La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’éducation nationale d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des dossiers contentieux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2014-133 du 17 février 2014 fixant l'organisation de l'administration centrale des ministères de l'éducation nationale et de l'enseignement supérieur et de la recherche ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le ministère de l’éducation nationale est le responsable du traitement dénommé système web pour l’application du greffe (SWAG), mis en œuvre par la direction des affaires juridiques (DAJ) du ministère.
Sur la finalité
La finalité principale du traitement SWAG, qui remplace le traitement dénommé Greffe, est l’enregistrement, la gestion et le suivi des dossiers contentieux traités par la DAJ, qui a notamment pour mission de représenter les ministres de l’éducation nationale et de l’enseignement supérieur et de la recherche devant les juridictions.
A titre d’illustration, sont ainsi concernés les litiges opposant des personnels enseignants à leur hiérarchie au sujet de décisions de mutations et de notation administrative ou pédagogique ainsi que les recours des responsables légaux d’un élève contestant la décision d’orientation de celui-ci prononcée par la commission d'appel, conformément à l’article D.331-35 du code de l’éducation. En revanche, en application de l’article 5 du décret n° 2014-133 du 17 février 2014 susvisé, sont exclus des contentieux suivis par la DAJ ceux relatifs aux pensions ou relevant de la compétence des services déconcentrés de l’éducation nationale.
Aux fins de gestion et de suivi desdits contentieux, SWAG permet l’affectation des recours à un rédacteur ainsi que l’enregistrement des recours contentieux, de tous les documents qui y sont associés tels que, par exemple, les pièces de procédure ou la décision juridictionnelle, et des dates des différents échanges relatifs à un dossier.
En pratique, l’application SWAG permet de créer des fiches de suivi des contentieux contenant des informations générales sur un dossier, sélectionnées à partir de menus déroulants. Sont également annexés à ces fiches tous les documents utiles concernant le fond du litige.
L’application SWAG permet également de gérer les délais par la mise en place de rappels, de générer des courriers type et d’envoyer des courriers électroniques.
SWAG est en outre destiné à faciliter les recherches sur les précédents à partir d’un classement thématique des affaires. Le traitement doit ainsi permettre aux nouveaux agents de prendre connaissance des informations de contexte nécessaires à certains contentieux récurrents, étant précisé que l’application ne permet pas d’effectuer des recherches dans les documents en format « pdf ».
A cet égard, la Commission relève qu’outre les contentieux gérés par la DAJ, sont enregistrées dans l’application SWAG les décisions de justice qui, en application des dispositions de l’article R. 751-8 du code de justice administrative, doivent être notifiées au ministre de l’éducation nationale et à l’autorité qui en assure la défense devant la juridiction administrative.
Enfin, ce traitement, qui permet d’établir des tableaux de bord et d’éditer des statistiques, constitue un outil de pilotage de l’activité contentieuse de la DAJ.
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Dans la mesure où des données à caractère personnel relatives à des infractions, condamnations ou à des mesures de sûreté au sens de l’article 9 de la loi du 6 janvier 1978 modifiée peuvent être enregistrées dans SWAG, ce traitement est soumis à autorisation de la Commission, en application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée.
Selon le ministère, SWAG poursuivant d’autres finalités que celle de préparer, d'exercer et de suivre une action disciplinaire ou un recours en justice et, le cas échéant, de faire exécuter la décision rendue, il ne peut faire l’objet d’un engagement de conformité à  l’autorisation unique des traitements de données à caractère personnel mis en œuvre par les organismes publics et privés pour la préparation, l'exercice et le suivi de leurs contentieux ainsi que l'exécution des décisions rendues (AU-46) du 14 janvier 2016 et doit dès lors faire l’objet d’une autorisation ad hoc de la Commission.
Sur les données traitées
Outre les différentes informations relatives à la procédure contentieuse concernée, plusieurs catégories de données à caractère personnel sont enregistrées dans SWAG, concernant les requérants et les personnels utilisant l’application (agents de la DAJ).
Il s’agit, en premier lieu, de données relatives à l’identité et à la vie professionnelle (fonction, corps d’appartenance, catégorie) des personnels chargés du suivi d’une procédure et des parties au litige.
En second lieu, sont enregistrées dans SWAG toutes les pièces d’une procédure, de sorte que le traitement est susceptible de contenir des données relatives à des infractions, condamnations ou à des mesures de sûreté, au sens des articles 9 et 25-I-3° de la loi « Informatique et libertés », ainsi que des données faisant apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci, au sens de l’article 8 de ladite loi.
La Commission relève que le ministère de l’éducation nationale constitue une autorité publique, agissant dans le cadre de ses attributions légales et est, dès lors habilité, conformément à l’article 9-1° de la loi précitée, à mettre en œuvre un traitement portant sur de telles données. Le traitement SWAG ayant pour objet la gestion et le suivi du contentieux intéressant le ministère, de telles données sont nécessaires au regard des finalités poursuivies.
En ce qui concerne les données « sensibles », la Commission rappelle que, conformément à l’article 8-I-5° de la loi du 6 janvier 1978 modifiée, de telles données peuvent être collectées lorsqu’elles sont nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice, comme cela est le cas en l’espèce.
Au regard de ces éléments, la Commission estime que les données enregistrées dans le traitement sont adéquates, pertinentes, et non excessives au regard des finalités poursuivies, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes accédant directement aux données et informations enregistrées dans SWAG sont, dans la limite de leurs attributions respectives et du besoin d’en connaître, les personnels dûment habilités de la DAJ.
Dans les cas où le ministère doit prendre en charge, pour l’appel et la cassation, un dossier traité, en première instance, par une académie, des échanges de documents liés à ce contentieux peuvent avoir lieu. Ainsi, des personnels dument habilités des académies peuvent être destinataires de certaines données enregistrées dans SWAG.
Ces accédants et destinataires n’appellent pas d’observations particulières de la Commission.
Sur l’information et le droit d’accès
Les droits d’accès, de rectification et d’opposition pour motifs légitimes, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès de la DAJ. Ces modalités d’exercice des droits des personnes concernées n’appellent pas d’observation particulière de la Commission.
En ce qui concerne l’information des personnes concernées, le responsable de traitement a indiqué que, compte tenu du fait que les données sont recueillies de manière indirecte et que le traitement porte sur un nombre élevé de personnes, informer les personnes concernées constituerait un effort disproportionné, dans la mesure où le ministère ne dispose pas toujours des coordonnées des parties au litige. Dès lors, selon le ministère, les dispositions de l’article 32-III de la loi du 6 janvier 1978 modifiée s’appliqueraient au traitement SWAG.
A cet égard, la Commission rappelle que l’information des personnes concernées, prévue à l’article 32 de la loi « Informatique et Libertés » peut être faite selon des modalités variées dès lors qu’elles sont de nature à garantir l’effectivité de cette information. Ainsi, lorsque l’information individuelle des personnes concernées n’est pas possible ou exige un effort disproportionné par rapport à l’intérêt de la démarche, une information générale peut néanmoins être prévue telle que, par exemple, une mention sur le site internet du responsable de traitement.
Concernant le traitement SWAG, la Commission estime que des mentions informatives doivent être insérées dans les courriers ou courriels types générés par l’application dès lors qu’ils ont vocation à être envoyés aux personnes concernées par le traitement.
Elle considère que les dispositions de l’article 32-III de la loi précitée relatives à l’exonération de l’obligation d’information, lorsque celle-ci s’avère impossible ou exige un effort disproportionné, ne peuvent s’appliquer qu’aux seules personnes avec lesquelles le responsable de traitement n’aura aucun contact durant la gestion et le suivi du contentieux les concernant.
La Commission demande dès lors à ce que le ministère procède aux modifications nécessaires du traitement.
Sur les mesures de sécurité
Afin de définir les mesures nécessaires pour assurer la sécurité de l’application SWAG, le responsable de traitement a réalisé une étude des risques intégrant à la fois les aspects relatifs à la sécurité des systèmes d’informations et ceux relatifs à la protection de la vie privée à l’aide de la méthode proposée par la Commission, ce qui démontre son souci de prendre en compte la protection de la vie privée.
La Commission relève que des mesures de sécurité logique et physique sont mises en œuvre pour préserver la sécurité des données enregistrées dans le traitement.
Le responsable de traitement met en œuvre la Politique de sécurité des systèmes d’information de l’État (PSSIE).
Les services web sont sécurisés au moyen du protocole HTTPS qui est utilisé pour chiffrer les échanges, sur le réseau, contenant les dossiers contentieux. La Commission rappelle qu’il convient d’utiliser la version de ce protocole la plus à jour possible.
Un mécanisme de chiffrement est également mis en œuvre pour assurer la sécurité des dossiers joints aux courriers électroniques échangés avec les académies.
S’agissant de la politique des mots de passe, la Commission rappelle qu’elle a émis, à cet égard, plusieurs recommandations, dans sa délibération n° 2017-012 du 19 janvier 2017. Elle demande au ministère de procéder aux éventuelles modifications nécessaires afin de se mettre en conformité avec les recommandations de la Commission.
Des sauvegardes quotidiennes sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Des profils d’habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d’accès sont supprimées pour tout utilisateur n’étant plus habilité.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Outre le temps nécessaire à la gestion d’un litige, l’ensemble des données et information relatives à celui-ci enregistré dans SWAG (fiche de suivi et documents annexés) est conservé, en base active, trois ans à compter de la date de la décision juridictionnelle définitive intervenue dans ledit litige.
Le responsable de traitement a indiqué que cette durée doit permettre aux agents de la DAJ de consulter et traiter le dossier lorsqu’une difficulté d’exécution de la décision juridictionnelle survient ainsi que de disposer d’un historique des procédures relevant d’une même thématique.
La Commission estime que le seul fait de pouvoir retrouver un dossier pour lequel une difficulté d’exécution de la décision définitive se présenterait ne constitue pas à lui seul un motif suffisant pour justifier d’une telle durée de conservation en base active.
Toutefois, dans la mesure où l’une des finalités de SWAG est d’offrir un outil de recherche des précédents pour assurer un traitement homogène des procédures et former les nouveaux agents sur des questions juridiques récurrentes, la Commission considère que cette durée de conservation en base active n’excède pas la durée nécessaire aux finalités poursuivies par le traitement.
Le responsable de traitement a en outre précisé que, à l’issue de cette durée de conservation en base active, les données seraient versées dans une base d’archives intermédiaires pour une nouvelle durée de trois ans.
La Commission considère que cette durée, pour laquelle le ministère n’a pas apporté d’éléments de justification suffisants, n’est pas conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Elle demande dès lors que, à l’expiration de la durée de conservation en base active, les données à caractère personnel enregistrées dans SWAG soient supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Autorise, conformément à la présente délibération, le ministère de l’éducation nationale à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS