La Commission nationale de l'informatique et des libertés,
Saisie par l'observatoire régional des études supérieures d'une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour objet de permettre la réalisation d'une étude sur les parcours des inscrits dans l'enseignement supérieur.
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment ses articles 8-IV et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu, Mlle Anne Debet, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission est saisie par l'ORES, observatoire statistique du Pôle Universitaire Européen de Lille Nord-Pas de Calais, de la mise en oeuvre d'un traitement automatisé de données à caractère personnel qui a pour objet d'étudier les parcours des personnes inscrites dans l'enseignement supérieur et plus particulièrement des personnes susceptibles d'être considérées comme étant d'origine arabe afin de vérifier si cette variable a un impact sur leur parcours scolaire et de mesurer ainsi les risques de stigmatisation et de discrimination sociale ou religieuse.
Pour constituer la liste des personnes relevant du champ de l'étude, l'ORES envisage de procéder de la manière suivante : Le centre de ressources informatiques (CRI) du Pôle Universitaire adresserait à l'ORES une liste recensant les prénoms des 150 000 étudiants inscrits.  A chaque prénom serait associé un numéro aléatoire.  Cette liste de prénoms serait ensuite croisée avec une base de prénoms arabes et musulmans établie par l'association lilloise pour une interculturalité citoyenne (APIC) afin d'obtenir 10 à 13 000 prénoms.  Il est ensuite prévu que l'ORES adresse au CRI une liste de prénoms incertains afin de les compléter des noms des personnes et ainsi vérifier que le nom est bien un nom arabe.  La liste définitive des prénoms retenus serait enfin transmise au CRI afin qu'il la complète par certaines variables relatives au sexe de l'étudiant, à la catégorie socio-professionnelle du chef de famille, à la série et à la précocité du baccalauréat.
La Commission constate qu'en l'espèce, la constitution de l'échantillon des personnes repose sur un tri sur la consonance de leurs prénoms et noms et que ce tri a pour effet de faire apparaître leur appartenance supposée à la communauté arabe ou musulmane.
La Commission estime que les fichiers constitués ou les traitements mis en oeuvre à partir de tris opérés sur les noms qui sont susceptibles de faire apparaître directement ou indirectement les origines raciales ou les appartenances religieuses des intéressés relèvent des dispositions de l'article 8 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.  Cet article interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions religieuses des personnes, sauf dans les cas prévus au II de cet article.  Le IV permet également à la Commission d'autoriser le traitement de telles données pour des motifs d'intérêt public.
La Commission relève en l'espèce qu'aucune des exceptions prévues au II de l'article 8 n'est applicable à la constitution de l'échantillon telle qu'elle est envisagée.  En particulier, compte tenu des modalités de constitution de cet échantillon, le consentement préalable des personnes concernées ne peut être recueilli.  S'agissant du III de l'article 8 qui permet à la Commission d'autoriser le traitement de données sensibles dès lors qu'elles sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation reconnu conforme à la loi, il aurait pu être considéré que le seul traitement des prénoms garantissait l'anonymat des personnes.
Toutefois, dans la mesure où il est envisagé, en cas de doute, de retourner aux noms des personnes, l'application de l'exception du III ne peut être retenue.
La Commission considère que l'objectif de l'étude qui est de mesurer les risques de discrimination liés au nom et au prénom arabe des personnes poursuit un intérêt public.
La Commission considère toutefois que le traitement des données ne répond pas aux conditions posées par l'article 6 de la loi aux termes duquel les données doivent être collectées et traitées de manière loyale dans la mesure où aucune disposition n'est prévue conformément à l'article 32 de la loi du 6 janvier 1978 pour informer les personnes de la finalité de l'étude, de son caractère facultatif et de leur possibilité de s'opposer à l'utilisation des données les concernant.
La Commission estime, compte tenu des caractéristiques de cette enquête et en particulier de la sensibilité des données traitées, qu'une parfaite transparence doit être assurée vis-à-vis des personnes concernées afin de leur permettre d'exercer, en pleine connaissance de cause, les droits qui leur sont reconnus par la loi.
Dans ces conditions, la Commission refuse d'autoriser la mise en oeuvre, par l'ORES, d'un traitement automatisé de données à caractère personnel pour réaliser une étude sur les parcours des étudiants, à partir d'un tri sur la consonance des nom et prénom des intéressés.
Le président, Alex TURK.