé par des mots de passe individuels, robustes et régulièrement renouvelés. Enfin, elle relève que les accès au traitement seront encadrés par des profils définis au regard des attributions et compétences de chaque utilisateur.
Pour la présidente :
Le vice-président délégué,
E. Givry
la Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'éducation nationale, de la jeunesse et de la vie associative (MENJVA) d'un projet d'arrêté créant un téléservice permettant aux élèves et à leurs responsables légaux de consulter à distance le livret personnel de compétences ; Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 27-II (4°) ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifié relative à l'informatique, aux fichiers et aux libertés ; Vu le code de l'éducation, notamment ses articles D. 311-6 et suivants et D. 122-1 et suivants ; Vu l'arrêté du 14 juin 2010 relatif au livret de compétences ; Vu la demande d'avis du directeur général de la direction générale de l'enseignement scolaire (DGESCO) sur un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice
permettant aux élèves et à leurs responsables légaux de consulter à distance le livret personnel de compétences ; Après avoir entendu M. Eric Peres, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
 Conformément à l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, la CNIL a été saisie par le ministère de l'éducation nationale, de la jeunesse et de la vie associative (MENJVA) d'une demande d'avis relative à la mise à disposition des chefs d'établissements d'un téléservice destiné aux élèves et à leurs responsables légaux afin de consulter à distance le livret personnel de compétences (LPC) de l'élève concerné. Ce téléservice, dénommé Téléservice-LPC , permettra aux élèves et aux responsables légaux de l'enfant de consulter à distance le relevé de validation des compétences acquises par les enfants, telles qu'enregistrées dans le livret personnel de compétences. Il se présentera sous la forme d'un nouveau module de consultation à distance de l'application de gestion des SCONET livret personnel de compétences (ou SCONET LPC ), qui permet, au niveau de l'établissement scolaire, la saisie des acquis des élèves dans le traitement de gestion administrative, pédagogique et financière SCOLARITE.
Conformément aux articles D. 311-6 et D. 311-7 du code de l'éducation et à l'arrêté du 14 juin 2010, la mise en œuvre du livret personnel de compétences (LPC) est devenue obligatoire pour l'ensemble des élèves du second degré afin de permettre à l'élève, à ses représentants légaux ou représentants légaux et aux enseignants de suivre la validation progressive des connaissances et compétences du socle commun de l'élève (art. D. 311-6 du code de l'éducation) tout au long de sa scolarité dans le second degré.
 La validation de ces compétences est effectuée en trois paliers : à la fin du CE1 (palier 1), à la fin du CM2 (palier 2) et en fin de 3e (palier 3). Depuis la session 2011, la validation de ces compétences est exigée pour l'obtention du diplôme national du brevet (DNB). Le téléservice-LPC s'inscrit dans le cadre de l'offre des téléservices SCONET développés par le MENJVA (notes et absences). Il vise à faciliter un suivi régulier, par les responsables légaux, des compétences validées par l'élève.
La commission a pris acte que l'usage de ce téléservice reste entièrement facultatif. Tout d'abord, les conseils d'administration des différents établissements du second degré restent libres de ne pas recourir à ce téléservice. En outre, les parents d'élèves de l'établissement qui auraient fait le choix de mettre ce téléservice à disposition conservent la faculté de ne pas activer leur compte et de ne pas recourir à ce téléservice. Ce téléservice s'inscrit dans le cadre de l'offre des téléservices SCONET que le MENJVA propose aux élèves et aux responsables légaux de l'enfant, s'agissant de la consultation des notes à distance (demande d'avis n° 1409718 du 27 janvier 2010 sur le traitement SCONOTES). La commission reste particulièrement attentive à ce que la dématérialisation des contenus mis à disposition des responsables légaux en vue de les informer de la scolarité de leurs enfants ne s'accompagne pas d'une suppression concomitante des contenus papier .
La mise en œuvre du téléservice-LPC : L'ouverture d'un compte : La création du compte de l'élève est effectuée par l'élève à partir du code d'activation qui lui sera transmis par l'établissement lors d'une réunion d'information organisée sous la responsabilité d'un enseignant ou d'une personne de l'équipe éducative de l'établissement. La création du compte des responsables légaux sera effectuée conformément à la procédure suivante : - un code d'activation sera adressé au représentant légal de l'élève par courrier ou par courriel, afin de lui permettre de se connecter au téléservice ; - le représentant légal pourra librement choisir d'activer ce service ou non ; - dans le cas d'une absence d'utilisation du code d'activation transmis, pendant un délai de trois mois, ce code d'activation sera détruit ; - dans le cas d'une activation du compte, le représentant légal créera un compte personnel en définissant un mot de passe personnel associé à ce compte ; - les données relatives au livret personnel de compétences seront rendues accessibles à distance via ce téléservice. Le refus des parents de recourir au Téléservice-LPC pourra être recueilli par courrier ou par courriel. Ce refus concernera tous les enfants dont il a la responsabilité. Conformément à ce qu'avait recommandé la CNIL dans le cadre de la demande d'avis relative au téléservice SCONOTES, le MENJVA confirme qu'aucune création de compte de l'élève n'aura lieu avant le recueil du consentement des parents d'élèves.
La fermeture d'un compte : Lorsque l'élève quitte l'établissement, la fermeture du compte a lieu, par défaut, en fin d'année scolaire ou bien après réception d'une demande expresse des responsables légaux de l'enfant en ce sens, par courrier ou par courriel. Lors des changements de classe, d'école ou de collège, le livret est transmis à l'équipe pédagogique qui accueille l'enfant.
Sur la finalité du téléservice : Le téléservice-LPC a pour objet de mettre à disposition des élèves et des responsables légaux des enfants scolarisés du second degré, un téléservice leur permettant de consulter à distance le livret de compétences de leurs enfants. Il s'agit donc, pour les élèves et leurs responsables légaux, de pouvoir suivre la progression scolaire enregistrée dans les différents apprentissages du second degré afin de connaître les acquis des enfants dans les 7 champs de compétences identifiés dans le livret personnel de l'élève, à savoir : 1. La maîtrise de la langue française ; 2. La pratique d'une langue vivante étrangère ; 3. Les principaux éléments de mathématiques et de culture scientifique et technologique ; 4. La maîtrise des techniques usuelles de l'information et de la communication ; 5. La culture humaniste ; 6. Les compétences sociales et civiques ; 7. L'autonomie et l'initiative. Le téléservice-LPC ne se substitue pas aux modalités usuelles et réglementaires de suivi de la validation des acquis des élèves et n'a notamment pas pour objectif de remplacer les moyens de communication traditionnellement utilisés par les établissements (notamment les courriers postaux ou électroniques).
Sur les données traitées : Les catégories de données traitées sont des données d'identification, collectées auprès de l'élève et des responsables légaux, et des données scolaires relatives au socle de connaissance à acquérir par l'élève, saisies par les enseignants de l'établissement concerné, de la 6e à la 3e.
 En premier lieu, les informations relatives à l'identification des élèves sont les suivantes : - nom et prénom ; - bilan des acquis relatif au socle commun (compétences et items) ; - identifiant, choisi par l'élève lors de la première connexion, permettant l'accès au téléservice ; - mot de passe, choisi par l'élève lors de la première connexion, permettant l'accès au téléservice (art. 2 du projet d'arrêté). La commission prend acte que le numéro d'identification académique des élèves du second degré (n° INE-BEA) ne sera pas saisi dans l'application. Comme dans le cadre du traitement LPC, les acquis de l'élève sont renseignés à l'exclusion de toute note, appréciation ou commentaire des professeurs. Sur ce point, la commission rappelle qu'elle devrait être saisie sur la base de nouvelles formalités préalables en cas de modification de la version actuelle du téléservice, particulièrement si le téléservice-LPC devait être enrichi de boites de dialogues parents-enseignants ou de commentaires permettant un suivi plus personnalisé de l'élève.
En deuxième lieu, les informations relatives à l'identification des responsables légaux sont les suivantes : - nom et prénom ; - identifiant, choisi par le responsable légal lors de la première connexion, permettant l'accès au téléservice ; - mot de passe, choisi par le responsable légal lors de la première connexion, permettant l'accès au téléservice (art. 2 du projet d'arrêté). En dernier lieu, les informations relatives aux acquis de l'élève relatifs au socle de compétences à acquérir sont les suivantes : - niveau de scolarisation ; - division dans laquelle l'élève est scolarisé ; - langues vivantes étudiées ; - options suivies. L'alimentation du traitement sera effectuée : - concernant les données d'identification des élèves : par le biais des données fournies directement par l'élève et des données traitées dans SCONET ; - concernant les données d'identification des responsables légaux : par les données fournies directement par les responsables légaux ; - concernant les données de connexion des élèves et des responsables : par les codes d'activation cryptés mis à disposition par le MENJVA, puis les mots de passe et login choisis par l'usager ; - concernant les informations relatives aux acquis des élèves : par une saisie directe de ces informations par les enseignants de l'établissement.
Sur les destinataires : La commission prend acte que les destinataires des données traitées sont exclusivement les responsables légaux de l'élève et l'élève. Chaque destinataire des données disposera d'un compte personnel et sera donc identifié personnellement. Ainsi, chaque responsable légal concerné disposera d'un identifiant de connexion personnel et distinct. Sur la durée de conservation : La durée de conservation des données traitées sera celle de la mise à disposition du téléservice dans le second degré, c'est-à-dire, à ce jour, de la 6e à la 3e.
Sur la sécurité : Etant un module du traitement SCONET et du traitement livret personnel de compétences, les garanties de sécurité appliquées au téléservice-LPC résultent des conditions de sécurité décrites dans les deux traitements précités, déclarés en 1993 et 2010. Toutefois, la commission appelle l'attention du MENJVA sur les points suivants : En premier lieu, la commission rappelle l'importance de définir des mesures de sécurité physique adéquates pour l'accès aux équipements hébergeant SCONET et le téléservice.
Le code d'activation responsable (CAR) permet au responsable légal de créer un seul compte pour plusieurs enfants, même si ces enfants fréquentent des établissements différents de la même académie. En deuxième lieu, la commission rappelle qu'elle recommande des mots de passe de huit caractères minimum comprenant plusieurs types de caractères. Ces mots de passe ne doivent pas être accessibles aux administrateurs. En troisième lieu, la commission relève que le MENJVA a confirmé qu'aucun transfert de données hors UE n'aura lieu et qu'aucune externalisation du stockage ne sera effectuée.
En quatrième lieu, la commission souligne l'importance d'une traçabilité pour la création de comptes et pour les connexions à l'application. La commission considère notamment qu'une traçabilité des identifiants des utilisateurs administrateurs du service devrait être prévue. De plus, les personnes dont les accès sont tracés ne devraient pas avoir accès aux traces elles-mêmes. Enfin, la commission recommande une analyse automatique des traces pour y détecter les anomalies. En dernier lieu, le téléservice-LPC a été conçu pour répondre aux exigences du Référentiel général de sécurité (RGS) défini dans l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. La Commission prend acte que le MENJVA a engagé la mise en conformité aux exigences de ce référentiel et réalisera avant le lancement du service une homologation de sécurité.
Sur les droits des personnes : Téléservice-LPC est un module de scolarité. Les droits des personnes au regard des articles 32, 39 et 40 de la loi modifiée seront donc portés à la connaissance des responsables légaux au moment du recueil des données relatives à l'identité de l'élève en début d'année scolaire, lors de son inscription dans l'établissement concerné. Des mentions légales relatives à la mise en œuvre du droit d'accès seront également portées sur les formulaires de collecte des données et les courriers personnalisés adressés aux responsables légaux pour leur communiquer les codes d'activation de leurs comptes. La commission prend acte que le téléservice-LPC est un service facultatif et que le droit d'opposition ne fait donc l'objet d'aucune mention spécifique dans le projet d'arrêté.
 Néanmoins, dans le respect des droits des parents d'élèves ne souhaitant pas recourir à ce téléservice, la commission recommande que, par défaut, dans le traitement SCONET, la case publiable TS (signifiant l'activation du téléservice) soit décochée. Autres recommandations de la CNIL : Le téléservice-LPC s'inscrit dans le cadre du développement de l'offre de téléservices scolaires dans le second degré (notes, absences, livret personnel de compétences).
A ce titre, la commission insiste sur la nécessité, pour le MENJVA, d'informer chaque établissement utilisant ce téléservice de son obligation de continuer à mettre à disposition des responsables légaux qui ne seraient pas en capacité d'accéder au téléservice proposé ou qui ne souhaiteraient pas l'utiliser un autre moyen d'accès aux données traitées dans le téléservice (appels téléphoniques, envoi d'un courrier postal ou d'un courriel). Ainsi, une demande écrite en ce sens devra pouvoir être adressée à l'établissement par les responsables légaux de l'élève sur le carnet de correspondance de l'élève. Sur la mise en place d'un bilan : La commission demande au MENJVA de lui adresser, dans un délai de deux ans, un bilan sur la mise en œuvre du téléservice-LPC, afin : - d'indiquer quelles mesures alternatives seront mises à la disposition des responsables légaux ne souhaitant pas utiliser le téléservice-LPC pour être informés, de manière régulière, de la validation des acquis de leurs enfants ; - de dresser un tableau récapitulatif des mesures prises par le MENJVA dans le cadre de l'homologation RGS du téléservice ; - de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits, et particulièrement les personnes ne souhaitant pas bénéficier de ce téléservice ; - de réaliser une mesure d'audience des consultations du téléservice.
 Pour la présidente et par délégation :
Le vice-président délégué,
E. de Givry
La Commission nationale de l'informatique et des libertés,Saisie pour avis par le ministère de la justice et des libertés d'un projet d'arrêté portant création d'un traitement de données à caractère personnel dénommé  Gestion de l'activité et des mesures éducatives 2010  (Game 2010) ;Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 8 décembre 2000 modifiant l'arrêté du 28 avril 1993 organisant le traitement automatisé des statistiques des établissements et services de l'administration de la protection judiciaire de la jeunesse ;Vu la délibération n° 93-022 du 9 mars 1993 portant sur le projet d'arrêté du ministère de la justice relatif à l'informatisation des établissements et services de la protection judiciaire de la jeunesse ;Vu la délibération n° 2000-059 du 30 novembre 2000 portant avis sur un projet d'arrêté
modifiant l'arrêté du 28 avril 1993 présenté par le ministère de la justice relatif à un traitement national ayant pour finalité le suivi des mesures éducatives et de l'activité des services du secteur public de la protection judiciaire de la jeunesse ;Vu la délibération n° 2009-092 du 29 janvier 2009 portant avis sur un projet d'arrêté relatif à l'informatisation de la gestion des mesures éducatives de mineurs confiés aux services déconcentrés du secteur public de la direction de la protection judiciaire de la jeunesse ;
Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :La commission a été saisie par le ministère de la justice d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel dénommé  Gestion de l'activité et des mesures éducative 2010  (Game 2010). Pour l'accomplissement de leurs missions, les services éducatifs de la direction de la protection judiciaire de la jeunesse (ci-après  PJJ ) disposent en effet depuis 1993 d'un traitement dédié. La dernière version du logiciel (Game 2000) a été autorisée par arrêté du 8 décembre 2000 pris après avis de la commission.La commission s'est déjà prononcée sur la modification de ce traitement, notamment en 2009. Mais les modifications envisagées n'ont pas fait l'objet d'un arrêté et la délibération du 29 janvier 2009 susvisée n'a donc jamais été publiée.Elle a diligenté des missions de contrôle en 2011, et notamment afin de déterminer si l'application Game, objet de la délibération du 29 janvier 2009, était mise en œuvre sans publication de l'arrêté correspondant, ou si Game 2000 demeurait utilisé, auquel cas il convenait de vérifier que l'utilisation qui en était faite était conforme à l'arrêté du 8 décembre 2000. Ces contrôles ont permis de constater plusieurs dysfonctionnements liés au traitement Game 2000.La commission considère ainsi que l'acte réglementaire qui lui est soumis pour avis, ainsi que cette nouvelle version de l'application, doivent permettre de prendre en compte ses différentes observations et
recommandations formulées dans ses précédentes délibérations, mais également de résoudre les difficultés constatées lors des contrôles qu'elle a menés.A titre liminaire, la commission regrette que Game 2010 fonctionne déjà en sites pilotes sur les soixante unités éducatives, services éducatifs et directions territoriales de la direction interrégionale (DIR) Grand Sud depuis la mi-juin 2010, sans qu'aucune formalité préalable auprès d'elle n'ait été effectuée préalablement au déploiement de cette expérimentation.Sur les finalités du traitement :S'agissant du champ de mise en œuvre du traitement projeté, la commission prend acte qu'il n'est accessible qu'aux seuls établissements et services du secteur public de la PJJ, le secteur associatif habilité n'étant pas couvert. En outre, la commission relève que Game 2010 ne sera mis en œuvre que dans les unités éducatives, services éducatifs et directions territoriales.
L'article 1er du projet d'arrêté prévoit, en plus de la finalité statistique, trois finalités : le suivi des mineurs et jeunes majeurs confiés au secteur public de la PJJ, une prise en charge facilitée par la mise à disposition du parcours éducatif, et l'amélioration de l'accueil dans les services dédiés à l'insertion sociale et professionnelle des mineurs sujets d'une décision judiciaire civile ou pénale.Concernant la première finalité, le traitement permettra plus précisément d' améliorer la mise en œuvre et le suivi des mesures et sanctions éducatives et des peines prononcées par l'autorité judiciaire à l'endroit des mineurs ou des jeunes majeurs confiés au services et établissement du secteur public de la PJJ en milieu ouvert et dans le cadre du placement, et en détention (établissements pénitentiaires spécialisés pour mineurs, quartiers de mineurs en maisons d'arrêt) , finalité qui existait déjà dans le traitement Game 2000. Ainsi, Game 2010 traite l'ensemble des décisions de justice civiles et pénales applicables aux mineurs et confiées au secteur public, à l'exception des expertises et des alternatives aux poursuites autres que les réparations.La commission relève ainsi que le suivi des mineurs incarcérés n'apparaissait pas expressément dans les finalités assignées au traitement par l'arrêté du 8 décembre 2000. Cependant, la loi n° 2002-1138 du 9 septembre 2002 d'orientation et de programmation pour la justice a posé le principe de l'intervention continue des
éducateurs PJJ en détention. La commission prend donc acte de cette évolution de l'application.