AgentPublic/cnil huggingface dataset:
Dans la mesure où l'article 56 de la loi Informatique et Libertés prévoit une faculté de s'opposer au traitement des données à caractère personnel sans motif, la Commission demande que la note d'information soit clarifiée afin de ne pas laisser supposer qu'un motif d'opposition à l'utilisation des données dans le cadre des recherches devrait être fourni.  
 
 
 
S'agissant des professionnels de santé :
 
L'information leur sera délivrée par une mention figurant dans l'application utilisée pour collecter les données et par une mention visible dans l'interface de l'utilisateur lors de chaque export de données. 
 
Sous réserve de la modification des documents d'information, la Commission considère que ces modalités d'information et de recueil du consentement sont satisfaisantes. 
 
Sur la sécurité des données et la traçabilité des actions :
 
S'agissant des professionnels utilisateurs de l'EDS, la Commission observe que la politique d'authentification repose sur un identifiant individuel et un mot de passe d'une longueur minimum de huit caractères. A cet égard, elle rappelle qu'une politique satisfaisante de mot de passe implique que ceux-ci soient composés de huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux.
S'agissant des administrateurs techniques et fonctionnels de l'AP-HP chargés de la mise en œuvre et du bon fonctionnement de l'EDS, la Commission rappelle que la composition des mots de passe doit respecter les mêmes exigences de complexité que pour les professionnels utilisateurs et de surcroît, présenter une longueur minimum de dix caractères.
 
Des mesures d'audit de la complexité des mots de passe sont mises en œuvre afin d'identifier les mots de passe faibles et de demander leur modification. Pour limiter les possibilités d'accès frauduleux, les utilisateurs sont invités à renouveler leurs mots de passe tous les six mois et un blocage du compte d'un utilisateur est réalisé après un nombre fixé de tentatives. De plus, un outil d'analyse des erreurs d'authentification sera déployé. 
 
La Commission observe que des profils d'habilitation définissent les accès, rôles et informations disponibles aux différents utilisateurs de l'EDS. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité et une revue globale des habilitations est opérée tous les six mois.
La Commission relève qu'en fonction des habilitations délivrées, quatre niveaux d'accès aux données sont proposés : données agrégées, données anonymisées, données pseudonymisées et données directement identifiantes. La Commission prend note que le processus d'anonymisation des données n'est pas encore défini. Elle n'est donc pas en mesure de se prononcer sur la validité de ce dernier et demande à être saisie d'une demande d'autorisation pour la mise en œuvre du traitement de données à caractère personnel ayant pour finalité l'anonymisation.
 
La Commission rappelle qu'il conviendra de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G29 n° 05/2014, et de la transmettre à la Commission. À défaut, si ces trois critères ne pouvaient être réunis, une étude des risques de ré-identification devrait être menée. Cette étude consiste à démontrer que les risques, liés à la publication du jeu de données, n'ont pas d'impact sur la vie privée et les libertés des personnes concernées.
Des procédures d'export sont définies pour extraire des données de l'EDS. Des règles d'encadrement strictes de ces pratiques et des mesures de traçabilité sont mises en œuvre. La Commission relève que les données éligibles pour des procédures d'export sont les données pseudonymisées et directement identifiantes, soit les données les plus identifiantes (directement ou indirectement). Elle invite par conséquent l'AP-HP à la plus grande vigilance sur cet aspect et l'encourage à la mise en place d'outils techniques centralisés permettant de mener des travaux de recherche sans avoir à extraire les données de leur environnement, réduisant ainsi l'intérêt de réaliser des exports. 
 
Les actions des professionnels de santé accédant à l'EDS font l'objet de mesures de traçabilité. Ils sont informés de celles-ci. En particulier, sont tracées les connexions à l'EDS (identifiant, date et heure), la configuration de l'outil et les requêtes réalisées. Une analyse des traces est réalisée mensuellement, permettant un suivi de l'activité.
La Commission observe que l'EDS est accessible uniquement sur le réseau interne de l'AP-HP à partir d'un navigateur web. L'accès est sécurisé au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d'utiliser la version de TLS la plus à jour possible. Il n'y a pas d'accès possible en dehors du réseau interne de l'AP-HP, sauf pour les agents techniques en astreinte qui peuvent bénéficier d'un accès distant à des fin de télémaintenance.
 
Des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau de l'entreprise fait l'objet de mesure de filtrage ayant pour but de restreindre l'émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants sont sécurisés via un VPN chiffré. Enfin, un système de prévention d'intrusion est mis en place et des tests sont régulièrement réalisés.
 
La Commission note que les mises à jour des logiciels sont installées de manière régulière. Des mesures spécifiques sont prévues pour garantir la disponibilité des données et services. Une politique de lutte contre les maliciels est définie et des logiciels antivirus sont installés et régulièrement mis à jour sur tous les matériels prenant part au traitement. Enfin, une politique de maintenance des environnements informatiques est définie, assurant que des mesures appropriées relatives à la sécurité des données sont mises en œuvre.
Une politique de sauvegarde est mise en œuvre. Les sauvegardes sont testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes est sécurisé. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. De plus, lors de la mise au rebut, le matériel remisé est nettoyé de toute donnée à caractère personnel. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
 
L'accès aux locaux hébergeant les équipements prenant part au traitement est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Des mesures de détection et de protection contre les risques d'incendie, de dégâts des eaux et de perte d'alimentation électrique sont proposées. Enfin, un plan de continuité de l'activité est prévu, permettant de reprendre l'activité en réduisant le plus possible l'impact d'un sinistre.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Dans ces conditions, la Commission autorise l'Assistance publique - Hôpitaux de Paris à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité un entrepôt de données, dénommé  EDS .
La  Présidente
La Commission nationale de l'informatique et des  libertés,  Saisie par la Direction des Services Départementaux de   l'Education Nationale de Meurthe-et-Moselle d'une demande  d'autorisation concernant un traitement automatisé de données à caractère  personnel ayant pour finalité la gestion et le suivi de l'absentéisme  scolaire ;
Vu la convention n° 108 du Conseil de l'Europe pour la  protection des personnes à l'égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du  Conseil du 24 octobre 1995 relative à la protection des personnes physiques à  l'égard du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le code de l'éducation, notamment ses articles L. 131-8,    R. 131-6 et R. 131-7 ;
Vu le code pénal, notamment son article R. 624-7 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l'informatique, aux fichiers et aux libertés, notamment les 1°, 3° et 7° de  son article 25-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié  pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à  l'informatique, aux fichiers et aux libertés ;
Vu la circulaire interministérielle n° 2014-159 du 24    décembre 2014 relative à la prévention de l'absentéisme scolaire ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et  Mme Nacima BELKACEM,  commissaire du Gouvernement, en ses observations,
 
Formule les observations suivantes :
La Direction des Services Départementaux de l'Éducation Nationale de la Meurthe-et-Moselle (DSDEN 54) a saisi la Commission d'une demande d'autorisation portant sur un traitement destiné à permettre  la gestion et le suivi de l'absentéisme scolaire  au sein des écoles et établissements d'enseignement du second degré, publics et privés sous contrat, dudit département ainsi qu'au sein de la DSDEN elle-même. Le traitement comporte une application informatique, développée par la DSDEN, ainsi que des rapports confidentiels de personnels psycho-médico-sociaux de l'éducation nationale. La DSDEN 54, qui a déterminé les finalités et moyens de mise en œuvre du traitement, est le responsable de traitement. 
 
Le traitement étant susceptible de contenir des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 susvisée, des données relatives aux infractions dont elles peuvent être l'auteur, ainsi que des données comportant des appréciations sur les difficultés sociales des personnes, il doit, conformément aux dispositions des 1°, 3° et 7° de l'article 25-I de ladite loi du 6 janvier 1978, être autorisé par la Commission. 
Sur les finalités du traitement :
La DSDEN 54 souhaite mettre en œuvre, au sein de son ressort de compétence, un traitement de données à caractère personnel destiné au suivi de l'absentéisme scolaire composé d'une application permettant d'assurer ce suivi de façon dématérialisée et de rapports confidentiels établis par des personnels psycho-médico-sociaux non enregistrés dans l'application.
La lutte contre l'absentéisme scolaire est régie par les articles susvisés du code de l'éducation. Dès lors qu'un élève a manqué la classe plus de quatre demi-journées dans le mois sans motif légitime, au sens de l'article L. 131-8 du code de l'éducation, ou excuses valables, au sens de l'article R. 131-7 dudit code, le directeur d'école ou le chef d'établissement doit réunir les membres concernés de l'équipe éducative, dans le premier degré, ou de la commission éducative, dans le second degré, afin de proposer les mesures qui peuvent être prises pour remédier à cet absentéisme. Parallèlement à ces actions, le directeur de l'école ou le chef d'établissement doit saisir le Directeur Académique des Services de l'Education Nationale (DA-SEN) du dossier de l'élève absentéiste afin que ce dernier adresse un avertissement à la famille de l'élève. Cet avertissement peut s'accompagner d'une convocation de la famille à un entretien avec le DA-SEN au cours duquel sont abordés les enjeux de l'assiduité scolaire et les difficultés qui peuvent être rencontrées par l'élève. Le DA-SEN peut également proposer des dispositifs d'accompagnement. Enfin, en ultime recours, dans l'hypothèse où l'absentéisme se poursuivrait malgré toutes les mesures d'accompagnement proposées, le procureur de la République peut être saisi des faits susceptibles d'être constitutifs de l'infraction prévue à l'article R. 624-7 du code pénal.
Ces dispositions prévoient ainsi une action coordonnée des personnels de l'école ou de l'établissement scolaire dans lequel l'élève absentéiste est inscrit et du DA-SEN, ainsi qu'une circulation des informations relatives au suivi d'un élève et de sa famille.
 
Dans ce contexte, l'application créée par la DSDEN 54 a pour objectif d'inciter les directeurs et chefs d'établissement à mettre en œuvre un véritable accompagnement des élèves absentéistes et de leur famille en harmonisant et simplifiant les procédures de suivi de ces personnes. À cet égard, l'application permet notamment de générer des courriers types (courrier d'avertissement, courrier de convocation à un entretien) et des documents de contractualisation avec la famille, destinés à récapituler les mesures d'accompagnement mises en œuvre et à formaliser l'adhésion de la famille à celles-ci. En outre, elle doit également permettre à la DSDEN 54 de disposer d'une vue d'ensemble sur les mesures d'accompagnement proposées aux élèves absentéistes, afin de mieux piloter la prise en charge du défaut d'assiduité dans son ressort de compétence.
Cette application doit ainsi permettre un meilleur suivi en temps réel des actions et mesures d'accompagnement menées tant au niveau de l'établissement dans lequel est scolarisé l'élève qu'au niveau académique. Les rapports confidentiels, non enregistrés dans l'application, sont quant à eux destinés à apporter une connaissance précise de la situation de l'élève et des difficultés qu'il rencontre, celles-ci pouvant être une des causes de son absentéisme.
 
Le traitement poursuit également une finalité statistique, qui permet au responsable de traitement d'apprécier l'efficacité des mesures d'accompagnement mises en place pour lutter contre l'absentéisme scolaire et de mieux orienter les actions à mener en la matière.
 
La Commission considère dès lors que les finalités du traitement projeté par la DSDEN 54, qui permettent la mise en œuvre effective de la procédure de lutte contre l'absentéisme prévue par le code de l'éducation, sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données traitées concernent les élèves ayant manqué la classe sans motif légitime ni excuses valables, au moins quatre demi-journées complètes dans une période d'un mois, et faisant donc l'objet d'un suivi dans le cadre de la lutte contre l'absentéisme scolaire. Des données concernant leurs représentants légaux ainsi que leurs frères et sœurs sont également susceptibles d'être collectées.
Les données personnelles concernant un élève absentéiste sont relatives à : 
 
-       son identité,
-       son adresse, 
-       sa date et son lieu de naissance, 
-       ses retards scolaires,
-       les causes de ses absences,
-       des renseignements sur son comportement pendant le temps scolaire et hors temps scolaire (hors temps de classe, mais lors de sa présence dans l'école ou l'établissement),
-       la saisine du procureur afin de lui signaler les faits susceptibles d'être constitutifs de l'infraction prévue à l'article R. 624-7 du code pénal. 
 
En ce qui concerne les  causes des absences , peuvent être enregistrées les excuses avancées par les représentants légaux mais qui n'ont pas été admises au titre des excuses valables, au sens du code de l'éducation, ainsi que les hypothèses sur les causes des absences formulées par les personnels chargés de la mise en œuvre du traitement. 
 
Au titre de la catégorie  comportement pendant et hors temps scolaire , sont collectées des données et informations relatives à l'attitude de l'élève, telles que des faits de violence physique ou verbale, des transgressions du règlement intérieur de l'école, ou encore son attitude face aux adultes.
La Commission relève que les dispositions relatives à la lutte contre l'absentéisme scolaire impliquent de prendre en considération les différents facteurs d'ordre scolaire, médical, social ou familial à l'origine de celui-ci et de mettre en œuvre des mesures éducatives et pédagogiques adaptées à la situation personnelle de l'élève. Elle prend acte que ces données et informations relatives aux causes des absences et au comportement pendant et hors temps scolaire sont destinées à répondre à cet objectif.
 
A cet égard, elle constate que le responsable de traitement n'a pas sollicité l'autorisation de la Commission pour que soient directement enregistrées, dans l'application, des données sensibles. La DSDEN a indiqué que seuls les professionnels psycho-médico-sociaux sont susceptibles de traiter de telles données, dans le cadre des rapports confidentiels qu'ils établissent.
Dès lors, la Commission rappelle que, si l'analyse des causes des absences et du comportement de l'élève repose nécessairement sur des critères subjectifs, le responsable de traitement doit veiller à ce que ne soient pas enregistrées, dans l'application, des mentions inappropriées sur les personnes concernées ou attentatoires à leur vie privée et des données sensibles au sens de l'article 8 de la loi  Informatique et Libertés , en particulier pour les zones de commentaires libres qui peuvent être remplies par les personnels chargés de la mise en œuvre du traitement, tant au niveau local (école/établissement) qu'au niveau départemental. 
 
À cet égard, elle rappelle que ces champs ne doivent être renseignés que lorsque cela est strictement nécessaire et que les agents susceptibles de remplir ces zones doivent recevoir l'information suivante :  seules doivent être saisies les informations pertinentes au regard du contexte. Elles ne doivent pas faire apparaître, directement ou indirectement, l'appartenance ou la non-appartenance, vraie ou supposée, à une ethnie, une nation, une prétendue race ou une religion déterminée, les opinions politiques ou philosophiques, les appartenances syndicales ou les mœurs  de la personne ou être relatives à la santé ou à la vie
sexuelle de celle-ci. Les personnes concernées ont un accès à ces champs libres .
Les informations relatives à la saisine du Procureur et au comportement de l'élève peuvent en outre être constitutives de données relatives aux infractions, au sens des articles 9 et 25-I-3° de la loi du 6 janvier 1978 modifiée. La Commission relève que la DSDEN constitue une personne morale de droit public gérant un service public et est dès lors habilitée, conformément à l'article 9-1° de la loi précitée, à mettre en œuvre un traitement portant sur de telles données. En ce qui concerne les données d'infraction pouvant résulter de la description du comportement de l'élève pendant et hors temps scolaire, la Commission considère qu'elles sont justifiées, d'une part, par la nécessité de prendre en compte l'ensemble des facteurs pouvant être à l'origine de l'absentéisme et, d'autre part, par le besoin de proposer des mesures d'accompagnement adaptées au comportement de l'élève. En ce qui concerne les données relatives à l'infraction de manquement à l'obligation d'assiduité scolaire dont le procureur de la République peut être saisi, l'article R. 131-7 du code de l'éducation prévoit la possibilité d'une telle saisine dans le cadre du dispositif de lutte contre l'absentéisme.
En outre, différents intervenants scolaires - médecins ou infirmiers scolaires, assistants sociaux scolaires, conseillers d'orientation-psychologues (COP) - peuvent être amenés à rencontrer l'élève et à établir des rapports sur sa situation sociale, sur son état psychologique ou de santé. Ces rapports peuvent dès lors contenir des appréciations sur les difficultés sociales des personnes, des données relatives à leur santé ou d'autres données sensibles, au sens de l'article 8 de la loi  Informatique et Libertés . Toutefois, ils sont confidentiels, ne sont transmis qu'aux professionnels psycho-médico-sociaux de la DSDEN et ont pour objectif d'apporter une connaissance précise de la situation de l'élève et des difficultés qu'il rencontre, celles-ci pouvant être une des causes de l'absentéisme scolaire. Ces personnels participant à des réunions de commission dédiées à la lutte contre l'absentéisme scolaire, ils peuvent ainsi apporter leur éclairage sur la situation de l'élève et leur avis sur les mesures adéquates à proposer. Le traitement, par ces seuls personnels, de données sensibles relatives aux élèves ou à leur famille et de données comportant des appréciations sur les difficultés sociales des personnes est dès lors justifié par l'intérêt public de lutter contre l'absentéisme scolaire et la nécessité de proposer des mesures d'accompagnement adéquates.
La Commission relève que ces données et informations ne sont pas enregistrées dans l'application développée par la DSDEN 54. Ainsi, la transmission de ces rapports se fait soit au format papier, sous pli confidentiel, soit par voie électronique, sur les messageries professionnelles sécurisées des agents concernés. La Commission rappelle que seuls ces personnels, individuellement désignés et spécialement habilités, doivent avoir connaissance des données sensibles et des appréciations sur les difficultés sociales des familles, à l'exclusion des autres personnels chargés de la mise en œuvre du traitement.
 
Le traitement de la DSDEN 54 contient également des informations relatives au suivi de l'élève, aux mesures d'accompagnement mises en œuvre et aux éventuelles sanctions. Il s'agit de mentions dans l'application relatives :
 
-       à la tenue d'entretiens entre le chef d'établissement ou le CPE et l'élève ou ses parents (mention oui/non),
-       à la date de ces entretiens,
-       aux propositions faites pour améliorer l'assiduité,
-       à l'existence et la date de rapports du COP, de l'assistant social scolaire ou du médecin/infirmier scolaire,
-       à la nature des mesures pédagogiques, éducatives ou de soins mises en place (sans mention relative à la nature d'une pathologie ou d'un handicap),
-       à la date de l'avertissement écrit envoyé aux responsables légaux,
-       à la nature et la date de la procédure disciplinaire,
-       à l'existence d'une demande de suspension ou de suppression des bourses, en application des articles D. 531-12 et R. 531-31 du code de l'éducation.
 
La Commission rappelle que les informations relatives aux rapports des COP, assistants sociaux ou personnels de santé scolaires, enregistrées dans l'application, ne doivent pas contenir d'éléments relatifs au contenu de ces rapports qui sont confidentiels.
 
Les données concernant les représentants légaux des élèves absentéistes et leur fratrie qui peuvent être enregistrées dans le traitement sont relatives à leur(s) : 
 
-       identité, 
-       coordonnées,
-       activité professionnelle pour les représentants légaux,
-       établissement scolaire pour les frères et sœurs, 
-       positionnement face aux absences de l'enfant.
 
Ces données sont destinées à connaître l'entourage proche de l'élève et à le prendre en compte dans les mesures d'accompagnement proposées. La Commission rappelle qu'elles ne doivent toutefois pas être systématiquement renseignées dans l'application et que leur traitement doit être limité aux situations qui le nécessitent au regard du bon suivi de l'élève absentéiste.