La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche d'une demande d'avis concernant un projet d'arrêté portant généralisation du traitement automatisé de données à caractère personnel dénommé  livret scolaire du lycée  (LSL) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le  code de l'éducation, notamment ses articles D. 334-10 et D. 336-10 ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 13 octobre 2014 portant création d'un traitement automatisé de données à caractère personnel intitulé  livret scolaire du lycée  (LSL) pour le baccalauréat série  sciences et technologies de la santé et du social (ST2S)  en classe de première pour l'année scolaire 2013-2014 et en classe de terminale pour l'année scolaire 2014-2015 ;
Vu la  délibération n° 2014-304 du 10 juillet 2014 portant avis sur un projet d'arrêté portant création à titre expérimental d'un traitement automatisé de données à caractère personnel intitulé  livret scolaire du lycée  (LSL) ;
Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie, par le ministère en charge de l'éducation nationale, d'une demande d'avis portant sur un projet d'arrêté relatif à la généralisation du traitement automatisé de données à caractère personnel dénommé  livret scolaire du lycée  (LSL).
Dans la mesure où le traitement automatisé de données à caractère personnel relatif à la dématérialisation du livret scolaire du lycée, mis en œuvre pour le compte de l'Etat, met à disposition des usagers un téléservice de l'administration électronique, il relève des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par arrêté ministériel, pris après avis motivé et publié de la commission.
Le présent projet d'arrêté vise notamment à abroger l'arrêté du 13 octobre 2014 susvisé, pris après l'avis de la commission en date du 10 juillet 2014, qui a créé le traitement LSL, destiné à être expérimenté pour une filière du baccalauréat technologique, dans quatre académies. Ainsi que la commission l'avait demandé dans son avis, un bilan de cette expérimentation lui a été transmis.
Le ministère souhaite désormais autoriser la généralisation progressive, au niveau national, du traitement LSL à l'ensemble des filières des baccalauréats généraux, technologiques et professionnels, à l'exception de la filière  sciences et technologies de l'agronomie et du vivant , qui dépend du ministère de l'agriculture, de l'agroalimentaire et de la forêt, et de la filière  technique de la musique et de la danse , qui n'utilise pour le moment pas de livret scolaire.
Dès lors, compte tenu du changement d'échelle envisagé, du nombre et de la qualité des personnes concernées par le traitement, il convient de porter une attention particulière à la proportionnalité du dispositif, notamment au regard de la durée de conservation retenue, des droits des personnes concernées et des mesures de sécurité mises en œuvre.
Sur les finalités du traitement :
Conformément aux articles  D. 334-10 et  D. 336-10 du code de l'éducation, le livret scolaire du lycée contient, pour chaque enseignement, les évaluations chiffrées obtenues durant les classes de première et de terminale pour les filières générales et technologiques et pour les trois années précédant l'examen s'agissant des filières professionnelles, les évaluations des compétences en référence aux programmes d'enseignement, les appréciations des professeurs sur le niveau d'implication et la progression de l'élève ainsi que l'avis de l'équipe pédagogique en vue de l'examen du baccalauréat. Il a pour objet d'offrir aux jurys des différents baccalauréats une aide à l'évaluation et à l'appréciation des candidats.
Dans ce cadre, le traitement LSL, qui permet la dématérialisation du livret actuellement sous format papier, a pour finalité première  l'aide à l'évaluation et à l'appréciation des candidats pour les jurys des baccalauréats . Cette dématérialisation doit permettre de faciliter le travail de saisie, par les personnels enseignants et administratifs, des informations contenues dans le livret scolaire et, via des échanges interapplicatifs, de limiter les risques d'erreur de retranscription de ces informations. Elle vise également, selon le ministère, à réaliser des économies budgétaires en réduisant considérablement le nombre de livrets au format papier.
La commission relève que LSL permet ainsi une simplification et une modernisation des outils d'aide à l'évaluation et à l'appréciation des jurys des baccalauréats.
Le projet d'arrêté prévoit que LSL a également pour finalité d'offrir un téléservice facultatif aux élèves et à leurs responsables légaux, leur permettant de consulter le livret scolaire du lycée et, une fois les délibérations des jurys d'examen du baccalauréat clôturées, de disposer du livret sous format numérique. Le téléservice LSL permettra ainsi aux élèves et à leurs responsables légaux de bénéficier de délais satisfaisants pour prendre connaissance du livret.
La commission rappelle qu'elle a toujours considéré que la simplification des démarches administratives et l'amélioration des relations entre les administrés et l'administration constituent des finalités légitimes, sous réserve que des mesures de sécurité appropriées soient prévues et que les droits des personnes soient respectés.
Enfin, le LSL a une finalité statistique. Il doit en effet permettre la mise en place d'un outil de pilotage pédagogique permettant d'étudier les corrélations entre les performances des élèves, les notes obtenues pendant le cycle terminal et les orientations proposées au candidat dans l'enseignement supérieur. Les livrets, occultés des éléments nominatifs relatifs aux lycéens, sont ainsi versés dans une base de données nationale à laquelle ont accès les agents habilités des services statistiques académiques et du service statistique ministériel.
La commission prend acte que, à sa demande, le ministère s'est engagé à ce que cette finalité statistique soit expressément mentionnée dans le projet d'arrêté.
La commission considère que les finalités du LSL sont déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données enregistrées :
Les données à caractère personnel enregistrées dans LSL sont relatives aux élèves, aux personnels des lycées (chef d'établissement, conseiller principal d'éducation, enseignant et, le cas échéant, chef de travaux), aux président et vice-président du jury du baccalauréat et, pour les lycées professionnels, du diplôme intermédiaire associé, ainsi qu'au responsable des périodes de formation en milieu professionnel (PFMP) dans les entreprises accueillant des élèves des filières professionnelles.
Concernant les élèves, sont enregistrées des données et informations relatives à l'identité (notamment l'identifiant national) ; aux établissements fréquentés depuis la classe de sixième ; au détail de la scolarité de l'élève en classes de première et terminale (spécialité, détail des enseignements obligatoires, spécifiques, facultatifs) ; à l'évaluation chiffrée ; aux compétences attendues ; aux appréciations générales sur le niveau d'implication et les progrès de l'élève et, le cas échéant, sur les périodes de stage ; aux engagements et responsabilités de l'élève au sein de l'établissement ; à la délivrance du brevet informatique et internet  lycée  ; à l'avis de l'équipe pédagogique et aux éventuelles observations du chef d'établissement en vue de l'examen du baccalauréat.
En outre, il est prévu d'enregistrer les éventuelles sanctions disciplinaires prononcées par la commission de discipline du baccalauréat assorties d'une inscription au livret scolaire en application de l' article D. 334-32 du code de l'éducation, le détail des motifs de ces sanctions n'étant pas traité.
Le livret scolaire contient des zones de commentaires libres pour permettre la saisie des appréciations. A cet égard, afin d'éviter la saisie de mentions subjectives ou excessives, le projet d'arrêté précise que  les données à caractère personnel collectées ne font directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des élèves ou de leurs responsables légaux, ou qui sont relatives à la santé ou à la vie sexuelle de ceux-ci .
Les données et informations relatives à l'élève permettant au jury du baccalauréat d'avoir une vue d'ensemble des connaissances, compétences, progrès et implication d'un candidat sur la période de scolarité concernée par cet examen, la commission considère qu'elles sont adéquates, pertinentes et non excessives, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Pour les autres catégories de personnes concernées, seules des données relatives à l'identité et, le cas échéant, à l'enseignement dispensé sont enregistrées. Ces données n'appellent pas d'observations particulières de la part de la commission.
Sur la durée de conservation :
L'article 9 du projet d'arrêté prévoit que les données et informations sont conservées cinq ans à compter de la fin de la scolarité de l'élève dans l'enseignement du second degré, à l'exception des mentions relatives aux sanctions qui sont effacées au terme de la période d'interdiction prononcée ou au terme d'un an après leur prononcé. Les traces de consultation du téléservice sont également conservées pendant cinq ans à compter de leur enregistrement.
Néanmoins, la commission prend acte que, à sa demande, le ministère s'est engagé à modifier cette durée de conservation qui n'apparaît pas conforme aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Ainsi, les données seront conservées, en base active, pendant deux mois après la proclamation des résultats du baccalauréat. A l'issue de cette durée de conservation, les données seront versées dans une base d'archives intermédiaire, hébergée par chaque académie, et conservées pendant six mois supplémentaires, à des fins probatoires dans le cadre d'éventuels contentieux. A l'expiration de cette période de six mois, les données seront supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du  code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
S'agissant des sanctions, il est prévu que les données relatives au blâme et à la privation de mention seront effacées au terme d'une période maximale d'un an après leur prononcé. Dans le cas des autres sanctions, l'effacement interviendra au terme de la période d'interdiction qui est prononcée. La commission rappelle que, en toute hypothèse, ces données ne pourront être conservées, tant en base active qu'en base d'archives intermédiaire, au-delà des durées précitées, sans préjudice des dispositions prévues par le  code du patrimoine.
En ce qui concerne les traces de consultation du téléservice, elles seront conservées huit mois à compter de la proclamation des résultats.
Le ministère a également indiqué que, pendant les deux mois suivant la proclamation des résultats, l'élève aura accès à son livret scolaire définitif grâce au téléservice LSL et pourra ainsi le télécharger et l'imprimer afin d'en conserver une copie. A l'issue de la durée de conservation en base active, les usagers du téléservice n'auront plus accès à leur compte.
La commission prend acte que l'élève sera informé, par le chef d'établissement, de la date limite d'accès au téléservice. Elle rappelle en outre que les élèves qui ne souhaiteraient pas utiliser le téléservice facultatif, ou dont l'établissement ne le mettrait pas à disposition de ses usagers, devront recevoir une version papier de leur livret définitif, au moment de la proclamation des résultats.
Sous réserve que l'article 9 du projet d'arrêté soit modifié sur ces points, la commission considère que les durées et modalités de conservation des données traitées dans LSL sont conformes à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les personnes accédant aux données et les destinataires :
Les élèves et leurs responsables légaux accèdent aux données et informations qui les concernent, dès lors qu'il s'agit de l'une des finalités du traitement.
L'article 6 du projet d'arrêté précise que les personnes autorisées à accéder au livret scolaire afin d'enregistrer, modifier ou traiter les données à caractère personnel sont les personnels administratifs (le chef d'établissement et son adjoint, le conseiller principal d'éducation et, le cas échéant, le chef de travaux) et le personnel enseignant.
L'article 7 dudit projet prévoit en outre que les destinataires des informations et données contenues dans LSL sont le président et les membres du jury de l'examen ; le chef de centre d'examen aux fins d'organisation de l'évaluation des candidats ; les agents habilités de la division des examens et concours de l'académie aux fins d'organisation de l'examen du baccalauréat ; le président de la commission de discipline du baccalauréat en cas de sanction dans le cadre d'une procédure disciplinaire liée à l'examen du baccalauréat ; les agents habilités des services statistiques ministériel et académiques, à des fins exclusivement statistiques.
La commission relève que les membres du jury de l'examen du baccalauréat n'auront pas accès aux nom, prénom et établissement d'origine du candidat. En effet, LSL permet de transmettre aux jurys des livrets scolaires numériques qui identifient le candidat par un seul numéro, sans élément directement nominatif, dans le but, selon le ministère, d'éviter le risque d'éventuelles discriminations.
Sous réserve de ne pas accéder librement au livret scolaire d'un élève après la durée nécessaire à l'exercice de leurs missions, ces accédants et destinataires sont légitimes à connaître des données et informations traitées.
Sur les droits des personnes :
LSL vient renforcer l'offre de téléservices scolaires du ministère dont l'utilisation est facultative. Le compte de l'utilisateur pourra par ailleurs être clôturé à tout moment par le responsable légal. Le caractère facultatif de ce téléservice et ses modalités de mise en œuvre permettent de recevoir l'expression du consentement des personnes concernées, participant ainsi, sur ce point précis, de la proportionnalité du dispositif.
La commission rappelle qu'afin que ce consentement reste libre et éclairé, les établissements devront continuer de mettre à disposition des élèves et responsables légaux qui ne seraient pas en capacité d'accéder au téléservice proposé, ou qui ne souhaiteraient pas l'utiliser, un autre moyen d'accès aux données traitées dans le téléservice. En outre, il importe de ne pas permettre l'activation d'un compte élève mineur avant celui d'au moins l'un de ses représentants légaux. Enfin, la commission recommande que LSL, comme tout téléservice scolaire, soit accessible sur l'ensemble des principaux systèmes d'exploitation et navigateurs.
S'agissant de l'information des personnes concernées, le ministère a indiqué qu'elle serait réalisée par voie d'affichage dans les établissements, par une mention sur le document remis aux usagers du téléservice et par une mention figurant également sur le portail des téléservices, au sein des conditions générales d'utilisation (CGU). La commission rappelle que tous les élèves et leurs responsables légaux doivent recevoir une information complète, conforme aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée. Cette information doit ainsi porter tant sur l'application métier LSL que sur le téléservice. Cette information doit dès lors être réalisée même lorsque l'établissement n'offre pas à ses usagers le téléservice LSL, mais utilise l'application métier.
A cet égard, la commission prend acte qu'une mention informative conforme à l'article 32 de la loi susvisée sera insérée dans le livret scolaire. Elle recommande néanmoins que les mentions informatives rappellent le caractère non obligatoire pour les élèves de la transmission de leur livret scolaire au jury du baccalauréat.
Par ailleurs, avec le livret numérique, la signature, par l'élève, de son livret scolaire avant sa transmission au jury du baccalauréat, qui permet de s'assurer qu'il en a pris connaissance et qu'il n'est pas entaché d'erreurs, n'est plus requise. Selon le ministère, la consultation du téléservice devrait valoir validation implicite du livret. La commission relève cependant qu'une telle validation n'est pas satisfaisante, le téléservice pouvant ne pas avoir été consulté ou le livret pouvant avoir été contesté sans qu'une trace de cette contestation ne figure dans le téléservice.
Elle recommande que des mesures soient prises afin de garantir que l'élève a bien pris connaissance de son livret scolaire avant sa transmission au jury du baccalauréat, telle qu'une case à cocher dans l'interface élève/parent permettant d'indiquer dans l'application l'existence d'un problème.
S'agissant des droits d'accès, de rectification et d'opposition, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, il est prévu qu'ils s'exercent directement auprès du chef d'établissement. Un formulaire téléchargeable, sous format pdf, sera mis à disposition des lycéens sur le site de l'établissement et au sein du téléservice LSL afin de faciliter l'exercice du droit de rectification et du droit de s'opposer à la transmission au jury de son livret scolaire. Ce formulaire pourra être remis, par tous moyens, au chef d'établissement.
La commission prend acte de ces modalités d'exercice des droits par les personnes concernées. Elle rappelle néanmoins que ce formulaire ne fait pas obstacle à ce que l'élève puisse exercer ces droits sous une autre forme (papier libre), conformément aux dispositions des articles  92 et  93 du décret n° 2005-1309 du 20 octobre 2005 modifié.
Sur les mesures de sécurité :
A titre liminaire, la commission rappelle que, conformément à l' ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, la conformité du téléservice LSL au référentiel général de sécurité (RGS) doit être assurée avant sa mise en œuvre.
Par ailleurs, la commission rappelle qu'elle avait demandé, dans sa délibération relative à l'expérimentation du LSL, une analyse de risques couvrant l'intégralité du dispositif. Elle regrette dès lors qu'une telle analyse ne lui ait pas été fournie, des risques spécifiques, relatifs en particulier à la validation d'un examen national, pouvant peser sur ce traitement. Néanmoins, elle relève que des analyses de risques relatives à des traitements similaires mis en œuvre par le ministère lui ont été communiquées et démontrent une prise en compte générale satisfaisante, par ce dernier, des risques sur les personnes concernées.
En outre, elle relève que des mesures fortes de sécurité sont mises en œuvre, telles que des mesures de défense en profondeur pour limiter les risques d'indisponibilité du livret le jour des délibérations ou pour limiter les risques de modification non désirée de celui-ci après sa validation par le chef d'établissement.
A cet égard, le visa du chef d'établissement, attestant que l'ensemble de la procédure applicable au livret scolaire a bien été respectée, se matérialise par un cachet électronique conforme au RGS. De même, il est prévu que le président du jury appose, après la consultation du livret par le jury, un cachet électronique présentant le plus haut degré de sécurité prévu par le RGS, chaque candidat dont le livret scolaire a été produit, devant, conformément au  code de l'éducation, pouvoir s'assurer qu'il n'a pas été ajourné sans que son livret ait été examiné.
La commission prend en outre acte que les éditeurs de logiciels privés de gestion de notes sont certifiés par le ministère à chaque rentrée afin de détecter en amont les obstacles éventuels à la transmission des données de ces applications vers le traitement LSL.
Elle constate enfin que sont journalisés les accès en consultation, création et modification des données.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin