La Commission nationale de l'informatique et des libertés,
Saisie par l'Agence de mutualisation des universités et établissements d'enseignement supérieur ou de recherche et de support à l'enseignement supérieur ou à la recherche (Amue) d'une demande d'avis concernant un projet de décision relative au traitement de gestion de la scolarité des étudiants mis à disposition par l'Amue ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation nationale, notamment les dispositions du Livre Ier, Première Partie, Titre II chapitre 3 et celles des Livres VI, VII, hormis le Titre III, et VIII de la Troisième Partie ;
Vu le code de la sécurité sociale, notamment l'article L. 381-6 ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière statistique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II-2°, 27-II-4° et 27-III°;
Vu l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 71-1105 du 30 décembre 1971 relatif à la création de chancelleries modifié par le décret n° 2002-520 du 10 avril 2002 et le décret n° 205-436 du 9 mai 2005 ;
Vu le décret n° 94-1089 du 12 décembre 1994 relatif à l'utilisation du numéro d'inscription au Répertoire national d'identification des personnes physiques par le ministère chargé de l'enseignement supérieur ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 12 décembre 1994 portant création, par le ministère chargé de l'enseignement supérieur et de la recherche, d'une application nationale de traitement automatisé d'informations nominatives réalisée par la direction de l'évaluation et de la prospective et dénommée Système d'information sur le suivi de l'étudiant (S.I.S.E.), ensemble l'arrêté du 23 avril 2003 ;
Vu l'arrêté du 26 janvier 1995 portant création d'une application informatique nationale de gestion des enseignements et des étudiants et l'avis de la Commission nationale de l'informatique et des libertés en date du 20 décembre 1994 portant le numéro 94-115 sur le projet d'arrêté ;
Vu la délibération n° 94-115 du 20 décembre 1994 portant avis concernant la mise en œuvre d'un système automatisé d'informations nominatives dénommé "APOGEE", par les établissements publics d'enseignement supérieur relevant du ministère de l'enseignement supérieur et de la recherche
Après avoir entendu M. Eric PERES, commissaire, en son rapport et
Mme Catherine POZZO du BORGO, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie par l'Agence de mutualisation des universités et établissements d'enseignement supérieur ou de recherche et de support à l'enseignement supérieur ou à la recherche (Amue) d'une demande d'avis sur un projet de décision relative au traitement de gestion de la scolarité des étudiants mis à disposition par l'Amue.
Ce projet de décision porte modification de plusieurs modalités de mise en œuvre du traitement de gestion de la scolarité dénommé  Application pour l'organisation et la gestion des enseignements et des étudiants  ou  Apogée .
Ces modifications visent essentiellement à faciliter la gestion administrative et pédagogique des étudiants.
Sur le régime juridique applicable :
Le traitement de gestion de la scolarité des étudiants mis à disposition par l'Amue comporte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) des étudiants.
Conformément à l'article 27-II-2° de la loi du 6 janvier 1978 modifiée,  sont autorisés [...] par décision de l'organe délibérant chargé de leur organisation  les traitements de données à caractère personnel mis en œuvre pour le compte d'une personne morale de droit privé gérant un service public  qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques , dès lors que ceux-ci :
- ne comportent aucune des données mentionnées au I de l'article 8 ou à l'article 9 ;
- ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ;
- sont mis en œuvre par des services ayant pour mission, soit de déterminer les conditions d'ouverture ou l'étendue d'un droit des administrés, soit d'établir l'assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d'établir des statistiques.
En outre, le traitement APOGEE mettant  à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique , celui-ci est également soumis au régime de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
La finalité essentielle du traitement APOGEE reste inchangée. Elle vise, d'une part, la gestion administrative et pédagogique de la scolarité des étudiants de l'enseignement supérieur public et, d'autre part, le pilotage de la pédagogie dans le supérieur via la remontée d'informations vers l'administration centrale à des fins statistiques.
Toutefois, concernant la gestion administrative et pédagogique des étudiants, la Commission relève que celle-ci vise non seulement des activités scolaires mais également périscolaires.
Ainsi, l'article 2-1° alinéa 4 du projet de décision dispose de  la constitution d'une carte d'étudiant permettant de gérer l'accès de l'étudiant à des services universitaires ou interuniversitaires (en particulier : bibliothèques, restaurants, médecine préventive, actions sportives et culturelles, information, orientation et insertion professionnelle) .
De même, l'article 2-2° du projet de décision précise la finalité de mise à disposition des étudiants des espaces numériques de travail (ENT), indiquant que ceux-ci leur permettront  d'accéder, via un point d'entrée unique et sécurisé, à un bouquet de services numériques .
Enfin, l'article 2-6° du projet de décision vise une sous finalité inédite :  organiser les élections statutaires au sein de l'établissement . Sur ce point, la Commission rappelle que, dans l'hypothèse de la mise en œuvre d'un vote électronique, les établissements utilisant APOGEE devront accomplir les formalités appropriées.
Ainsi précisées, la Commission considère que ces finalités sont déterminées, explicites et légitimes.
Toutefois, elle appelle l'attention de l'AMUE sur le fait que les établissements utilisant APOGEE devront effectuer des formalités préalables distinctes de l'engagement de conformité à l'ARU 013 pour toute finalité n'étant pas inscrite dans l'article 2 du projet de décision (telles que la gestion des associations d'anciens étudiants ou la transmission de données à des entreprises partenaires, à savoir notamment les sociétés fournissant des manuels numériques ou offrant un service de certification des diplômes obtenus par un étudiant).
Sur la nature des données traitées :
Les données traitées dans APOGEE sont relatives à l' étudiant  (article 3-1° du projet de décision), à leurs  parents  (article 3-2° du projet de décision) et aux  informations relatives aux modalités d'entrée et d'inscription dans l'enseignement supérieur et aux formations et diplômes  (article 3-3° du projet de décision).
La Commission constate que l'ensemble des informations relatives aux modalités d'entrée et d'inscription dans l'enseignement supérieur et aux formations et diplômes concerne les étudiants.
Par souci d'intelligibilité du texte, elle propose donc à l'AMUE, d'une part, de supprimer le 3° de cet article et de créer un paragraphe 1°-f) intitulé  modalités d'entrée et d'inscription dans l'enseignement supérieur, formations et diplômes  et, d'autre part, de substituer à la mention  parents  dans l'article 3-2° du projet de décision la mention  responsables légaux .
Les nouvelles catégories de données traitées dans APOGEE et identifiées dans l'article 3 sont la photographie (sous réserve d'un consentement exprès) et les informations relatives à l'accomplissement d'un stage. Ceci n'appelle aucune observation de la Commission.
Toutefois, dans le dernier alinéa de l'article 5 du projet de décision, l'AMUE se réfère à  la saisie des notes (que seuls les enseignants concernés sont habilités à connaître) .
Aussi, la Commission observe que, bien qu'elle constitue une nouvelle fonctionnalité d'APOGEE, la saisie des notes à distance via le traitement APOGEE ne fait l'objet d'aucune mention dans les catégories de données traitées.
C'est pourquoi elle demande à ce que cette catégorie de données soit clairement identifiée dans l'article 3 de la décision de l'AMUE. Le cas échéant, la finalité de saisie des notes devra également être expressément identifiée dans l'article 2.
Par ailleurs, comme indiqué dans la délibération 94-115 du 20 décembre 1994 portant sur la création du traitement APOGEE, le NIR des étudiants est  exclusivement utilisé pour leur immatriculation auprès des organismes de sécurité sociale et des mutuelles agissant comme centres payeurs de sécurité sociale .
Dans le cadre de la modification opérée par l'AMUE, une seconde utilisation du NIR est explicitement identifiée : la  gestion des consultations médicales opérées par le service de médecine préventive universitaire ou interuniversitaire (feuille de soin électronique) . La Commission rappelle à l'AMUE que ce traitement doit être effectué dans le cadre d'un régime d'habilitations strictement limité aux agents soumis au secret médical ou sous leur responsabilité directe.
En outre, elle rappelle que le NIR des étudiants ne saurait être traité dans APOGEE pour servir une finalité distincte que celles qui sont expressément identifiées dans le projet de décision soumis à la Commission, telle que, par exemple, la lutte contre les indus boursiers.
Sous réserve de ces observations, la Commission estime que les données traitées sont pertinentes, adéquates et non excessives au regard des finalités poursuivies par le traitement.
Sur la durée de conservation des données :
La Commission prend acte que l'article 4 du projet de décision précise les durées de conservation des données enregistrées dans APOGEE suivantes :
- 3 ans en base active (l'ensemble des agents habilités pouvant ainsi accéder à ces données) ;
- 7 ans en archivage intermédiaire (base limitant l'accès aux données enregistrées dans APOGEE à un nombre restreint d'agents, spécialement habilités pour répondre aux demandes d'information des étudiants ou des agents dont les droits ont été gérés dans APOGEE).
Elle relève que la conservation d'un récapitulatif de la situation administrative et pédagogique de l'étudiant en archivage intermédiaire pendant 50 ans n'excède pas la durée nécessaire aux finalités pour lesquelles les données ont été traitées dans APOGEE, compte tenu que ce récapitulatif est susceptible de permettre à chaque étudiant de justifier de son parcours universitaire, notamment dans le cadre de ses recherches professionnelles.
Sur les destinataires des données :
D'une part, les articles 5-1 à 5-4-g) du projet de décision prévoient l'habilitation de nouvelles catégories d'agents (direction générale des services de l'établissement, services communs de la scolarité, tout autre service universitaire ou interuniversitaire de gestion des enseignements et activités périscolaires proposés à l'étudiant, centres locaux des œuvres universitaires et scolaires).
Compte tenu de leurs missions respectives, ces nouvelles habilitations n'appellent aucune observation de la Commission.
D'autre part, les articles 5-4-h) et 5-4-i) du projet de décision identifient deux nouvelles catégories de destinataires : les  organismes publics et privés partenaires de l'établissement d'enseignement, uniquement dans le cadre de la création de structures interuniversitaires [...], de conventions de formation ou bien de l'accueil de stagiaires  et les  établissements de droit public ou de droit privé, membres de la fédération Éducation-Recherche, uniquement pour fournir les services numériques en ligne définis par cette fédération .
En outre, l'antépénultième et l'avant dernier alinéas de l'article 5 du projet de décision confirment le principe de non transmission de données à des partenaires commerciaux ou, à défaut, de non réutilisation de celles-ci à des fins commerciales.
Pour plus de clarté, la Commission propose à l'AMUE de reprendre ces éléments dans un paragraphe unique, qui pourrait être ainsi rédigé :  Les prestataires commerciaux des plateformes d'enseignement en ligne ne seront destinataires d'aucune donnée à caractère personnel. Aucune des données à caractère personnel transmises à des partenaires privés ne sont susceptibles de réutilisation commerciale .
De plus, concernant le dernier alinéa de l'article 5, la Commission recommande que celui-ci fasse l'objet d'un article 5-3°-d) et mentionne  [les agents habilités] du corps professoral susceptibles d'accéder aux informations relatives à la saisie des notes .
Enfin, la Commission souligne que toute transmission de données à des tiers non identifiés comme destinataires dans le projet de décision (tels que les associations d'anciens étudiants, les organismes de gestion des bourses ou de suivi spécifique des étudiants de certaines formations) devra faire l'objet de formalités préalables appropriées par chacun des établissements concerné.
Sur les droits des personnes concernées :
S'agissant du droit à l'information des personnes, la Commission approuve qu'en application de l'article 32 de la loi du 6 janvier 1978 modifiée, l'AMUE ait précisé ce droit dans l'article 6 du projet de décision.
Toutefois, elle préconise que les modalités pratiques de cette information soient clairement indiquées dans le projet de décision, en précisant quels supports les établissements utilisant APOGEE sont susceptibles de recourir (courriers, courriels, mentions sur formulaires, sites en ligne).
En outre, elle prend note, avec intérêt, du choix de recueillir de manière systématique le consentement exprès des étudiants ayant choisi de suivre une partie de leurs études à l'étranger préalablement à tout transfert de données dans le cadre de la mobilité internationale (article 6 alinéa 2 du projet de décision).
En effet, la Commission relève qu'aucun étudiant ne pourrait partir à l'étranger s'il choisissait de ne pas consentir au transfert de ses données à caractère personnel. L'accord fourni par l'étudiant concerné ne constitue donc pas un consentement exprès au sens de l'article 69 de la loi du 6 janvier 1978 modifiée. Il revient donc à l'établissement qui opère la transmission de données depuis la France de garantir leur sécurisation.
Elle rappelle que, par principe, et à l'instar de ce qui a été décidé pour la mobilité des salariés, tout établissement d'enseignement supérieur transférant des données à caractère personnel à des universités (échanges ERASMUS) ou bien à des entreprises partenaires (stages) devra accomplir des formalités préalables spécifiques (demande d'autorisation de transfert).
C'est pourquoi, au vu de l'absence de mention en ce sens dans le projet de décision de l'AMUE, chaque établissement concerné devra saisir la CNIL d'une demande d'autorisation de transfert sur la base des clauses contractuelles types de l'Union européenne insérées dans les conventions de partenariat signées avec chacun des partenaires n'assurant pas une protection adéquate.
Compte tenu de la difficulté de renseigner l'annexe  Transferts  pour chacun des partenaires basés dans des pays n'offrant pas une protection adéquate, la Commission précise qu'il conviendra de remplir une seule demande d'autorisation, ainsi qu'une seule annexe  Transferts  identifiant l'ensemble des partenaires concernés. Cette annexe devra donner lieu à une mise à jour régulière.
S'agissant des droits d'accès et d'opposition, la Commission prend acte que l'article 6 alinéas 3 et 4 du projet de décision n'a fait l'objet d'aucune modification.
La Commission relève particulièrement que le droit de rectification des données inscrit dans l'article 40 de la loi du 6 janvier 1978 modifiée ne fait l'objet d'aucune mention et demande à l'AMUE de compléter l'article 6 du projet de décision afin que  toute personne physique justifiant de son identité [puisse] exiger [...] que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite .
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que le projet de décision est complété par un article relatif à l'authentification et à la traçabilité des données (article 7).
Le périmètre des données collectées par APOGEE étant substantiel, il est nécessaire que les mesures garantissant la confidentialité des données soient fortes.
C'est pourquoi, la Commission insiste sur la nécessité de définir, dans l'article 7 du projet de décision, les conditions de garantie de la sécurité des données ainsi que les exigences minimales que devront s'engager à respecter les établissements susceptibles de réaliser un engagement de conformité à cette décision.
L'article 7 pourrait être ainsi complété :  Les établissements adressant un engagement de conformité à la présente décision s'engagent également à mettre en œuvre l'ensemble des mesures de réduction de risques prévues et conseillées par l'analyse de sécurité réalisée par l'AMUE .
De fait, et à l'instar de l'information des personnes, la Commission demande à l'AMUE, qui met à disposition le logiciel APOGEE, de formuler des recommandations claires en matière de sécurité auprès des établissements qui utilisent APOGEE.
En ce sens, elle préconise que de telles recommandations figurent dans un manuel de mise en œuvre de l'application APOGEE, à fournir de manière systématique aux établissements concernés.
Ces recommandations devront particulièrement viser les points suivants :
- une politique de mot de passe conforme aux recommandations de la CNIL ;
- un accès à l'application APOGEE devant impérativement se faire par l'intermédiaire du protocole https ;
- des communications via web service entre APOGEE et APB ou ABES utilisant le protocole https ;
- une sécurisation des locaux et des équipements hébergeant APOGEE garantissant la confidentialité des données hébergées par l'établissement ou par un prestataire ;
- la mise en œuvre de mécanismes de protection contre les intrusions sur le réseau de l'établissement ;
- la définition, par chaque établissement, de procédures particulières relatives à la destruction, la télémaintenance et l'accès aux supports de stockage.
Autres observations :
Dans un objectif de simplification des formalités préalables, que la CNIL souhaite encourager, la Commission propose à l'AMUE d'entreprendre une réflexion, par ailleurs sollicitée par l'ensemble des établissements privés concernés, sur la possible extension de cette décision aux établissements privés.
La Présidente
Isabelle FALQUE-PIERROTIN