La Commission nationale de l'informatique et des libertés, 
Saisie par le ministère de l'éducation nationale, de la jeunesse et de la vie associative ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27-II (4°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n° 2007-401 du 25 mars 2007 ;
Après avoir entendu M. Carrez, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations, 
Emet l'avis suivant :
La commission a été saisie le 3 septembre 2009 par le ministère de l'éducation nationale, de la jeunesse et de la vie associative d'une demande d'avis portant sur un projet d'arrêté relatif à la procédure d'admission en première année d'une formation postbaccalauréat, conformément aux dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée en août 2004.
Un courrier de demande de compléments a été adressé au ministère le 3 novembre 2009. Une relance pour non-réponse à cette demande a été adressée au ministère le 4 janvier 2010, à laquelle il a été répondu le 24 mars 2010.
Une nouvelle demande de compléments a été adressée au ministère le 12 mai 2010, suivie d'une relance le 3 septembre 2010. Le ministère a apporté les derniers éléments de réponse les 1er décembre 2010 et 11 février 2011.
L'application " admission post-bac ", est un téléservice de l'administration, qui permet aux futurs étudiants de se préinscrire, de classer des vœux, de bénéficier de conseils d'orientation avant de s'inscrire administrativement en première année de l'enseignement supérieur auprès de l'établissement de leur choix.
Sur la finalité poursuivie :
La commission constate que les finalités poursuivies par l'application sont le recueil et le traitement des vœux des candidats à une admission en première année d'une formation postbaccalauréat, l'impression d'un dossier papier pour les filières sélectives et le traitement statistique des données.
Elle relève qu'en application des dispositions de la loi n° 2007-1199 du 10 août 2007 codifiée à l'article l.612-3 du code de l'éducation : " Tout candidat est libre de s'inscrire dans l'établissement de son choix, sous réserve d'avoir, au préalable, sollicité une préinscription lui permettant de bénéficier du dispositif d'information et d'orientation dudit établissement, qui doit être établi en concertation avec les lycées. "Dès lors, la commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les personnes visées par le traitement :
La commission prend acte que les élèves concernés sont des élèves français ou étrangers, de terminale ou titulaires d'un diplôme de fin d'études permettant l'accès aux études supérieures du pays de délivrance.
Sur les données collectées :
Concernant la collecte des notes obtenues par les candidats et les appréciations portées par leurs professeurs.
En application de l'article L. 612-3 du code de l'éducation, une sélection des candidats est opérée pour l'accès à certains établissements d'enseignement supérieur, instituts et grandes écoles. Pour permettre cette sélection, l'application " admission post-bac " prévoit la transmission informatique des notes et appréciations des professeurs et du chef d'établissement sur l'aptitude du candidat à suivre certaines formations postbaccalauréat.
La commission note que ces informations permettent également aux candidats de bénéficier d'une démarche de conseil et d'accompagnement dans le choix d'une filière d'enseignement dans les universités.
Le ministère a précisé sur ce point que les notes obtenues par les candidats et les appréciations portées par leurs professeurs et chef d'établissement, figurant sur les bulletins trimestriels de notes et la fiche pédagogique, constituent les critères de sélection reconnus pour les candidats qui postulent à une inscription dans l'une des formations ou l'un des établissements visés à l'article L. 612-3 du code de l'éducation.
La commission prend acte qu'une mention de ces dispositions législatives sera affichée sur le portail de l'application " admission post-bac " afin d'informer les candidats à une première année de formation postbaccalauréat de cette sélection.
Elle relève que les résultats scolaires des élèves en classe de terminale, les notes et appréciations sont accessibles aux responsables de formation d'enseignement supérieur auxquelles un candidat postule, uniquement pour les candidats les concernant. Ces derniers sont, en tout état de cause, informés de la transmission des données.
Concernant le recueil de la nationalité :
La commission prend acte des précisions apportées par le ministère indiquant que le recueil de la nationalité et du pays de naissance de l'élève est nécessaire, car un candidat étranger, hors Union européenne, non titulaire d'un baccalauréat français, d'une part, doit obtenir un titre de séjour pour pouvoir obtenir une formation en apprentissage, d'autre part, doit respecter une procédure spécifique (la demande d'admission préalable) pour solliciter une préinscription en première année de licence.
Elle relève que l'application " admission post-bac " est ouverte aux préinscriptions dans les formations en apprentissage à tout élève qui en fait la demande, quels que soient sa nationalité et son lieu de résidence.
Elle prend acte de l'engagement du ministère de mettre en place une information précise destinée aux candidats étrangers non-résidents ou ne résidant pas en France. Cette information étant affichée sous la forme suivante sur le portail web de l'application : " Si vous envisagez de formuler un vœu sur des formations en apprentissage, nous vous rappelons que ces informations sont conditionnées à la signature d'un contrat d'apprentissage qui est un contrat de travail conclu entre un apprenti (ou son représentant légal) et un employeur. L'inscription définitive à ces formations sera soumise à l'obtention d'un titre de séjour permettant de conclure un contrat d'apprentissage. Pour plus de renseignements, nous vous invitons à consulter le site :  http://www.service-public.fr. "
Concernant le recueil de la situation économique et financière de la famille :
La commission prend acte des précisions du ministère indiquant que le recueil des données relatives aux revenus de la famille et à la composition familiale des candidats permet de mesurer la probabilité d'obtention d`une bourse de l'enseignement supérieur pour l'année suivante.
Elle relève que la communication de ces donnés ne revêt un caractère obligatoire que pour les seuls candidats qui formulent une demande d'admission en internat. La commission estime que les candidats devront être spécifiquement informés sur ce point.
Les personnes habilitées à consulter l'application :
La commission relève que deux agents du département de l'égalité des chances du ministère de l'enseignement supérieur de la recherche disposent d'un compte leur permettant de consulter l'ensemble des dossiers individuels des candidats, ainsi qu'un accès en modification uniquement pour les rubriques suivantes : commune, département de naissance, pays de naissance, nationalité, adresse postale, téléphone, adresse e-mail.
La commission prend acte que ces modifications se font exclusivement à la demande du candidat.
La commission relève que les services de coopération et d'action culturelle des ambassades des pays où l'application informatique CEF-Pastel du ministère des affaires étrangères et européennes est mise en œuvre, ont accès aux données personnelles des candidats de leur pays de résidence.
Elle prend acte que cet accès permet aux ambassades concernées de vérifier, avant la délivrance du visa, que l'attestation de préinscription fournie par le candidat étranger n'est pas un faux document. Les services effectuent à cette fin une requête sur le nom du candidat sur l'application afin de vérifier la réalité de la proposition d'admission.
La commission considère que ces services ne devraient avoir accès qu'aux seules données relatives à la proposition d'admission.
La commission relève que les agents spécifiquement habilités à cet effet du ministère de l'agriculture ne peuvent consulter que les données relatives aux seuls candidats des lycées agricoles et aux candidats à des formations supérieures agricoles et, pour le ministère de la culture, aux formations supérieures relevant de sa compétence.
Elle prend acte que les agents habilités à cette fin de ces deux ministères ont un profil d'accès identique à ceux du service de l'égalité des chances du ministère de l'enseignement supérieur et de la recherche.
Concernant le ministère de l'éducation nationale, elle prend acte que seuls les agents des services académiques d'information et d'orientation et le bureau de l'orientation et de l'insertion professionnelle de la DGESCO ont un accès en consultation des données relatives aux candidats.
Sur les durées de conservation :
La commission relève que les données non nominatives sont conservées cinq ans pour l'élaboration de statistiques et que les données nominatives sont conservées dix-huit mois.
Elle prend acte que cette dernière durée de conservation permet aux candidats se réinscrivant sur l'application admission post-bac, dans le cadre d'une réorientation en première année, de ne pas être contraints de saisir à nouveau les données de l'année antérieure. Les candidats ont la possibilité de mettre à jour ces données.
Sur les droits des personnes :
La commission estime que les candidats devront notamment être informés du renseignement obligatoire ou facultatif des données en fonction de leur situation, de la durée de conservation de leurs données dans l'application, ainsi que des destinataires de ces données.
Sur les sécurités :
Elle note que le ministère a indiqué qu'afin de garantir un égal accès à l'application, les candidats résidant dans le pays où l'accès à un site " https " n'est pas possible pourront se connecter en " http ".
La commission prend acte qu'une nouvelle politique de mot de passe a été mise en place, conformément à sa demande. Le mot de passe contenant désormais huit caractères minimum, dont deux alphabétiques et deux non alphabétiques. Elle relève également que les comptes d'accès aux données personnelles sont nominatifs, ce qui permet une traçabilité des actions. Elle note qu'un candidat qui se réinscrit l'année suivante ne conserve ni le même numéro de dossier ni le même code confidentiel.
Elle note que sept informaticiens spécifiquement habilités sont exclusivement en charge de la gestion de la base " admission post-bac ". Elle relève qu'il existe des comptes de consultation au sein du ministère de l'enseignement supérieur et de la recherche aux fins d'établir, à l'aide de requêtes, des indicateurs statistiques sur l'utilisation de l'application. La commission considère que ces requêtes ne doivent pas permettre une identification des personnes dans l'application.
Elle prend acte que la traçabilité de l'application permet une journalisation des connexions à l'application ainsi qu'une journalisation des actions en modification et suppression sur les données personnelles. Elle recommande qu'une journalisation des actions en consultation permettant de connaître les informations consultées par une personne connectée soit également mise en œuvre, compte tenu de la sensibilité de certaines des informations.