(Demande d’autorisation n°1642737)
La Commission nationale de l’informatique et des libertés,
Saisie par le rectorat de Poitiers d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la déclaration et le suivi des faits de violence dans les établissements scolaires;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3°et 25-I-7° ;
Vu l'article R. 421-10 du code de l'éducation ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie par le rectorat de Poitiers d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la déclaration et le suivi des faits de violence dans les établissements scolaires.
Cette application a pour finalité de déclarer et de suivre les faits et évènements de violence dans les établissements scolaires de l’académie de Poitiers.
Le traitement permettra aux directeurs d’établissements de déclarer des événements. Afin de cadrer les contributions des utilisateurs, et notamment de prévenir le traitement de données nominatives, les informations renseignées le seront à partir de listes déroulantes. Lorsque le formulaire est complété, celui-ci est transmis aux destinataires.
Dans la mesure où la mise en œuvre de cette application est susceptible d’entraîner, indirectement, la collecte de données relatives aux infractions, condamnations et mesures de sûreté ainsi que de données relatives aux difficultés sociales des personnes, ce traitement relève d’une demande d’autorisation en application des articles 25-I-3°et 25-I-7° de la loi du 6 janvier 1978 modifiée.
Sur les finalités
Les finalités sont d’assurer un suivi des faits de violence  déclarés par les écoles et les établissements, d’alerter les équipes mobiles de sécurité, de permettre une meilleure réactivité en cas d’incident grave et, enfin, de réaliser les bilans académiques.
Le traitement envisagé par le rectorat de Poitiers pour déclarer et suivre ces faits et évènements de violence s’inscrit dans le cadre, d’une part, du code de l’éducation et, d’autre part, de plusieurs circulaires ministérielles.
En effet, aux termes des dispositions de l'article R. 421-10 du code de l'éducation, « en qualité de représentant de l’Etat au sein de l’établissement, le chef d'établissement […] prend toutes dispositions, en liaison avec les autorités administratives compétentes, pour assurer la sécurité des personnes et des biens, l'hygiène et la salubrité de l'établissement ». Le chef d’établissement dispose ainsi d’une compétence générale pour assurer l’ordre public dans l’établissement et de disposer d’outils de suivi.
Le traitement projeté s’inscrit également dans les circulaires n°2006-125 du 16 août 2006 relative à la prévention et à la lutte contre la violence en milieu scolaire, n° 2009-137 du 23 septembre 2009 relative à la sécurisation des établissements scolaires et au suivi de la délinquance, n°2011-111 du 1er août 2011 sur l’organisation des procédures disciplinaires dans les établissements scolaires.
La Commission considère que, si ce traitement à vocation à être généralisé au niveau national à l’issue de la période d’expérimentation, il conviendrait de prévoir un cadre juridique approprié. En effet, les circulaires citées par le rectorat définissent un cadre général sans préciser les modalités de mise en œuvre de ce type de traitement].Le rectorat a confirmé que l’application n’a pas pour finalité de constituer un fichier général des élèves délinquants ou perturbateurs. Ainsi, le rectorat a souligné que les alertes sur les faits de violence mis à disposition des services ne contiennent pas les noms des auteurs présumés ni des victimes éventuelles. De même, la Commission prend acte qu’aucune suite judiciaire ne figurera dans le traitement.
Enfin, cette application est développée à titre expérimental pour une durée de deux ans.
Dans ces conditions, la Commission estime que les finalités poursuivies par le rectorat de Poitiers sont déterminées, explicites et légitimes.
Sur les données traitées
Les données collectées seront celles relatives à l’établissement et à la description des faits de violence qui y sont survenus.
La Commission prend acte que le rectorat de Poitiers a modifié la nature des données collectées.  D’une part, les données nominatives des personnes sont supprimées afin de s’assurer que les données collectées ne mèneront pas à la constitution d’un fichier des élèves délinquants. D’autre part, le rectorat  a décidé de n’enregistrer que la description des faits ou évènements de violence sans préciser la qualification pénale.
Compte tenu de ces modifications, la Commission estime que ces données collectées sont adéquates, pertinentes et non excessives au regard de la finalité du traitement conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
A la suite des échanges avec la Commission, le rectorat a modifié les destinataires de ces données. Ne seront destinataires des alertes décrivant le fait ou l’évènement de violence que les autorités compétentes de l’éducation nationale à savoir, au niveau départemental, le directeur académique des services de l’éducation nationale, ainsi que les services placés auprès d’eux et spécifiquement chargés de gérer ces situations de crises, le secrétaire général de la direction départementale de l’éducation nationale et, au niveau académique, le recteur, son directeur de cabinet, le secrétaire général ainsi que l’équipe mobile de sécurité d’assistance aux établissements. Aucune  possibilité n’est donnée d’envoyer ces alertes à d’autres personnels que ceux qui sont habilités.
La Commission rappelle que les agents de l’éducation nationale ayant accès à ces données doivent être individuellement habilités et que cet accès doit être nécessaire à l’accomplissement de leur mission.
Sur la durée de conservation
Les données sont conservées cinq ans à compter de la date du jour du fait. Cette durée de conservation est justifiée par une période de scolarité  moyenne par élève qui dure en général cinq années.
La Commission estime que cette durée est adéquate dans la mesure où elle permet un traitement statistique sur une période suffisante.
Sur l’information des personnes
En application de l’article 32 de la loi du 6 janvier 1978 modifiée, l’information s’effectuera par des dispositions intégrées dans le règlement intérieur des établissements de l’académie.
Sur la sécurité des données
Différents profils d’habilitation sont définis afin d’autoriser l’accès aux données aux seules personnes en ayant le besoin d’en connaître.
Le contrôle d’accès s’effectue par l’utilisation d’un login et d’un mot de passe ou d’un mot de passe à usage unique fourni par la société RSA.
Le responsable de traitement a mis en place une politique de mot de passe, qui doit comporter un minimum de 8 caractères, composés de trois types de caractères distincts (minuscules, majuscules, chiffres ou caractères spéciaux). Le mot de passe doit être modifié par l’utilisateur dès sa première connexion.
Les accès à l’application ainsi que les actions de création et de mise à jour des données sont tracées.
Les transferts de données par internet sont sécurisés par l’utilisation de réseaux virtuels privés ou du protocole HTTPS.
Les données sont sauvegardées quotidiennement sur bande magnétique.
La Commission note que les mesures de sécurité mises en place sont satisfaisantes.
Dans ces conditions, la Commission autorise le rectorat de Poitiers à mettre en œuvre un traitement à caractère personnel, à titre expérimental, pour une durée de deux ans ayant pour finalité la déclaration et le suivi des faits de violence dans les établissements scolaires. La commission demande qu’un bilan lui soit communiqué à l’issue de cette période.
Cette autorisation ne saurait préjuger d’une éventuelle décision de la Commission saisie d’une demande de généralisation du traitement de données à caractère personnel susvisé.
La Présidente
Isabelle FALQUE-PIERROTIN