AgentPublic/cnil huggingface dataset:
Le projet d'arrêté prévoit en outre des accédants en charge des analyses statistiques : personnels du service statistique ministériel du ministère de l'enseignement supérieur et des services statistiques des rectorats et des vices-rectorats. La commission rappelle que de telles finalités ne justifient pas un accès à la base active, mais uniquement aux données pseudonymisées.
Aux termes de l'article 3 du projet d'arrêté, figurent parmi les destinataires, les sociétés de paiement en ligne. Parcoursup offrant une possibilité de paiement en ligne des éventuels frais de dossier de candidature et d'inscription, la transmission de données à ces sociétés est justifiée.
S'agissant des personnes habilitées des ministères exerçant une tutelle sur les établissements d'enseignement supérieur dispensant une formation de premier cycle de l'enseignement supérieur, le ministère a indiqué que l'accès de ces personnes aux données des candidats était justifié par le fait qu'elles doivent être en mesure de suivre ce que font les établissements sous leur tutelle. En l'absence d'éléments précis sur la nature et le degré de ce suivi, la commission estime que le seul fait d'exercer une tutelle sur un établissement d'enseignement supérieur auprès duquel un candidat sollicite une inscription n'est pas de nature à justifier un accès aux données directement identifiantes des candidats. Elle demande dès lors à ce que ces personnes soient destinataires des seules données pseudonymisées.
Sur l'information et les droits des personnes :
En ce qui concerne l'information des personnes concernées prévue à l'article 32 de la loi du 6 janvier 1978 modifiée, le ministère a précisé qu'elle figure dans la charte du candidat, dont celui-ci doit attester avoir pris connaissance avant la saisie de ses vœux.
S'agissant du droit d'opposition, l'article 5 du projet d'arrêté l'exclut. Cette exclusion est conforme à l'article 38 de la loi du 6 janvier 1978 modifiée, tel qu'interprété par le Conseil d'Etat, le traitement étant fondé sur l'article 27 de ladite loi. En outre, cette exclusion se comprend dans la mesure où la préinscription en ligne est obligatoire, conformément à l' article L. 612-3 du code de l'éducation qui prévoit que les candidats doivent solliciter une préinscription lui permettant de bénéficier du dispositif d'information et d'orientation.
Les droits des articles 39 et suivants de la loi Informatique et Libertés s'exercent auprès du ministère. S'agissant du droit d'accès, la commission rappelle que, dans la mesure où le présent traitement recourt à un algorithme d'affectation, ce droit implique, conformément à l'article 39-I (5°) de ladite loi, de fournir tous les éléments permettant de comprendre la logique qui sous-tend cet algorithme. Il s'agit notamment pour le ministère d'être à même de fournir l'explication de la situation d'un candidat, en détaillant son évolution au cours du processus d'affectation.
La commission rappelle que l' article L. 311-3-1 du code des relations entre le public et l'administration (CRPA) organise un droit de communication proche du droit d'accès de l'article 39-I (5°) précité en ce qu'il prévoit que les administrations prenant une décision individuelle sur le fondement d'un traitement algorithmique doivent en informer les personnes concernées et leur communiquer, sur demande, différents éléments relatifs aux règles définissant ledit traitement et aux principales caractéristiques de sa mise en œuvre. Or l' article L. 612-3 du code de l'éducation, dans sa rédaction en vigueur, introduit une limitation au droit de communication précité.
La commission rappelle que cet aménagement des droits issus de l'article L. 311-3-1 du CRPA est sans incidence sur le droit d'accès prévu par l'article 39 de la loi Informatique et Libertés .
Elle rappelle en outre que les établissements d'enseignement supérieur qui recourraient à un traitement algorithmique pour examiner les candidatures qui leur sont soumises devront également fournir l'ensemble des éléments permettant de comprendre la logique qui sous-tend cet algorithme.
Sur la sécurité des données et la traçabilité des actions :
En premier lieu, Parcoursup est un téléservice qui repose sur un site web, dont la commission relève qu'il fait l'objet d'un processus en cours d'homologation pour vérifier sa conformité au référentiel général de sécurité (RGS), conformément aux dispositions de l'article 5 du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, le cas échéant après validation hiérarchique, qu'elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu'une révision de l'ensemble des habilitations attribuées soit opérée régulièrement. Une politique de mots de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe est mise en œuvre.
Le traitement Parcoursup repose sur une architecture client-serveur et de nombreux échanges de données ont lieu, par exemple pour la saisie par les candidats de leur dossier ou pour l'alimentation automatisée d'informations scolaires grâce à la mise en relation avec d'autres traitements automatisées du ministère. Ces échanges sont réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et du destinataire. Dans certains cas, des remontées d'informations peuvent être effectuées par courrier électronique. La commission recommande que le contenu et les pièces jointes des messages soient chiffrés en utilisant un algorithme à l'état de l'art.
Les accès au site Parcoursup se font via le protocole HTTPS (à l'exception des pages relatives à l'information auxquelles il peut être accédé via le protocole HTTP), qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la commission recommande d'utiliser la version de TLS la plus à jour possible.
Des mesures sont prévues pour assurer le cloisonnement du traitement. Les transferts de données sont sécurisés par l'utilisation de réseaux isolés et compartimentés. Une journalisation des opérations de consultation, création et modification des données est mise en place. L'accès aux journaux est restreint aux seules personnes ayant le besoin d'en connaître et les journaux font l'objet d'une analyse régulière. La durée de conservation des journaux est d'une année, ce qui, compte tenu de l'impact que de telles actions peuvent avoir sur les personnes concernées, n'est pas excessif.
S'agissant de l'interfaçage avec des prestataires de paiement en ligne, les services de paiement proposés sont sécurisés et conformes à l'état de l'art et à la réglementation applicable. A cet égard, la commission rappelle que seuls les dispositifs conformes à des référentiels reconnus en matière de sécurisation de données relatives à la carte de paiement au niveau européen ou international (par exemple le standard PCI-DSS) doivent être utilisés.
La commission observe que des mécanismes de contrôle sont mis en œuvre afin de s'assurer de l'intégrité des données traitées. Le réseau fait l'objet de mesures de filtrage ayant pour but de restreindre l'émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants sont sécurisés via un VPN chiffré et une authentification forte des utilisateurs.
Les mises à jour des logiciels sont installées de manière régulière. Des mesures spécifiques sont prévues pour garantir la disponibilité des données et services. Un logiciel antivirus est installé et régulièrement mis à jour sur tous les postes.
Des sauvegardes quotidiennes sont réalisées. Elles sont testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes est sécurisé. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La commission relève que l'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Des mesures de détection et de protection contre les risques d'incendie et de perte d'alimentation électrique sont prévues. La zone d'implantation n'est pas sujette à des sinistres environnementaux et ne contient pas de produits dangereux.
Concernant les mesures d'ordre organisationnel, la mise au point des logiciels s'effectue sur des données fictives et des tests sont systématiquement effectués avant mise en production. Les procédures de gestion des incidents et de gestion des violations de données sont toutes deux documentées. La continuité d'activité est testée régulièrement.
Enfin, le ministère a indiqué que, dans la perspective du règlement européen sur la protection des données, une analyse d'impact sur la vie privée était en cours de réalisation, démarche que la commission accueille favorablement. Elle invite le ministère à la lui transmettre une fois celle-ci finalisée.
La commission considère que les mesures de sécurité décrites sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental des Alpes-Maritimes d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité l’évaluation, l’accueil, la gestion et le suivi des mineurs non accompagnés (MNA) confiés à l’aide sociale à l’enfance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale, notamment ses articles L. 221-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25 ;
Vu la loi n° 2016-297 du 14 mars 2016 relative à la protection de l’enfant ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-840 du 24 juin 2016 pris en application de l’article L. 221-2-2 du code de l’action sociale et des familles et relatif à l’accueil et aux conditions d’évaluation de la situation des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Vu l’arrêté du 6 septembre 2013 portant création d’un traitement automatisé de données à caractère personnel dénommé administration des mineurs isolés étrangers ;
Vu l’arrêté du 28 juin 2016 pris en application du décret n° 2016-840 du 24 juin 2016 relatif aux modalités de calcul de la clé de répartition des orientations des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Vu l’arrêté du 17 novembre 2016 pris en application du décret n° 2016-840 du 24 juin 2016 relatif aux modalités de l’évaluation des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Vu la circulaire interministérielle du 25 janvier 2016 relative à la mobilisation des services de l’Etat auprès des conseils départementaux concernant les mineurs privés temporairement ou définitivement de la protection de leur famille et les personnes se présentant comme tels ;
Vu la délibération n° 2016-096 du 14 avril 2016 portant autorisation unique de traitements de données à caractère personnel mis en œuvre dans le cadre de la prévention et de la protection de l’enfance (autorisation unique n° 49) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 14 avril 2016, une délibération portant autorisation unique de traitements de données à caractère personnel mis en œuvre dans le cadre de la prévention et de la protection de l’enfance (AU-49).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du périmètre de la demande, des données collectées, de la durée de conservation et des destinataires.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, des alinéas 2, 3 et 5 de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la finalité
Les missions du Conseil départemental en matière d’aide sociale à l’enfance et de protection des mineurs en danger sont définies aux articles L. 221-1 et suivants du code de l’action sociale et des familles.
Elles comprennent la prise en charge des mineurs non accompagnés, conformément aux dispositions du décret n° 2016-840 du 24 juin 2016 pris en application de l’article L. 221-2-2 du code de l’action sociale et des familles relatif à l’accueil et aux conditions d’évaluation de la situation des mineurs privés temporairement ou définitivement de la protection de leurs familles.
Conformément aux dispositions de l’article R. 221-11 du code de l’action sociale et des familles, le président du conseil départemental procède aux investigations nécessaires en vue d’évaluer la situation de la personne se déclarant mineure et privée temporairement ou définitivement de la protection de sa famille, au regard notamment de ses déclarations, son identité, son âge, sa famille d’origine, sa nationalité et son état d’isolement.
Pour mettre en œuvre les missions qui lui sont confiées dans ce cadre, le Conseil départemental des Alpes-Maritimes souhaite créer un traitement de données à caractère personnel permettant, d’une part, l’évaluation de la situation de la minorité de la personne concernée et, d’autre part, la prise en charge effective par les services de l’aide sociale à l’enfance des mineurs non accompagnés et des jeunes majeurs de moins de vingt-et-un ans, conformément à la circulaire interministérielle du 25 janvier 2016 précitée.
La Commission estime que ces finalités sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
La Commission rappelle que seules les données strictement nécessaires à l’évaluation de la situation de la minorité, d’une part, et à l’accompagnement et au suivi social de la personne concernée, d’autre part, ont vocation à être recueillies.
Dans le cadre de l’évaluation de la situation de la minorité de la personne concernée, le Conseil départemental des Alpes-Maritimes se limite à la collecte des informations prévues par l’arrêté du 17 novembre 2016 pris en application du décret n° 2016-840 et relatif aux modalités de l’évaluation des mineurs privés temporairement ou définitivement de la protection de leur famille et, qui fixe une liste non exhaustive des informations qui peuvent être collectées lors de l’évaluation.
Dans le cadre de la prise en charge effective des mineurs non accompagnés et des jeunes majeurs de moins de vingt-et-un ans, de l’accompagnement social et professionnel ainsi que du suivi, par les services de l’aide sociale à l’enfance du conseil départemental, peuvent également être collectées et traitées les informations relatives :
à l’identification des bénéficiaires de l’accompagnement et du suivi social et, le cas échéant, de leurs représentants légaux : nom, prénoms, sexe, adresse, courriel, numéro de téléphone, date et lieu de naissance, photographie, numéro d’identification de rattachement à un organisme (numéro d’adhérent ou allocataire) ;
 
à la vie personnelle : situation et composition familiale du foyer et, le cas échéant, l’identification d’enfants pris en charge dans le cadre de la protection de l’enfance, les centres d’intérêts, la langue parlée, dans la mesure où cette information est indispensable pour mentionner le besoin d’un interprète ;
à la nature de la mesure de la protection juridique et, le cas échéant, les coordonnées du mandataire ;
au parcours professionnel et de formation dans le cadre de l’aide à l’insertion professionnelle (scolarité, situation au regard de l’emploi, de la formation et de la qualification) ;
à l’admission d’un mineur dans un établissement ou en famille d’accueil ainsi que les coordonnées de l’accueillant ;
aux conditions de vie matérielles : situation financière (ressources, charges, crédits, dettes), prestations et avantages sociaux perçus (nature, montant, quotient familial, numéro allocataire), situation face au logement et à l’hébergement (type et caractéristiques du logement ou modalités d’hébergement mobile, hébergement d’urgence, hébergement d’insertion), moyens de mobilité ;
à la couverture sociale : organismes de rattachement et régimes d’affiliation, droits ouverts ;
aux coordonnées bancaires, dans la mesure où cette information est nécessaire au versement d’une prestation ;
 
aux mesures d’accompagnement du jeune et de la famille : le type, les motifs et objectifs de la mesure, le parcours, les actions d’insertion prévues, les d’entretiens ;
dans le cadre de l’évaluation sociale des personnes concernées, aux conditions d’éducation et contexte de vie de l’enfant ou du majeur de moins de 21 ans, à l’évaluation des capacités parentales, aux difficultés personnelles qui peuvent concourir à mettre le mineur ou jeune majeur en difficulté ou en danger, aux événements familiaux impactant la vie du mineur ou du jeune majeur et permettant de comprendre sa situation, à la synthèse des comptes-rendus des entretiens avec les personnes concernées, s’il y a lieu, avec les autres intervenants dans l’accompagnement ;
 
à la grossesse : suivi PMI (protection maternelle et infantile) sous la forme oui/non , date présumée d’accouchement ;
 
à l’existence d’une situation de danger ou de risque ou de danger (information préoccupante et signalement) ;
 
aux infractions, condamnations et mesures de sûreté, dans la mesure où leur enregistrement est strictement nécessaire au suivi de la mesure prononcée à l’égard du mineur ou du jeune. Cette catégorie de données ne peut être collectée et traitée que par des personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales ;
 
à l’identification des personnes concourant à l’accompagnement et au suivi social : nom, prénom, qualité, organisme d’appartenance, numéro de téléphone, adresse professionnelle, courriel, téléphone.
Par ailleurs, la Commission relève que tant au stade de l’évaluation que dans le cadre de la prise en charge, de l’accompagnement et du suivi du mineur non accompagné, des données sensibles au sens de l’article 8-I de la loi Informatique et Libertés peuvent être collectées, et plus particulièrement des informations relatives à la santé à des fins d’administration de soins, à la vie sexuelle, aux opinions religieuses, aux origines raciales ou ethniques ainsi qu’aux opinions politiques.
Aussi, la Commission constate que lors de leur arrivée au sein du département, les mineurs non accompagnés ne disposent pas d’un représentant légal, et les délais pour obtenir la désignation d’un administrateur ad hoc ou d’un tuteur sont longs. Dès lors, elle relève qu’au regard de la période d’absence de tutelle plus ou moins longue selon les cas, le consentement du représentant légal ne peut pas être recueilli. Par conséquent, la Commission considère qu’il y a lieu de faire application du IV de l’article 8 de la loi Informatique et Libertés qui prévoit que ne sont pas soumis à l’interdiction prévue au I les traitements, automatisés ou non, justifiés par l’intérêt public.
Compte-tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application du 1°, 3° et 7° de l’article 25 de la loi susvisée, qui soumettent à autorisation les traitements automatisés de données qui sont justifiés par l’intérêt public et qui comportent des données relatives aux infractions, condamnations ou mesures de sûreté, ainsi que des appréciations sur les difficultés sociales des personnes.
La Commission estime que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
La Commission rappelle qu’il revient au responsable de traitement, avant chaque transmission des données, d’opérer un tri parmi ces dernières pour s’assurer que le destinataire accède aux seules données strictement nécessaires et proportionnées au regard de la justification de la transmission.
Dans le cadre de l’évaluation de la situation de minorité et d’isolement, de la prise en charge, de l’accompagnement et du suivi des personnes, peuvent être destinataires des informations contenues dans le traitement, dans les limites de leurs attributions respectives et chacun pour ce qui le concerne :
le personnel au sein de chaque établissement, service ou organisme concourant à la protection de l’enfance et des jeunes majeurs, dans les conditions prévues par l’article L. 226-2-2 du code de l’action sociale et des familles, et soumis au secret professionnel ;
 
l’autorité judiciaire (le procureur de la République, le juge des enfants, le juge des tutelles) ;
les structures d’accueil, et plus particulièrement le foyer départemental de l’enfance, les organismes conventionnés avec les conseils départementaux (les lieux de vie et d’accueil, les maisons d’enfants à caractère social) ;
la cellule d’Etat @MNA ;
les conseils départementaux ;
la préfecture de police ;
 
les professionnels et tout membre du personnel de l’établissement, du service ou organisme externe participant à la prise en charge et à l’accompagnement de la personne et toute autre personne en relation, de par ses activités, avec ces établissements ou organismes externes, dans la limite de leurs attributions respectives et des règles encadrant le partage et l’échange d’informations ;
les agents du département participant aux missions de protection de l’enfance et de l’action sociale de terrain à l’exclusion des informations relatives à la nature des difficultés rencontrées et à l’évaluation du travail social qui sont réservées aux seuls travailleurs sociaux en charge du dossier ;