AgentPublic/cnil huggingface dataset:
La commission a été saisie par le ministère de l'enseignement supérieur, de la recherche et de l'innovation d'une demande d'avis portant sur un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé Parcoursup.
Dans la mesure où le traitement automatisé de données à caractère personnel a pour objet de formuler une demande de préinscription dans une formation de l'enseignement supérieur, il permet aux usagers du service public de l'éducation d'effectuer une démarche administrative et constitue un téléservice de l'administration électronique, au sens de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, qui doit dès lors être autorisé par arrêté ministériel, pris après avis motivé et publié de la commission.
A titre liminaire, la commission rappelle qu'elle avait été saisie, fin décembre 2017, d'une demande d'avis relative à un projet d'arrêté portant création d'un traitement temporaire éponyme destiné au seul recueil des vœux des candidats à une formation dans l'enseignement supérieur puisqu'il n'existait alors plus de téléservice permettant la préinscription dans l'enseignement supérieur et que la loi orientation et réussite des étudiants susvisée était en cours d'examen devant le Parlement.
Dans sa délibération n° 2018-011 du 18 janvier 2018 susvisée, la commission a considéré qu'afin de garantir la continuité du service public de l'enseignement supérieur, il était justifié de procéder à une collecte des vœux et des données qui pourraient ultérieurement être nécessaires à l'affectation des candidats, sous réserve que cette collecte revête un caractère temporaire, soit assortie de garanties et que la commission soit saisie du dispositif pérenne. La présente saisine concerne l'ensemble du dispositif Parcoursup permettant le recueil et le traitement des vœux des candidats à une formation du premier cycle de l'enseignement supérieur.
Sur les finalités :
L'article 1er du projet d'arrêté prévoit que le traitement dénommé Parcoursup a pour finalité le recueil et le traitement des vœux dans le cadre de la gestion de la procédure nationale de préinscription dans une formation du premier cycle de l'enseignement supérieur . En effet, l' article L. 612-3 du code de l'éducation dispose que l'inscription dans une formation du premier cycle dispensée par un établissement public est précédée d'une procédure nationale de préinscription .
Il ressort en outre des dispositions de l'article L. 612-3 dudit code que le traitement des vœux dans Parcoursup consiste en la gestion des avis formulés par les établissements d'enseignement supérieur sur les candidatures reçues et des réponses apportées par les candidats à ces propositions.
Le projet d'arrêté prévoit de plus que le traitement a une finalité statistique, ce qui n'appelle pas d'observation particulière de la commission.
Au regard de ces éléments, la commission considère que la finalité du traitement, qui est conforme aux dispositions du code de l'éducation relatives à la procédure nationale de préinscription, est déterminée, explicite et légitime, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur le fonctionnement du dispositif :
En pratique, le dispositif fonctionne en trois étapes : le recueil des vœux, leur classement et l'affectation des candidats dans les formations d'enseignement supérieur.
Dans un premier temps, les candidats se connectent à la plateforme Parcoursup afin de formuler leurs vœux. Les données et informations relatives aux candidats sont, d'une part, alimentées par des mises en relation avec d'autres traitements et, d'autre part, renseignées par les candidats eux-mêmes et les personnels de l'établissement du second degré d'enseignement dans lequel ils sont scolarisés.
L' article L. 612-3 du code de l'éducation prévoit que les établissements d'enseignement supérieur doivent définir les caractéristiques de chaque formation. Il s'agit des attendus. La plateforme Parcoursup permet ainsi aux candidats de prendre connaissance desdites caractéristiques afin d'éclairer la formulation de leurs vœux.
Dans un deuxième temps, les établissements d'enseignement supérieur accèdent aux données et informations relatives aux candidats formulant une demande dans l'une des formations qu'ils dispensent. Au regard de ces informations et des attendus qu'ils ont préalablement établis, les établissements d'enseignement supérieur renseignent sur la plateforme un avis sur chacune des candidatures reçues. Pour les formations non sélectives dont la capacité d'accueil est inférieure à la demande, lesdits établissements classent les candidatures en indiquant si elles bénéficient d'un avis favorable, d'un avis favorable sous condition de suivre un dispositif d'accompagnement mis en place par l'établissement ou d'une mise sur liste d'attente. S'agissant des filières sélectives, au sens des dispositions de l'article L. 612-3-V du code de l'éducation, les réponses peuvent être avis favorable , en attente , ou refus .
Dans un troisième temps, la plateforme Parcoursup permet, grâce à un algorithme, la gestion des réponses aux candidats selon les avis formulés par les établissements d'enseignement supérieur. L'ordre de classement peut être modifié dans le cas où le recteur d'académie, conformément aux dispositions de l'article L. 612-3 précité, introduit des quotas (pourcentage minimal de candidats boursiers, pourcentage maximal de candidats extérieurs à l'académie) ainsi que par la prise en compte du dispositif meilleurs bacheliers , prévu à l'article L. 612-3-1 du même code.
La plateforme Parcoursup permet également aux établissements d'enseignement supérieur qui le souhaitent d'offrir aux candidats une possibilité de paiement en ligne des éventuels frais de dossier de candidature et des frais d'inscription. Pour ce faire, lesdits établissements peuvent recourir à différents prestataires de paiement en ligne tels que Paybox et PayPal. Le candidat connecté à son espace personnel sur Parcoursup est ainsi redirigé vers le site de la société de paiement en ligne sur lequel il effectue son paiement. Parcoursup reçoit une confirmation de paiement destinée au candidat, mais ne dispose d'aucune information sur ses coordonnées bancaires.
Par ailleurs, le ministère a indiqué qu'une application pour smartphone était également disponible pour les candidats qui le souhaiteraient. Celle-ci est destinée à faciliter l'accès à l'information en offrant notamment des alertes et une rubrique contact pour obtenir une assistance. En revanche, cette application ne permet pas au candidat de s'inscrire et de formuler ses vœux.
Sur la conformité à l'article 10 de la loi Informatique et libertés :
Parcoursup est un traitement automatisé de données à caractère personnel utilisant un algorithme pour déterminer l'affectation individuelle dans une formation en premier cycle de l'enseignement supérieur.
Dans sa rédaction actuelle, l'article 10 de la loi du 6 janvier 1978 modifiée précise qu'aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité .
La conformité d'un traitement à cet article s'apprécie à partir d'un faisceau d'indices et implique le respect de certaines garanties telles que la transparence sur le processus de décision algorithmique ou le droit à une intervention humaine afin notamment de pouvoir le cas échéant exprimer son point de vue, d'obtenir une explication quant à la décision prise et de la contester. La commission rappelle que ces garanties ne doivent pas nécessairement être toutes mises en œuvre pour chaque traitement algorithmique. Il convient en effet de tenir compte de la nature de l'algorithme, de la portée de chaque décision et du dispositif dans son ensemble.
S'agissant des garanties apportées par Parcoursup au regard des dispositions de l'article 10 de la loi Informatique et libertés , la commission relève divers éléments relatifs à la transparence et à l'intervention humaine.
En premier lieu, en ce qui concerne la transparence.
Le dispositif légal plus global dans lequel s'inscrit Parcoursup requiert, en amont, avant toute prise de décision, la publication des attendus pour chaque formation, permettant dès lors aux candidats de disposer d'éléments sur les critères qui seront pris en considération pour classer leurs candidatures. Ce dispositif prévoit en outre la communication de l'algorithme du traitement et, de manière synthétique, du cahier des charges, qui définit, à l'intention du maître d'œuvre de l'algorithme, l'ensemble des règles devant être prises en compte. Ces dispositions permettent de fournir à tout citoyen une information sur le traitement algorithmique plus accessible et intelligible que le seul code source.
Si une information préalable générale, tant sur les attendus que sur le traitement algorithmique est ainsi mise en place, ce qui constitue une avancée au regard du dispositif antérieur de préinscription, la commission regrette que le ministère n'ait pas prévu, au sein de la plateforme Parcoursup, une information préalable spécifique des personnes concernées sur le fait qu'un algorithme d'affectation est utilisé. Elle estime qu'une telle information serait de nature à renforcer les garanties mises en œuvre dans le cadre de l'utilisation d'un traitement algorithmique fondant une décision individuelle.
Pendant le processus de traitement des vœux, les candidats reçoivent les réponses à leurs vœux et, selon les choix qu'ils opèrent, libèrent des places pour d'autres candidats qui étaient sur liste d'attente. A cet égard, le ministère a indiqué qu'il est prévu de porter à la connaissance des candidats leur position sur la liste d'attente, ce dont la commission prend acte. Une telle information concourt également à la transparence nécessaire.
En aval du processus d'affectation des candidats, un comité éthique et scientifique est chargé de veiller au respect des principes juridiques et éthiques qui fondent tant la plateforme Parcoursup que les procédures d'examen des candidatures mises en place par les établissements d'enseignement supérieur. A cet effet, le comité formule toute proposition de nature à améliorer la transparence de ces procédures et leur bonne compréhension par les candidats.
En second lieu, en ce qui concerne l'intervention humaine.
La commission relève que le dispositif permet une forme d'intervention humaine à deux égards, dans la mesure où, d'une part, il est prévu la possibilité pour un candidat de faire valoir, sous certaines conditions, des circonstances exceptionnelles tenant à son état de santé, à son handicap, à son inscription en tant que sportif de haut niveau ou à ses charges de famille et pouvant conduire au réexamen de sa candidature et, d'autre part, d'engager un dialogue avec le recteur en cas d'absence de proposition d'affectation afin de se voir proposer une inscription dans une formation la plus proche possible des vœux formulés.
Au regard de ces éléments, la commission estime que le traitement mis en oeuvre par le ministère de l'enseignement supérieur est conforme à l'article 10 de la loi du 6 janvier 1978 modifiée dès lors qu'il s'inscrit dans un dispositif légal plus global qui, pris dans son ensemble, doit permettre que la décision d'affectation dans une formation de l'enseignement supérieur ne soit pas prise sur le seul fondement d'un traitement automatisé.
Sur la responsabilité des traitements d'examen des candidatures :
La commission constate que le dispositif global, prévu par la loi, conduit les établissements d'enseignement supérieur dont les capacités d'accueil sont inférieures aux demandes à examiner les candidatures au regard de la cohérence entre, d'une part, le projet de formation du candidat, les acquis de sa formation antérieure et ses compétences et, d'autre part, les caractéristiques de la formation . Or, il est vraisemblable que, pour examiner les candidatures qui leur sont soumises, en particulier lorsqu'elles sont très nombreuses, des établissements d'enseignement supérieur recourent à des traitements algorithmiques. A cet égard, la commission relève d'ailleurs qu'un outil d'aide à la décision est mis à la disposition des établissements d'enseignement supérieur.
Dans la mesure où les commissions d'examen des vœux des établissements d'enseignement supérieur définissent librement les modalités et les critères d'examen des candidatures qu'ils reçoivent ainsi que, le cas échéant, le paramétrage dudit outil en fonction de leurs besoins et des choix pédagogiques qu'elles ont faits, la commission estime que le ministère n'est pas responsable des traitements mis en œuvre dans les établissements d'enseignement supérieur, à des fins de classement des candidatures quand bien même ils choisiraient d'utiliser cet outil d'aide à la décision. Elle rappelle dès lors que les établissements d'enseignement supérieur, en tant que responsables de traitement, devront respecter les principes régissant la protection des données personnelles, ce sur quoi elle sera vigilante.
Sur les données :
L'article 2 du projet d'arrêté renvoie à une annexe listant les données enregistrées dans Parcoursup. Seules certaines données ou catégories de données appellent des observations particulières.
L'identifiant national élève (INE) permet d'assurer une mise en relation fiable de Parcoursup avec d'autres traitements tels que, par exemple, SIECLE, OCEAN-CYCLADE ou AGLAE. Interrogé sur la nécessité d'enregistrer le lieu de naissance des élèves alors que l'ajout de l'INE, identifiant non signifiant, interne au système éducatif et unique pour un élève durant toute sa scolarité, doit permettre d'identifier de façon fiable un élève, le ministère a précisé que ces données sont transmises à l'établissement d'enseignement supérieur dans lequel un candidat s'inscrit. En effet, Parcoursup permet d'alimenter les traitements de gestion administrative et pédagogique de ces établissements des données relatives aux candidats admis dans l'une des formations qu'ils dispensent, simplifiant ainsi les démarches administratives du candidat et le travail des personnels chargés de renseigner le dossier administratif de l'étudiant.
S'agissant du recueil de la nationalité, le ministère a précisé qu'il se justifiait par le fait que selon sa nationalité et son diplôme de fin d'études secondaires, un candidat peut être soumis, conformément aux dispositions des articles D. 612-11 à D. 612-18 du code de l'éducation, à une procédure spécifique, distincte de Parcoursup, dite DAP (demande d'admission préalable en vue d'une inscription en 1re année de licence en France). Ainsi, le recueil de la nationalité permet d'identifier ces candidats qui doivent être orientés vers la procédure DAP et non formuler des vœux dans Parcoursup. Le ministère a en outre indiqué que le recueil de la nationalité permet de déterminer les candidats qui devront produire des résultats de test de niveau de français.
En ce qui concerne la catégorie socioprofessionnelle des responsables légaux, le ministère a précisé qu'elle était enregistrée à des fins statistiques et qu'elle était facultative dans la mesure où le menu déroulant permet de sélectionner un item non renseignée .
En outre, sont enregistrées des données relatives à la scolarité des candidats, à leur curriculum vitae (CV), leur projet de formation qui doit décrire les raisons pour lesquelles ils souhaitent s'inscrire dans une formation donnée et leurs atouts pour y réussir, leurs activités sportives et artistiques pour les candidats qui se déclarent sportifs ou artistes de haut niveau, aux appréciations des professeurs principaux portant sur quatre éléments caractérisant le profil de l'élève (méthode de travail, autonomie, capacité à s'investir dans le travail et engagement/esprit d'initiative) et du chef d'établissement portant sur la capacité de l'élève à réussir dans la formation visée, contenues dans la fiche AVENIR .
L' article L. 612-3 du code de l'éducation prévoit qu'une inscription peut être subordonnée à l'acceptation d'un dispositif d'accompagnement pédagogique ou, lorsque le nombre de candidatures excède la capacité d'accueil, être prononcée au regard de la cohérence entre, d'une part, le projet de formation du candidat, les acquis de sa formation antérieure et ses compétences et, d'autre part, les caractéristiques de la formation. Ces dispositions impliquent dès lors que les établissements d'enseignement supérieur disposent d'informations telles que, notamment, la fiche AVENIR ou les résultats scolaires pour déterminer la nécessité de proposer un dispositif d'accompagnement ou apprécier la cohérence d'une candidature au regard des attendus requis pour une formation.
Des informations relatives au baccalauréat sont également renseignées dans Parcoursup afin d'identifier les candidats meilleurs bacheliers qui, conformément à l' article L. 612-3-1 du code de l'éducation, bénéficient d'un droit d'accès prioritaire. En outre, ces informations permettent la gestion des propositions faites aux candidats en identifiant ceux qui échouent au baccalauréat et qui ne peuvent dès lors accéder à la plupart des formations de l'enseignement supérieur.
Concernant les informations relatives aux vœux des candidats, la commission a constaté qu'il est demandé aux candidats de saisir, dans une rubrique dédiée, leurs préférences en termes de formation, ce que ne mentionnent pas le projet d'arrêté et son annexe. Interrogé sur ce point, le ministère a indiqué que ces informations ne sont pas accessibles aux établissements d'enseignement supérieur et ont pour unique objet d'éclairer le recteur qui peut, conformément à l' article L. 612-3 du code de l'éducation, être amené à faire des propositions d'inscription à un candidat qui n'aurait reçu aucune réponse favorable, en tenant compte notamment de son projet de formation. Au regard de ces éléments, la commission estime que la collecte de ces informations est justifiée. Elle prend acte de l'engagement du ministère de modifier l'annexe relative aux données afin de les mentionner expressément.
L'annexe relative aux données prévoit une catégorie dite données de santé . A ce titre est enregistrée l'indication, par une mention oui/non, de la réalisation de la visite médicale obligatoire, pour l'admission dans les lycées de la Défense, conformément à l' article R. 425-9 du code de l'éducation. De même, pour certaines formations organisant des épreuves préalables à l'admission, un candidat en situation de handicap peut demander un aménagement d'épreuve, au sein de la plateforme Parcoursup, sans toutefois qu'il soit fait mention de la pathologie et des dispositions particulières d'aménagement. La commission constate qu'il ne s'agit pas de données sensibles, au sens de l'article 8 de la loi du 6 janvier 1978 modifiée dès lors que seules des mentions générales relatives à l'aptitude, l'inaptitude ou le type d'aménagement nécessaire sont enregistrées sans référence à la nature de la pathologie ou du handicap de la personne concernée.
En revanche, elle relève que, conformément à l' article L. 612-3 du code de l'éducation, un candidat peut faire mention, dans Parcoursup, de son état de santé ou d'une situation de handicap pour permettre à l'établissement d'enseignement supérieur d'en tenir compte dans le cadre de la mise en place d'un dispositif d'accompagnement pédagogique ou d'un parcours de formation personnalisé ou pour faire état de circonstances exceptionnelles justifiant une inscription dans un établissement situé dans une zone géographique déterminée. Dans la mesure où cette mise à disposition d'information est prévue par le législateur, elle est conforme à l'article 8 de la loi Informatique et Libertés .
Au regard de ces éléments, la commission estime que les données et informations définies en annexe du projet d'arrêté sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (5°) de la loi Informatique et Libertés .
Sur les durées de conservation :
L'article 4 du projet d'arrêté prévoit que les données enregistrées dans Parcoursup sont conservées pendant une durée maximale de deux ans puis versées dans une base d'archives intermédiaires pour une durée de quatre ans supplémentaires.
S'agissant de la durée de deux ans, le ministère a indiqué qu'elle devait permettre à un candidat qui n'aurait pas pu s'inscrire dans une formation ou souhaitant se réorienter après une première année dans une formation de l'enseignement supérieur, de réutiliser les données déjà saisies.
S'agissant de la conservation en base d'archives intermédiaires, le projet d'arrêté précise qu'une telle conservation est prévue à des fins de pilotage, tant au niveau national qu'académique. A cet égard, le ministère a indiqué qu'une fois versées dans cette base d'archives, les données relatives à l'identité, l'adresse et aux différents numéros de dossiers des candidats étaient supprimées. Sous réserve de cette suppression effective, et compte tenu du caractère indirectement identifiant des données conservées, la commission considère que celles-ci sont pseudonymisées.
Au regard de ces éléments, la commission estime que les durées de conservation sont justifiées au regard des finalités poursuivies par le traitement, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que les données devront, à l'expiration de ces durées de conservation, être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Sur les destinataires :
Les destinataires de Parcoursup sont prévus à l'article 3 du projet d'arrêté. A titre liminaire, la commission relève que les accédants et destinataires de Parcoursup sont nombreux. Elle rappelle que ces personnels ne doivent pas accéder librement aux données et informations des candidats au-delà de la durée nécessaire à l'exercice de leurs missions.
Aux termes de l'article 3 précité, accèdent à Parcoursup les personnes habilitées de la direction de l'enseignement supérieur et de l'insertion professionnelle (DGESIP) et de la direction générale de l'enseignement scolaire du ministère de l'éducation nationale (DGESCO). Le ministère a indiqué que si la DGESIP assure la maîtrise d'ouvrage de Parcoursup, ce traitement concernant également les élèves scolarisés en classe de terminale dans les lycées ainsi que les étudiants des formations dispensées dans des lycées, la DGESCO est associée à certaines décisions de la maîtrise d'ouvrage, ce qui, selon lui, justifie qu'elle puisse accéder à certaines données globales afin de pouvoir constater la mise en œuvre de certaines décisions.
Parmi les accédants et destinataires de Parcoursup figurent en outre des personnels chargés d'apporter une aide individualisée aux candidats qui rencontreraient des difficultés pour saisir leurs vœux, notamment en cas de blocage de leur dossier ou lorsqu'ils utilisent la rubrique contact . Il s'agit des personnes habilitées de la DGESIP, des services en charge de l'enseignements supérieur, de l'information et de l'orientation des rectorats et vices-rectorats et des services déconcentrés relevant des ministères autres que les ministères chargés de l'éducation nationale et de l'enseignement supérieur exerçant une tutelle sur des établissements d'enseignement scolarisant des candidats. Dans la mesure où les candidats devant utiliser la procédure nationale de préinscription sont très nombreux, la commission considère qu'il n'est pas excessif que tant de personnels, de l'administration centrale et des services déconcentrés, accèdent aux données des candidats pour répondre à de telles sollicitations.
Accèdent également à Parcoursup les personnels des établissements où sont scolarisés les candidats et ceux des établissements d'enseignement supérieur dans lesquels les candidats ont formulé des voeux. Dans la mesure où ces personnes doivent respectivement renseigner des informations concernant le candidat telles que, par exemple, la fiche AVENIR , et se prononcer sur les candidatures, après examen de celles-ci, la commission considère que ces accès sont justifiés.