(Demande d’autorisation n° 1453532)
La Commission nationale de l’informatique et des libertés ;
Saisie par la ministre de l’éducation nationale d’une demande d’autorisation concernant la modification du traitement automatisé de données à caractère personnel ayant pour finalité le suivi et l’appui aux élèves  ou apprentis qui ne sont plus inscrits dans un cycle de formation initiale et qui n’ont pas atteint un niveau de qualification fixé par voie réglementaire dénommé « Système interministériel d’échanges d’information» (SIEI) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’éducation, notamment ses articles L.313-7 et L.313-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2009-1437 du 24 novembre 2009 relative à l’orientation et à la formation professionnelle tout au long de la vie, complétée par la loi du 10 mars 2010 relative au service civique ;
Vu la loi n° 2014-288 du 5 mars 2014 relative à la formation professionnelle, à l'emploi et à la démocratie sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu les délibérations n° 2010-448 du 2 décembre 2010 et n° 2012-289 du 19 juillet 2012 autorisant la mise en œuvre par le ministère de l’éducation nationale, de la jeunesse et de la vie associative d’un traitement de données à caractère personnel ayant pour finalité le suivi et l’appui aux élèves ou apprentis qui ne sont plus inscrits dans un cycle de formation initiale et qui n’ont pas atteint un niveau de qualification fixé par voie réglementaire dénommé « Système interministériel d’échanges d’information» ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le ministère de l’éducation nationale de l’enseignement supérieur et de la recherche (MENESR) souhaite procéder à une modification du traitement automatisé de données à caractère personnel « système interministériel d’échanges d’information » (SIEI) dont la finalité est d’identifier, conformément aux dispositions de l’article L. 313-7 du code de l’éducation, les jeunes de 16 ans et plus, sortis du système de formation initiale sans diplôme, en vue de leur proposer une solution d’accompagnement lorsque ceux-ci ne sont pas déjà suivis par une mission locale.
La présente délibération modifie le traitement précédemment autorisé par les délibérations n° 2010-448 du 2 décembre 2010 et n° 2012-289 du 19 juillet 2012 sur les points suivants.
Sur la finalité
La finalité du traitement n’est pas modifiée.
Le SIEI a ainsi toujours pour objet d’identifier les jeunes de plus de seize ans, sortis du système de formation initiale sans diplôme ni qualification pour leur proposer une solution d’accompagnement lorsqu’ils ne sont pas déjà suivis par une mission locale.
A cet effet, le SIEI interconnecte plusieurs traitements de données à caractère personnel distincts, à savoir ceux des établissements de formation initiale du ministère de l’éducation nationale et du ministère de l’agriculture, ainsi que ceux des centres de formation des apprentis et des missions locales afin d’élaborer une liste des jeunes « décrocheurs » non suivis, transmise au Répertoire d'Information et d'Orientation (RIO), module de suivi du SIEI.
En outre, les responsables locaux chargés d’accompagner les jeunes ainsi identifiés, intègrent localement dans le RIO, les données relatives au suivi de l’insertion des jeunes « décrocheurs » dont ils ont la charge.
Enfin, le SIEI poursuit une finalité statistique, afin d’optimiser l’évaluation de la politique publique mise en place dans le cadre des articles L. 313-7 et L. 313-8 du code de l’éducation.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes.
Sur les données traitées
La modification opérée ne porte aucun changement du périmètre des données à caractère personnel traitées dans l’application RIO du SIEI, dédiée à la consultation des plateformes locales.
Celles-ci portent sur l’identité des jeunes « décrocheurs », la dernière formation initiale qu’ils ont suivie  et la mention d’un éventuel accompagnement par les missions locales.
En outre, les utilisateurs habilités peuvent saisir les situations types dans lesquelles sont susceptibles de se trouver certains des jeunes suivis et recensés par le SIEI.
Ces données n’appellent aucune observation de la Commission.
Sur les destinataires et accédants
La loi du 5 mars 2014 susvisée a modifié l’article L. 313-7 du code de l’éducation afin de confier aux présidents de conseils régionaux la désignation des personnes et organismes destinataires des listes de jeunes qui ne sont plus inscrits dans un cycle de formation et qui n'ont pas atteint un niveau de qualification fixé par voie réglementaire. Cette désignation était auparavant attribuée aux préfets.
Afin de tenir compte de cette modification législative, le ministère souhaite ouvrir l’accès au module RIO aux personnes et organismes désignés par les présidents de conseils régionaux.
En outre, le ministère souhaite ouvrir plus largement l’accès au module RIO, actuellement réservé aux responsables de plates-formes locales, afin que les agents directement en charge du suivi quotidien des jeunes « décrocheurs » puissent y enregistrer l’avancée de leur accompagnement.
La Commission relève que l’accès à l’application RIO ouvre droit soit à la simple consultation soit à la création ou modification du traitement, selon que la personne désignée pour participer à la lutte contre le décrochage scolaire a vocation à seulement contacter les jeunes ou à effectuer un suivi de leur prise en charge, au niveau de la plate-forme locale.
Dans le cadre de la modification opérée, l’accès au RIO en « mode suivi », qui confère un accès en écriture, sera ouvert tant aux responsables des plates-formes qu’aux agents travaillant au sein de ces plates-formes à l’accompagnement des jeunes décrocheurs.
La Commission prend acte de l’engagement du ministère de veiller à ce que les responsables des plates-formes identifient précisément les agents travaillant, sous leur responsabilité, à cette mission et pouvant ainsi avoir accès en « mode suivi » au RIO et que chacun des agents directement en charge du suivi quotidien des jeunes « décrocheurs » n’aura accès dans l’application qu’aux dossiers des jeunes dont il a la charge.
la Commission rappelle que l’élargissement du périmètre des habilitations des accès à RIO résultant de la modification apportée par le ministère au traitement doit s’accompagner de mesures de sécurité adaptées et en particulier d’une politique claire de définition des profils d’habilitation.
Sous réserve de ces éléments, ces personnes sont légitimes à accéder aux données.
Sur l’information et le droit d’accès
L’information des personnes est actuellement effectuée au moyen des mentions d’information portées sur la fiche de renseignement, destinée aux responsables légaux des élèves scolarisés dans les établissements de formation initiale.
Le ministère a indiqué que, conformément aux recommandations de la Commission, une information individuelle orale était également délivrée lors de la première prise de contact avec les jeunes décrocheurs.
Il a en outre précisé qu’en 2016 serait mis en place, au sein de la plate-forme de suivi RIO, un « assistant de contact » qui intégrera cette information en début d'entretien téléphonique.
Ces modalités d’information des personnes concernées sont satisfaisantes. Les modalités d’exercice des autres droits des personnes, qui n’ont pas été modifiées, n’appellent pas d’observation particulière de la Commission.
Sur les mesures de sécurité
Dans le cadre de la présente modification, le ministère souhaite élargir de façon conséquente l’accès en « mode suivi » à l’application RIO.
La Commission rappelle l’importance d’adapter le droit d’accès aux modifications introduites et de supprimer les permissions d'accès pour tout utilisateur n'étant plus habilité à accéder au traitement.
La Commission estime que, dans le cadre de la modification examinée, le niveau de sécurité entourant les données traitées a été abaissé. En effet, le ministère souhaite abandonner la méthode d’authentification forte par clé cryptographique retenue en 2010 pour la remplacer par un système d’authentification impliquant, pour accéder au module RIO suivi, une première authentification par identifiant/mot de passe puis une seconde authentification par digicode à saisir sur un clavier virtuel.
Or, si les données traitées ne sont pas « sensibles » au sens de la loi du 6 janvier 1978 modifiée, elles doivent néanmoins s’accompagner de mesures de protection renforcées, dès lors qu’elles sont relatives à la situation de décrochage scolaire d’une personne souvent mineure, qui peut être mal vécue par celle-ci.
Dès lors, afin de limiter les accès non désirés à l’application RIO, la Commission demande à ce que ses serveurs n’acceptent que les connections de terminaux identifiés comme étant attribués à un agent habilité, ce qui peut notamment s’effectuer avec un filtrage d’adresse IP ou d’adresse MAC.
Le responsable de traitement a mis en place une politique de mot de passe respectueuse des recommandations de la Commission qui rappelle à cet égard que les mots de passe doivent être régulièrement renouvelés et ne doivent pas être stockés e n clair.
La Commission souligne en outre que chaque utilisateur doit disposer d'un identifiant qui lui est propre.
Le reste du traitement demeurant inchangé, celui-ci n’appelle aucune observation de la Commission.
Sous réserve des précédentes observations, les nouvelles mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La modification opérée ne porte aucune modification de la durée de conservation des données.
Toutefois, la Commission rappelle que les données du jeune ne doivent pas être conservées plus de deux ans après la prise en charge initiale de celui-ci.
Autorise, conformément à la présente délibération, le ministère de l’éducation nationale à mettre en œuvre la modification de traitement susmentionnée.
La Présidente
Isabelle FALQUE-PIERROTIN