La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des affaires étrangères et du développement international d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé  Etudes en France ,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation, notamment son article D. 612-12 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 modifié pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu l'arrêté 6 août 2007 portant création d'un traitement automatisé dénommé  CampusFrance  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie d'une demande d'avis sur un projet d'arrêté du ministère des affaires étrangères et du développement international portant création d'un traitement de données à caractère personnel destiné à mettre à disposition des étudiants étrangers non communautaires, résidant à l'étranger et souhaitant suivre des études en France, une plate-forme permettant de les accompagner dans l'ensemble de leurs démarches.
Ce traitement est fondé sur la convention-cadre sur les centres pour les études en France (CEF) du 10 janvier 2007modifiée, qui prévoit que les CEF  sont des plates-formes de services mises en place auprès des ambassades pour être les interlocuteurs des étudiants étrangers et faciliter leurs démarches administratives  et qui précise que  le fonctionnement des GEF repose sur un traitement en ligne des dossiers de candidature .
Ce traitement constituant un téléservice de l'administration électronique, au sens de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, il doit être autorisé par arrêté du ministre compétent pris après avis motivé et publié de la commission.
Sur les finalités :
Le projet d'arrêté crée une plate-forme,  Etudes en France , afin de traiter les candidatures dans un établissement universitaire français et le suivi des étudiants étrangers non communautaires, résidant à l'étranger. Cette plate-forme a vocation à remplacer le téléservice  CampusFrance , autorisé par l'arrêté du 6 août 2007 susvisé.
Etudes en France  a ainsi pour objet de suivre les étudiants concernés, de leur dépôt de candidature dans un établissement de l'enseignement supérieur français jusqu'à leur départ pour la France. Grâce à ce téléservice, les établissements français et les services culturels des ambassades peuvent notamment convoquer les étudiants à un séminaire de préparation au départ en France, leur remettre des guides, faciliter l'envoi des dossiers d'inscription administrative, générer des listes d'étudiants admis par les commissions pédagogiques et ayant obtenu un visa.
Cette plate-forme permet également la mise à disposition, par les ambassades, aux établissements français d'informations sur les candidats étrangers qui postulent à leurs formations et doit ainsi offrir une aide à la décision.
Le téléservice ne permet toutefois pas l'inscription définitive de l'étudiant, qui demeure de la compétence exclusive des établissements français.
Ainsi, l'étudiant crée son dossier électronique en renseignant son identité, son parcours académique antérieur et ses compétences linguistiques et joint des justificatifs. Il formule ensuite des  vœux , en choisissant jusqu'à quinze formations pour lesquelles il rédige des lettres de motivation. Ce dossier dématérialisé est alors transmis à l'ambassade qui, après vérification de la complétude et l'exactitude des informations reçues, convoque, le cas échéant, l'étudiant à un test de connaissance de la langue française, conformément aux dispositions de l'article D. 612-12 du code de l'éducation, et à un entretien individuel, conformément à la convention-cadre susvisée.
Etudes en France  contient un système de messagerie permettant aux établissements de contacter les candidats. En outre, les étudiants peuvent consulter, en temps réel sur la plate-forme, la décision des établissements pour lesquels ils ont postulé.
Etudes en France  permet aux étudiants concernés de télécharger tout document mis à leur disposition par leur établissement pour formuler une demande de visa, en particulier une attestation d'admission. Cette demande de visa ne s'effectue pas par la plate-forme  Etudes en France . Toutefois, les services consulaires ont accès, grâce à la plate-forme, à l'ensemble des justificatifs académiques téléchargés par l'étudiant et vérifiés par le service culturel de l'ambassade, permettant ainsi aux étudiants de ne plus avoir à fournir à nouveau ces documents. Le consul renseigne, sur la plate-forme, sa décision d'accorder ou de refuser un visa.
Ce processus de préinscription dématérialisée est obligatoire, conformément à la convention-cadre susvisée.
Etudes en France  offre par ailleurs deux fonctionnalités facultatives : la réception d'informations de la part des services culturels des ambassades et l'inscription au réseau d'anciens étudiants animé par l'ambassade. Cette dernière fonctionnalité se matérialise par la réception d'une invitation à s'inscrire, sur une autre plate-forme dédiée, au réseau d'anciens étudiants. Chacune de ces fonctionnalités requiert le consentement exprès de l'étudiant, qui se manifeste en cochant une case dédiée.
Etudes en France  permet enfin à l'administration centrale et aux ambassades de réaliser des statistiques nécessaires pour analyser le profil des candidats aux études en France et ainsi améliorer les politiques d'attractivité universitaire.
La commission estime que les finalités d' Etudes en France  sont déterminées, explicites et de nature à simplifier les démarches administratives et à améliorer des relations entre les administrés et l'administration, de sorte qu'elles sont légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les personnes concernées et les catégories de données traitées :
Etudes en France  concerne, en premier lieu, les étudiants étrangers non communautaires, ne résidant pas en France et souhaitant s'inscrire dans l'un des établissements d'enseignement supérieurs ou organismes de formation professionnelle adhérant à la convention-cadre précitée. Ces étudiants bénéficient de l'ensemble des services offerts par la plate-forme.
Le ministère a précisé que, par étudiants non communautaires, il fallait entendre les seuls étudiants étrangers qui, conformément au code de l'éducation, sont soumis à un régime différent des étudiants français. Ne sont ainsi pas inclus parmi les étudiants non communautaires les étrangers non ressortissants d'un Etat membre de l'Union européenne, d'un Etat partie à l'accord sur l'Espace économique européen ou de la Confédération helvétique, conformément à l'article D. 612-11 du code de l'éducation. Le ministère a indiqué qu'à l'heure actuelle une trentaine de pays étaient concernés par la plate-forme. La commission estime que, dans un souci de clarté, le projet d'arrêté devrait être modifié pour définir précisément les étudiants étrangers concernés par la plate-forme.
S'agissant des étudiants étrangers  non communautaires , ne résidant pas en France, admis, par leurs propres moyens, dans un établissement n'adhérant pas à ladite convention-cadre, ils peuvent bénéficier, d'une part, de l'accompagnement pour la demande de visa ou titre de séjour et la préparation au départ et, d'autre part, de la diffusion d'informations sur les études en France et l'inscription au réseau d'anciens étudiants de l'ambassade, sous réserve d'y consentir expressément.
En ce qui concerne les catégories de données enregistrées, celles-ci sont relatives à l'identité des étudiants (nom, prénom, adresse, photographie, date et lieu de naissance, sexe, nationalité), à leur situation familiale et à leur vie professionnelle (CV, scolarité et formation, distinctions, situation professionnelle).
L'étudiant doit joindre les justificatifs de son parcours scolaire (diplômes, relevés de notes, etc.).
Ces données sont nécessaires à la préinscription du candidat dans un établissement français ainsi qu'à son suivi et accompagnement jusqu'à, le cas échéant, son départ en France.
Afin d'assurer la traçabilité des accès, sont également enregistrés les identifiants de connexion de toute personne se connectant à la plate-forme : étudiants, personnels des établissements, personnels des ambassades et consuls, agents de l'administration centrale.
La commission estime que les données et informations traitées sont conformes à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur les durées de conservation :
Le projet d'arrêté prévoit que les données et informations traitées seront conservées cinq ans. Plus précisément, les dossiers des étudiants sont conservés en base active jusqu'à la fin de l'année universitaire pour laquelle une demande d'inscription dans un établissement français avait été effectuée. Puis, à l'issue de ce délai, les informations sont versées dans une base de données distincte et ainsi conservées pendant cinq ans à compter de la dernière connexion de l'étudiant à la plate-forme, afin de pouvoir réactiver les données enregistrées si l'étudiant sollicite une nouvelle admission en France pour des études ou des formations supérieures. La commission observe ainsi que, dès lors qu'un étudiant effectue une nouvelle démarche sur la plate-forme, le point de départ de la durée de cinq ans est reporté.
Si cette de durée de conservation de cinq ans à compter de la dernière démarche de l'étudiant sur la plate-forme peut paraître excessive, la commission considère qu'elle peut néanmoins se justifier par le fait qu'un étudiant peut être amené à suivre différentes formations en France à plusieurs années d'intervalle et que réactiver son dossier lui permet de ne pas avoir à fournir à nouveau les mêmes informations et pièces justificatives déjà vérifiées par l'administration, mais uniquement de les mettre à jour si sa situation a changé. Elle relève cependant que cette conservation pendant une durée de cinq ans à compter de la dernière démarche sur  Etudes en France  ne se justifie que si elle s'opère en base d'archives intermédiaires et est soumise à des conditions d'accès restreint et à des mesures de traçabilité.
Or, le ministère a indiqué qu'à l'expiration de l'année universitaire les données sont versées dans une base d'archives intermédiaires, mais l'accès à celle-ci n'est pas restreint, tous les personnels et agents ayant accès aux données et informations de la plate-forme pouvant avoir accès à la base d'archive. La commission recommande ainsi que les modalités de conservation des données en base d'archives soient mieux encadrées.
Elle recommande également que ces durées de conservation (l'année scolaire en base active et cinq ans à compter de la dernière démarche de l'étudiant sur la plate-forme) soient plus clairement indiquées dans le projet d'arrêté.
Par ailleurs, une journalisation des opérations de création, modification et suppression du traitement est réalisée. Les journaux sont conservés pendant deux ans. Le ministère a précisé que cette durée était justifiée par la nécessité d'utiliser ces journaux en cas de contentieux, notamment la contestation d'un refus de visa. La commission observe cependant que de tels recours sont généralement encadrés par un délai de prescription de deux mois, durée bien inférieure à celle prévue. Dès lors, elle estime que cette durée de conservation des journaux excède celle nécessaire aux finalités prévues. De manière générale, la commission recommande que les journaux soient conservés pendant une durée de six mois.
Elle considère en outre que les journaux doivent faire l'objet d'une analyse régulière et que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation.
La commission prend acte qu'à l'issue de la durée de conservation seules les données utiles à la réalisation de statistiques sont conservées et anonyrnisées, rendant ainsi impossible toute ré-identification directe ou indirecte d'un individu, tandis que les autres sont automatiquement purgées.
Sur les personnes accédant au traitement et les destinataires des données :
Accèdent aux données et informations enregistrées dans la plate-forme  Etudes en France , selon les besoins qu'ils ont d'en connaître, afin de traiter les dossiers :
- les agents habilités de la direction de la coopération culturelle, universitaire et de la recherche, et de la direction des systèmes d'information du ministère des affaires étrangères et du développement durable ;
- les agents habilités des services chargés de la coopération universitaire et les agents habilités des services consulaires, dans les ambassades et consultas de France à l'étranger, uniquement pour les dossiers relevant de leur compétence ;
- les agents habilités des établissements d'enseignement supérieur ou de formation conventionnés avec le ministère des affaires étrangères et du développement international uniquement pour les dossiers les concernant.
Sont en outre destinataires des données les agents habilités du département de l'orientation et de la vie des campus du ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche.
Ces personnes sont légitimes à connaître des données et informations traitées et n'appellent dès lors pas d'observation particulière de la commission.
Sur les droits des personnes :
En ce qui concerne le droit d'information, des mentions figurent sur le site internet de la plate-forme et sur le formulaire d'inscription à celle-ci.
Dans le cas où le ministère souhaiterait mettre en œuvre des cookies ou un autre traceur sur le téléservice, la commission rappelle que, conformément aux obligations imposées par l'article 32-II de la loi du 6 janvier 1978 modifiée, le consentement de l'utilisateur doit être obtenu avant le dépôt de cookies liés aux opérations relatives à la publicité, aux réseaux sociaux ainsi que dans le cas de certains cookies de mesure. Tant que la personne n'a pas donné son consentement, ces traceurs ne doivent pas être déposés ou lus sur son terminal. La page accessible via le lien  en savoir plus et paramétrer les cookies  inclus dans le bandeau d'information des internautes doit en outre être accessible sans dépôt de cookies.
Les droits d'accès et de rectification s'exercent auprès de la direction de la coopération culturelle, universitaire et de la recherche du ministère des affaires étrangères et du développement international.
En application du dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée, le projet d'arrêté exclut le droit d'opposition. Pourtant, la commission relève que les mentions informatives qui lui ont été transmises prévoient un droit d'opposition. Dès lors, elle demande à ce que ces mentions ne fassent plus état du droit d'opposition si celui-ci ne s'applique pas au présent traitement, afin d'être conformes à l'article 32-I de ladite loi.
Sur les sécurités :
Etudes en France  étant un téléservice de l'administration au sens de l'ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il est soumis au respect du référentiel général de sécurité (RGS). Le ministère des affaires étrangères et du développement international, responsable de traitement, doit attester de cette conformité au RGS et le mentionner sur le site dédié.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe conforme aux bonnes pratiques actuelles, ceux-ci étant en effet composés de huit caractères minimum et comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux.
La commission rappelle en outre que les mots de passe doivent être régulièrement renouvelés et ne doivent pas être stockés en clair.
L'accès au téléservice est sécurisé au moyen du protocole HTTPS et utilise  Transport Layer Security  (TLS). La sécurité de l'accès à  Etudes en France  est dès lors conforme à l'état de l'art.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin