La Commission nationale de l'informatique et des  libertés,
Saisie par la Direction des Services Départementaux de   l'Education Nationale de Meurthe-et-Moselle d'une demande  d'autorisation concernant un traitement automatisé de données à caractère  personnel ayant pour finalité la gestion et le suivi de l'absentéisme  scolaire ;
Vu la convention n° 108 du Conseil de l'Europe pour la  protection des personnes à l'égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du  Conseil du 24 octobre 1995 relative à la protection des personnes physiques à  l'égard du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le code de l'éducation, notamment ses articles L. 131-8,    R. 131-6 et R. 131-7 ;
Vu le code pénal, notamment son article R. 624-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l'informatique, aux fichiers et aux libertés, notamment les 1°, 3° et 7° de  son article 25-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié  pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à  l'informatique, aux fichiers et aux libertés ;
Vu la circulaire interministérielle n° 2014-159 du 24    décembre 2014 relative à la prévention de l'absentéisme scolaire ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et  Mme Nacima BELKACEM,  commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Direction des Services Départementaux de l'Éducation Nationale de la Meurthe-et-Moselle (DSDEN 54) a saisi la Commission d'une demande d'autorisation portant sur un traitement destiné à permettre  la gestion et le suivi de l'absentéisme scolaire  au sein des écoles et établissements d'enseignement du second degré, publics et privés sous contrat, dudit département ainsi qu'au sein de la DSDEN elle-même. Le traitement comporte une application informatique, développée par la DSDEN, ainsi que des rapports confidentiels de personnels psycho-médico-sociaux de l'éducation nationale. La DSDEN 54, qui a déterminé les finalités et moyens de mise en œuvre du traitement, est le responsable de traitement.
Le traitement étant susceptible de contenir des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 susvisée, des données relatives aux infractions dont elles peuvent être l'auteur, ainsi que des données comportant des appréciations sur les difficultés sociales des personnes, il doit, conformément aux dispositions des 1°, 3° et 7° de l'article 25-I de ladite loi du 6 janvier 1978, être autorisé par la Commission.
Sur les finalités du traitement :
La DSDEN 54 souhaite mettre en œuvre, au sein de son ressort de compétence, un traitement de données à caractère personnel destiné au suivi de l'absentéisme scolaire composé d'une application permettant d'assurer ce suivi de façon dématérialisée et de rapports confidentiels établis par des personnels psycho-médico-sociaux non enregistrés dans l'application.
La lutte contre l'absentéisme scolaire est régie par les articles susvisés du code de l'éducation. Dès lors qu'un élève a manqué la classe plus de quatre demi-journées dans le mois sans motif légitime, au sens de l'article L. 131-8 du code de l'éducation, ou excuses valables, au sens de l'article R. 131-7 dudit code, le directeur d'école ou le chef d'établissement doit réunir les membres concernés de l'équipe éducative, dans le premier degré, ou de la commission éducative, dans le second degré, afin de proposer les mesures qui peuvent être prises pour remédier à cet absentéisme. Parallèlement à ces actions, le directeur de l'école ou le chef d'établissement doit saisir le Directeur Académique des Services de l'Education Nationale (DA-SEN) du dossier de l'élève absentéiste afin que ce dernier adresse un avertissement à la famille de l'élève. Cet avertissement peut s'accompagner d'une convocation de la famille à un entretien avec le DA-SEN au cours duquel sont abordés les enjeux de l'assiduité scolaire et les difficultés qui peuvent être rencontrées par l'élève. Le DA-SEN peut également proposer des dispositifs d'accompagnement. Enfin, en ultime recours, dans l'hypothèse où l'absentéisme se poursuivrait malgré toutes les mesures d'accompagnement proposées, le procureur de la République peut être saisi des faits susceptibles d'être constitutifs de l'infraction prévue à l'article R. 624-7 du code pénal.
Ces dispositions prévoient ainsi une action coordonnée des personnels de l'école ou de l'établissement scolaire dans lequel l'élève absentéiste est inscrit et du DA-SEN, ainsi qu'une circulation des informations relatives au suivi d'un élève et de sa famille.
Dans ce contexte, l'application créée par la DSDEN 54 a pour objectif d'inciter les directeurs et chefs d'établissement à mettre en œuvre un véritable accompagnement des élèves absentéistes et de leur famille en harmonisant et simplifiant les procédures de suivi de ces personnes. À cet égard, l'application permet notamment de générer des courriers types (courrier d'avertissement, courrier de convocation à un entretien) et des documents de contractualisation avec la famille, destinés à récapituler les mesures d'accompagnement mises en œuvre et à formaliser l'adhésion de la famille à celles-ci. En outre, elle doit également permettre à la DSDEN 54 de disposer d'une vue d'ensemble sur les mesures d'accompagnement proposées aux élèves absentéistes, afin de mieux piloter la prise en charge du défaut d'assiduité dans son ressort de compétence.
Cette application doit ainsi permettre un meilleur suivi en temps réel des actions et mesures d'accompagnement menées tant au niveau de l'établissement dans lequel est scolarisé l'élève qu'au niveau académique. Les rapports confidentiels, non enregistrés dans l'application, sont quant à eux destinés à apporter une connaissance précise de la situation de l'élève et des difficultés qu'il rencontre, celles-ci pouvant être une des causes de son absentéisme.
Le traitement poursuit également une finalité statistique, qui permet au responsable de traitement d'apprécier l'efficacité des mesures d'accompagnement mises en place pour lutter contre l'absentéisme scolaire et de mieux orienter les actions à mener en la matière.
La Commission considère dès lors que les finalités du traitement projeté par la DSDEN 54, qui permettent la mise en œuvre effective de la procédure de lutte contre l'absentéisme prévue par le code de l'éducation, sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données traitées concernent les élèves ayant manqué la classe sans motif légitime ni excuses valables, au moins quatre demi-journées complètes dans une période d'un mois, et faisant donc l'objet d'un suivi dans le cadre de la lutte contre l'absentéisme scolaire. Des données concernant leurs représentants légaux ainsi que leurs frères et sœurs sont également susceptibles d'être collectées.
Les données personnelles concernant un élève absentéiste sont relatives à :
-       son identité,
-       son adresse,
-       sa date et son lieu de naissance,
-       ses retards scolaires,
-       les causes de ses absences,
-       des renseignements sur son comportement pendant le temps scolaire et hors temps scolaire (hors temps de classe, mais lors de sa présence dans l'école ou l'établissement),
-       la saisine du procureur afin de lui signaler les faits susceptibles d'être constitutifs de l'infraction prévue à l'article R. 624-7 du code pénal.
En ce qui concerne les  causes des absences , peuvent être enregistrées les excuses avancées par les représentants légaux mais qui n'ont pas été admises au titre des excuses valables, au sens du code de l'éducation, ainsi que les hypothèses sur les causes des absences formulées par les personnels chargés de la mise en œuvre du traitement.
Au titre de la catégorie  comportement pendant et hors temps scolaire , sont collectées des données et informations relatives à l'attitude de l'élève, telles que des faits de violence physique ou verbale, des transgressions du règlement intérieur de l'école, ou encore son attitude face aux adultes.
La Commission relève que les dispositions relatives à la lutte contre l'absentéisme scolaire impliquent de prendre en considération les différents facteurs d'ordre scolaire, médical, social ou familial à l'origine de celui-ci et de mettre en œuvre des mesures éducatives et pédagogiques adaptées à la situation personnelle de l'élève. Elle prend acte que ces données et informations relatives aux causes des absences et au comportement pendant et hors temps scolaire sont destinées à répondre à cet objectif.
A cet égard, elle constate que le responsable de traitement n'a pas sollicité l'autorisation de la Commission pour que soient directement enregistrées, dans l'application, des données sensibles. La DSDEN a indiqué que seuls les professionnels psycho-médico-sociaux sont susceptibles de traiter de telles données, dans le cadre des rapports confidentiels qu'ils établissent.
Dès lors, la Commission rappelle que, si l'analyse des causes des absences et du comportement de l'élève repose nécessairement sur des critères subjectifs, le responsable de traitement doit veiller à ce que ne soient pas enregistrées, dans l'application, des mentions inappropriées sur les personnes concernées ou attentatoires à leur vie privée et des données sensibles au sens de l'article 8 de la loi  Informatique et Libertés , en particulier pour les zones de commentaires libres qui peuvent être remplies par les personnels chargés de la mise en œuvre du traitement, tant au niveau local (école/établissement) qu'au niveau départemental.
À cet égard, elle rappelle que ces champs ne doivent être renseignés que lorsque cela est strictement nécessaire et que les agents susceptibles de remplir ces zones doivent recevoir l'information suivante :
seules doivent être saisies les informations pertinentes au regard du contexte. Elles ne doivent pas faire apparaître, directement ou indirectement, l'appartenance ou la non-appartenance, vraie ou supposée, à une ethnie, une nation, une prétendue race ou une religion déterminée, les opinions politiques ou philosophiques, les appartenances syndicales ou les mœurs  de la personne ou être relatives à la santé ou à la vie
sexuelle de celle-ci. Les personnes concernées ont un accès à ces champs libres
Les informations relatives à la saisine du Procureur et au comportement de l'élève peuvent en outre être constitutives de données relatives aux infractions, au sens des articles 9 et 25-I-3° de la loi du 6 janvier 1978 modifiée. La Commission relève que la DSDEN constitue une personne morale de droit public gérant un service public et est dès lors habilitée, conformément à l'article 9-1° de la loi précitée, à mettre en œuvre un traitement portant sur de telles données. En ce qui concerne les données d'infraction pouvant résulter de la description du comportement de l'élève pendant et hors temps scolaire, la Commission considère qu'elles sont justifiées, d'une part, par la nécessité de prendre en compte l'ensemble des facteurs pouvant être à l'origine de l'absentéisme et, d'autre part, par le besoin de proposer des mesures d'accompagnement adaptées au comportement de l'élève. En ce qui concerne les données relatives à l'infraction de manquement à l'obligation d'assiduité scolaire dont le procureur de la République peut être saisi, l'article R. 131-7 du code de l'éducation prévoit la possibilité d'une telle saisine dans le cadre du dispositif de lutte contre l'absentéisme.
En outre, différents intervenants scolaires - médecins ou infirmiers scolaires, assistants sociaux scolaires, conseillers d'orientation-psychologues (COP) - peuvent être amenés à rencontrer l'élève et à établir des rapports sur sa situation sociale, sur son état psychologique ou de santé. Ces rapports peuvent dès lors contenir des appréciations sur les difficultés sociales des personnes, des données relatives à leur santé ou d'autres données sensibles, au sens de l'article 8 de la loi  Informatique et Libertés . Toutefois, ils sont confidentiels, ne sont transmis qu'aux professionnels psycho-médico-sociaux de la DSDEN et ont pour objectif d'apporter une connaissance précise de la situation de l'élève et des difficultés qu'il rencontre, celles-ci pouvant être une des causes de l'absentéisme scolaire. Ces personnels participant à des réunions de commission dédiées à la lutte contre l'absentéisme scolaire, ils peuvent ainsi apporter leur éclairage sur la situation de l'élève et leur avis sur les mesures adéquates à proposer. Le traitement, par ces seuls personnels, de données sensibles relatives aux élèves ou à leur famille et de données comportant des appréciations sur les difficultés sociales des personnes est dès lors justifié par l'intérêt public de lutter contre l'absentéisme scolaire et la nécessité de proposer des mesures d'accompagnement adéquates.
La Commission relève que ces données et informations ne sont pas enregistrées dans l'application développée par la DSDEN 54. Ainsi, la transmission de ces rapports se fait soit au format papier, sous pli confidentiel, soit par voie électronique, sur les messageries professionnelles sécurisées des agents concernés. La Commission rappelle que seuls ces personnels, individuellement désignés et spécialement habilités, doivent avoir connaissance des données sensibles et des appréciations sur les difficultés sociales des familles, à l'exclusion des autres personnels chargés de la mise en œuvre du traitement.
Le traitement de la DSDEN 54 contient également des informations relatives au suivi de l'élève, aux mesures d'accompagnement mises en œuvre et aux éventuelles sanctions. Il s'agit de mentions dans l'application relatives :
-       à la tenue d'entretiens entre le chef d'établissement ou le CPE et l'élève ou ses parents (mention oui/non),
-       à la date de ces entretiens,
-       aux propositions faites pour améliorer l'assiduité,
-       à l'existence et la date de rapports du COP, de l'assistant social scolaire ou du médecin/infirmier scolaire,
-       à la nature des mesures pédagogiques, éducatives ou de soins mises en place (sans mention relative à la nature d'une pathologie ou d'un handicap),
-       à la date de l'avertissement écrit envoyé aux responsables légaux,
-       à la nature et la date de la procédure disciplinaire,
-       à l'existence d'une demande de suspension ou de suppression des bourses, en application des articles D. 531-12 et R. 531-31 du code de l'éducation.
La Commission rappelle que les informations relatives aux rapports des COP, assistants sociaux ou personnels de santé scolaires, enregistrées dans l'application, ne doivent pas contenir d'éléments relatifs au contenu de ces rapports qui sont confidentiels.
Les données concernant les représentants légaux des élèves absentéistes et leur fratrie qui peuvent être enregistrées dans le traitement sont relatives à leur(s) :
-       identité,
-       coordonnées,
-       activité professionnelle pour les représentants légaux,
-       établissement scolaire pour les frères et sœurs,
-       positionnement face aux absences de l'enfant.
Ces données sont destinées à connaître l'entourage proche de l'élève et à le prendre en compte dans les mesures d'accompagnement proposées. La Commission rappelle qu'elles ne doivent toutefois pas être systématiquement renseignées dans l'application et que leur traitement doit être limité aux situations qui le nécessitent au regard du bon suivi de l'élève absentéiste.
Dans ces conditions et sous réserve du respect des observations précédemment formulées, la Commission relève que les données enregistrées dans l'application sont adéquates, pertinentes et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée dès lors qu'elles sont nécessaires à la mise en œuvre d'un dispositif de lutte contre l'absentéisme scolaire.
Sur les durées de conservation des données :
Conformément à l'article R. 131-6 du code de l'éducation, les données enregistrées dans l'application ainsi que celles traitées au format papier sont conservées, en base d'archives courantes, pendant la durée de l'année scolaire. Dans le cas où l'élève ferait l'objet du même suivi l'année suivante, un nouveau dossier est créé. Le responsable de traitement a indiqué qu'à l'issue de l'année scolaire, les dossiers ouverts pendant celles-ci sont versés dans une base d'archives intermédiaires, qui n'autorise qu'un accès en consultation des données aux personnes spécifiquement habilitées, et y sont conservés pendant un an.
Les données traitées de manière dématérialisée et contenues dans la base d'archives intermédiaires sont supprimées par un programme déclenché par le responsable de l'application à la fin de l'année scolaire suivante. Les données conservées au format papier sont quant à elles détruites manuellement, grâce à une broyeuse.
La Commission rappelle que la DSDEN 54, en tant que responsable de traitement, doit veiller à ce que les mesures destinées à assurer une destruction sécurisée des données sont effectivement mises en œuvre.
La Commission considère que les durées de conservation prévues n'excèdent pas celles nécessaires aux finalités pour lesquelles elles ont été collectées et traitées, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires des données :
Accèdent directement à l'application :
-       dans le premier degré : le directeur de l'école,
-       dans le second degré : le chef d'établissement, son adjoint et la personne en charge du suivi de l'absentéisme (généralement le conseiller principal d'éducation - CEP),
-       à la DSDEN : le DA-SEN et le conseiller technique auprès de celui-ci.
Ces personnels sont ceux qui, en application des dispositions du code de l'éducation, sont en charge du suivi de l'absentéisme scolaire. La Commission estime dès lors qu'ils sont légitimes à accéder à l'application mise en œuvre par la DSDEN 54. Elle rappelle que les personnels sociaux et de santé de l'établissement et les COP, qui établissent des rapports confidentiels, n'ont pas d'accès direct à l'application, mais participent à la mise en œuvre du dispositif et constituent à ce titre des personnels chargés de la mise en œuvre du traitement légitimes à connaître des données, dans la limite de leurs attributions. Dans ces conditions, la Commission considère que les données et informations qu'ils traitent pour le suivi des élèves absentéistes font partie du traitement dont la DSDEN 54 est responsable.
Les destinataires des données contenues dans le traitement sont :
-       la cellule de protection de l'enfance du Conseil départemental, qui peut être saisie par un travailleur social de l'Éducation nationale, selon le cadre fixé par un protocole d'accord entre la DSDEN 54 et le Conseil départemental de Meurthe-et-Moselle,
-       le procureur de la République, en cas de signalement.
Concernant le premier destinataire, la Commission relève qu'aux termes de l'article L. 131-8 du code de l'éducation, les autorités concernées par la protection de l'enfance sont informées des mesures prises dans l'établissement scolaire contre l'absentéisme et le décrochage scolaire. Elle rappelle que la transmission de certaines données à de tels partenaires ne peut pas avoir d'effet sur le versement des prestations sociales dont peuvent bénéficier les familles. Concernant le second destinataire, la Commission constate qu'il s'agit de l'autorité devant être saisie en cas d'absentéisme persistant, conformément à ladite disposition. Dès lors, elle estime que les destinataires du traitement de la DSDEN 54 ont un intérêt légitime à connaître les données enregistrées.
Sur l'information et les droits des personnes :
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par des mentions portées sur les documents envoyés aux responsables légaux ou signés par ceux-ci. La Commission rappelle que les personnes concernées doivent être informées dès l'enregistrement de leurs données.
À cet égard, elle constate que suivant ses recommandations, la DSDEN 54 a indiqué qu'elle travaillait à intégrer la mention informative au sein des règlements intérieurs de l'ensemble des écoles et établissements scolaires concernés. La Commission prend acte de cet engagement de nature à renforcer l'accessibilité de l'information des personnes concernées.
Concernant les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi  Informatique et libertés , ils s'exercent soit auprès du directeur de l'école ou du chef d'établissement dans lequel l'élève est scolarisé, soit auprès du chef de la division du second degré et de l'organisation scolaire de la DSDEN 54.
La Commission estime que les modalités d'exercice de ces droits, qui facilitent leur mise en œuvre en offrant un recours auprès de l'entité la plus proche des personnes concernées, sont satisfaisantes.
Le traitement répondant à l'obligation légale de mettre en œuvre un dispositif de suivi et de lutte de l'absentéisme scolaire, le droit d'opposition ne s'applique pas, conformément aux dispositions de l'article 38 de ladite loi.
Sur la sécurité des données et la traçabilité des actions :
L'authentification des utilisateurs de l'application est assurée par l'utilisation d'un identifiant - adresse électronique académique - et d'un mot de passe composé d'au moins huit caractères et contenant nécessairement des minuscules, majuscules et chiffres.
Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du présent traitement.
L'application est développée sur les serveurs du réseau interne du rectorat, ceux-ci faisant l'objet d'un certain nombre de mesures de sécurité visant à garantir la confidentialité des données y transitant. La Commission rappelle que toutes les transmissions de données doivent s'effectuer de façon sécurisée. Elle considère que, pour chaque transfert de données, des mesures devront ainsi assurer la confidentialité et l'authentification des acteurs concernés.
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d'identifier l'utilisateur à l'origine d'une opération. La Commission rappelle que les données de journalisation doivent être conservées pendant une durée de six mois glissants à compter de leur enregistrement, puis détruites.
En ce qui concerne les rapports confidentiels au format papier, le responsable de traitement a indiqué qu'ils étaient conservés au sein de bureaux de l'inspection académique, fermés à clé. La Commission rappelle que les meubles contenant ces rapports doivent également être sécurisés.
Sous réserve du respect des éléments précités, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la DSDEN 54 à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi de l'absentéisme scolaire.
La Présidente
I. FALQUE-PIERROTIN