La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'Education nationale (MEN) d'une demande d'avis concernant un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice permettant à l'élève et à ses responsables légaux de s'inscrire en classe de seconde dans un lycée général et technologique ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d'avis du Directeur général de la Direction générale de l'enseignement scolaire (DGESCO) sur un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice permettant à l'élève et à ses responsables légaux de s'inscrire en classe de seconde dans un lycée général et technologique ;
Sur la proposition de Monsieur Eric PERES, commissaire, et après avoir entendu Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Conformément à l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la CNIL a été saisie par le ministère de l'Education nationale (MEN) d'une demande d'avis relative à la mise à disposition des chefs d'établissements d'un téléservice destiné aux élèves et à leurs responsables légaux afin de s'inscrire en classe de seconde dans un lycée général et technologique.
Ce téléservice, dénommé  Télé-services-inscriptions , permettra, à l'issue des procédures d'affectation en sortie de troisième, aux élèves et à ses responsables légaux d'inscrire celui-ci en classe de seconde, dans un lycée général et technologique.
Il se présentera sous la forme d'un nouveau module de consultation à distance de l'application  SCONET , qui permet, au niveau de l'établissement scolaire, la saisie des acquis des élèves dans le traitement de gestion administrative, pédagogique et financière SCOLARITE.
La Commission a pris acte que l'usage de ce téléservice reste entièrement facultatif. Tout d'abord, les conseils d'administration des différents établissements du 2nd degré restent libres de ne pas recourir à ce téléservice. En outre, les parents d'élèves de l'établissement qui auraient fait le choix de mettre ce téléservice à disposition conservent la faculté de ne pas activer leur compte et de ne pas recourir à ce téléservice.
Ce téléservice s'inscrit dans le cadre de l'offre des téléservices SCONET que le MEN propose aux élèves et aux responsables légaux de l'enfant, s'agissant de la consultation des notes, des absences et des acquis de l'élève à distance (demande d'avis n°1409718 du 27 janvier 2010 sur le traitement SCONOTES).
La Commission reste particulièrement attentive à ce que la dématérialisation des contenus mis à disposition des responsables légaux en vue de les informer de la scolarité de leurs enfants ne s'accompagne pas d'une suppression concomitante des contenus  papier .
La mise en œuvre du téléservice-inscriptions
L'ouverture d'un compte
La création du compte de l'élève est effectuée par l'élève à partir du code d'activation qui lui sera transmis par l'établissement lors d'une réunion d'information organisée sous la responsabilité d'un enseignant ou d'une personne de l'équipe éducative de l'établissement.
La création du compte des responsables légaux sera effectuée conformément à la procédure suivante :
- un code d'activation sera adressé au représentant légal de l'élève par courrier ou par courriel, afin de lui permettre de se connecter au téléservice ;
- le représentant légal pourra librement choisir d'activer ce service ou non ;
- dans le cas d'une absence d'utilisation du code d'activation transmis, pendant un délai de 3 mois, ce code d'activation sera détruit ;
- dans le cas d'une activation du compte, le représentant légal créera un compte personnel en définissant un mot de passe personnel associé à ce compte ;
- les données d'inscription seront rendues accessibles à distance via ce téléservice.
Le refus de l'un des responsables légaux de l'enfant de recourir au Télé-services-inscriptions pourra être recueilli par courrier ou par courriel. Ce refus concernera tous les enfants dont il a la responsabilité dans le même établissement.
Conformément à ce qu'avait recommandé la CNIL dans le cadre de la demande d'avis relative au téléservice SCONOTES, le MEN confirme qu'aucune création de compte de l'élève n'aura lieu avant le recueil du consentement des parents d'élèves.
La fermeture d'un compte
Lorsque l'élève quitte l'établissement, la fermeture du compte a lieu, par défaut, en fin d'année scolaire ou bien après réception d'une demande expresse des responsables légaux de l'enfant en ce sens, par courrier ou par courriel.
Sur la finalité du traitement :
Le Télé-services-inscriptions a pour objet  de permettre aux parents et représentants légaux d'inscrire leur enfant, élève de 3ème, en classe de seconde dans un lycée général et technologique  (article 1er du projet d'arrêté).
L'objectif de ce téléservice est donc uniquement d'inscrire les enfants au lycée à l'issue des procédures d'affectation en sortie de troisième afin de confirmer ou non leur demande d'inscription dans ce lycée.
Le Télé-services-inscriptions ne se substitue pas aux modalités usuelles et réglementaires d'inscription des élèves en classe de seconde et n'a notamment pas pour objectif de  remplacer  les moyens de communication traditionnellement utilisés par les établissements (notamment les courriers postaux ou électroniques).
Sur la nature des données traitées :
Les catégories de données traitées sont des données d'identification, collectées auprès de l'élève et des responsables légaux, et des données issues de l'application  SCONET .
En premier lieu, les informations relatives à l'identification des élèves sont les suivantes :
- nom de famille ;
- prénoms ;

- date de naissance ;
- lieu de naissance ;
- adresse du domicile si elle est différente de celles des deux responsables légaux ;
- téléphones : case à cocher  accepte les SMS  ;
- adresse courriel ;
- régime (demi-pensionnaire, externe ou interne) (article 2 du projet d'arrêté).
La Commission prend acte que le numéro d'identification académique des élèves du 2nd degré (n°INE-BEA) ne sera pas saisi dans l'application.
En second lieu, les informations relatives à l'identification des responsables légaux sont les suivantes :
- civilité ;
- nom de famille ;
- prénom ;
- lien avec l'élève (à choisir parmi  Mère ,  Père ,  l'élève lui-même ,  autre membre de la famille ,  tuteur ,  autre cas ) ;
- adresse ;
- téléphones : case à cocher  accepte les SMS  ;
- adresse courriel ;
- profession à choisir parmi une liste de catégories socio-professionnelles ;
- identifiant(s) et mot(s) de passe choisi(s) par le ou les responsables légaux permettant l'accès au téléservice (article 2 du projet d'arrêté).
L'alimentation du traitement sera effectuée :
- concernant les données d'identification des élèves : par le biais des données fournies directement par l'élève et des données traitées dans SCONET ;
- concernant les données d'identification des responsables légaux : par les données fournies directement par les responsables légaux ;
- concernant les données de connexion des élèves et des responsables : par les codes d'activation cryptés mis à disposition par le MEN, puis les mots de passe et login choisis par l'usager ;
- concernant les informations relatives à l'inscription dans un lycée général et technologique : par une saisie directe des informations par les élèves ou les responsables légaux.
Sur la durée de conservation des données :
Les données traitées seront conservées une année, afin de couvrir l'année scolaire à venir.
Sur les destinataires des données :
Les destinataires des données traitées sont exclusivement les chefs d'établissement et les agents habilités des services administratifs de l'établissement.
Chaque destinataire des données disposera d'un compte personnel, permettant que celui-ci soit identifié personnellement. Ainsi, chaque responsable légal concerné disposera d'un identifiant de connexion personnel et distinct.
Sur l'information des personnes :
Le Télé-services-inscriptions est un module de SCOLARITE. Ainsi, les droits des personnes au regard des articles 32, 39 et 40 de la loi du 6 janvier 1978 modifiée seront portés à la connaissance des responsables légaux au moment du recueil des données relatives à l'identité de l'élève en début d'année scolaire, lors de son inscription en 3ème.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Des mentions légales relatives à la mise en œuvre du droit d'accès seront également portées sur les formulaires de collecte des données et les courriers personnalisés adressés aux responsables légaux pour leur communiquer les codes d'activation de leurs comptes.
Le Télé-services-inscriptions est un service facultatif.
Néanmoins, dans le respect des droits des parents d'élèves ne souhaitant pas recourir à ce téléservice, la Commission recommande que, par défaut, dans le traitement SCONET, la case  publiable TS  (signifiant l'activation du téléservice) soit décochée.
Sur les mesures de sécurité :
Etant un module du traitement SCONET, les garanties de sécurité appliquées au Téléservice-inscriptions résultent des conditions de sécurité décrites dans le traitement précité, déclarées en 1993.
Toutefois, la Commission appelle l'attention du MEN sur les points suivants.
En premier lieu, la Commission rappelle l'importance de définir des mesures de sécurité physique adéquates pour l'accès aux équipements hébergeant SCONET et le téléservice.
En second lieu, la Commission rappelle qu'elle recommande des mots de passe de huit caractères minimum comprenant plusieurs types de caractères. Ces mots de passe ne doivent pas être accessibles aux administrateurs.
En troisième lieu, la Commission souligne l'importance d'une traçabilité pour la création de comptes et pour les connexions à l'application. La Commission considère notamment qu'une traçabilité des identifiants des utilisateurs administrateurs du service devrait être prévue. Enfin, la Commission recommande une analyse automatique des traces pour y détecter les anomalies.
En dernier lieu, le Télé-services-inscriptions a été conçu pour répondre aux exigences du Référentiel Général de Sécurité (RGS) défini dans l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.
Autres recommandations de la CNIL
Le Télé-services-inscriptions s'inscrit dans le cadre du développement de l'offre de téléservices scolaires dans le 2nd degré (notes, absences, livret personnel de compétences).
A ce titre, la Commission insiste sur la nécessité, pour le MEN, d'informer chaque établissement utilisant ce téléservice de son obligation de continuer à mettre à disposition des responsables légaux qui ne seraient pas en capacité d'accéder au téléservice proposé ou qui ne souhaiteraient pas l'utiliser un autre moyen d'accès aux données traitées dans le téléservice (appels téléphoniques, envoi d'un courrier postal, d'un courriel ou d'un SMS).
Ainsi, une demande écrite en ce sens devra pouvoir être adressée à l'établissement par les responsables légaux de l'élève sur le carnet de correspondance de l'élève.
Sur la mise en place d'un bilan :
La Commission demande au MEN de lui adresser, dans un délai de 2 ans, un bilan sur la mise en œuvre du Télé-services-inscriptions, afin :
- d'indiquer quelles mesures alternatives seront mises à la disposition des responsables légaux ne souhaitant pas utiliser le Télé-services-inscriptions pour procéder à l'inscription de leur enfant en classe de seconde ;
- de dresser un tableau récapitulatif des mesures prises par le MENJVA dans le cadre de l'homologation RGS du téléservice ;
- de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits, et particulièrement les personnes ne souhaitant pas bénéficier de ce téléservice ;
- de réaliser une mesure d'audience des consultations du téléservice.
La Présidente
Isabelle FALQUE-PIERROTIN