Délibération n° 2016-246 du 21 juillet 2016 autorisant le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé « Faits établissement ».
Nature: Autre autorisation

(Demande d’autorisation n° 1970987)
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l’éducation nationale, de l’enseignement supérieur et de la recherche d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel dénommé « Fait établissement »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’éducation, notamment son article R. 421-10 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment les 1° et 3° de son article 25-I ;
Vu la loi n° 2013-595 du 8 juillet 2013 d’orientation et de programmation pour la refondation de l’école de la République ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la circulaire n° 2016-045 du 29 mars 2016 « Améliorer le climat scolaire pour une Ecole sereine et citoyenne » : généralisation et structuration des groupes académiques ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche est le responsable de traitement. 
Sur la finalité
La loi du 8 juillet 2013 d'orientation et de programmation pour la refondation de l'Ecole de la République précitée, dans son rapport annexé, place au cœur de sa stratégie l’amélioration du climat scolaire.
Le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche met ainsi à la disposition des différentes académies et des établissements scolaires des outils permettant d’atteindre l’objectif d’amélioration du climat scolaire. 
Parmi ces outils, des groupes de climat scolaire sont créés dans les académies pour recenser les informations relatives aux situations existantes dans les établissements et définir des actions d’amélioration du climat scolaire.
Des mesures permettant d’assurer la sécurité dans les établissements sont également mises en œuvre. Des assistants chargés de prévention et de sécurité sont ainsi chargés de renforcer les actions de prévention et de sécurité conduites dans les établissements scolaires les plus exposés aux phénomènes de violence. Par ailleurs, des équipes mobiles de sécurité sont chargées d’accompagner les écoles et établissements dans les domaines de la prévention et de la sécurisation.  
Dans ce cadre est en outre envisagée la création d’une nouvelle application, dénommée « Faits Etablissement », dont l’objectif principal est d’améliorer la connaissance et la prise en charge des faits graves et de violence commis à l’intérieur des établissements scolaires.
L’utilisation de l’application implique un traitement de données à caractère personnel ayant pour finalité « d’assurer le suivi des violences et des faits remontés par les écoles et les établissements scolaires, d’alerter les services chargés des situations de crise dans les services déconcentrés académiques ». 
Il comporte également une finalité de pilotage, dans la mesure où il a vocation à permettre à l’administration centrale du ministère d’obtenir les informations nécessaires à la construction d’une action de prévention sur une longue durée.  
Plus précisément, lorsqu’un fait grave se produit dans un établissement scolaire, le directeur ou le chef d’établissement se connecte à l’application et enregistre dans le traitement les éléments relatifs à ce fait. Il peut choisir entre trois niveaux de gravité (fait préoccupant, fait grave et fait d’une extrême gravité), qui conditionnent la transmission ou non d’informations à d’autres acteurs. Ainsi, aucune information n’est transmise en-dehors de l’école ou de l’établissement en cas de fait préoccupant. Les faits graves et d’une extrême gravité font en revanche l’objet d’une transmission aux personnes habilitées au sein des académies concernées. 
Au niveau académique, lorsque le fait est transmis, les personnels habilités reçoivent un courriel les invitant à se connecter sur l’application. Ils peuvent ainsi prendre connaissance du fait, afin notamment de permettre aux groupes de climat scolaire et aux équipes mobiles de sécurité d’exercer leurs missions précitées. 
Les personnes spécialement habilitées par le recteur peuvent également transmettre, par le biais de l’application « Faits établissements », les informations dont l’académie a eu connaissance au niveau national, en fonction du niveau de gravité des faits présentés :
fait grave transmis par les écoles ou les établissements scolaires qui ne nécessitent pas une transmission au niveau national ;
fait dont la gravité a des répercussions au niveau académique. Dans ce cas, l’information est transmise au délégué ministériel en charge de la prévention et de la lutte contre les violences en milieu scolaire et aux personnes du cabinet habilitées par la ministre ;
fait dont la gravité est d’un caractère exceptionnel. Dans ce cas, l’information est transmise aux personnes du cabinet habilitées par la ministre. 
Au regard de l’ensemble de ces éléments, la Commission considère que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Néanmoins, la Commission rappelle que des critères doivent être prévus afin d’éviter toute transmission de données à caractère personnel relatives à des évènements dont la transmission ne serait pas nécessaire.  
A cet égard, elle relève que le ministère met à disposition des chefs d’établissement et directeurs d’école une nomenclature des faits qui doit leur permettre d’apprécier quels sont les évènements qui nécessitent d’être remontés aux différents niveaux. Ces types de fait sont classés en quatre catégories :
-atteintes aux valeurs de la République ; 
-atteintes aux personnes ;
-atteintes à la sécurité ou au climat de l’établissement ;
-atteintes aux biens.
La Commission relève qu’au sein de la catégorie dénommée « atteintes aux valeurs de la République » figurent des faits relatifs à la « suspicion de radicalisation » et aux « autres atteintes aux valeurs de la République ». 
La Commission appelle dès lors l’attention du ministère sur la nécessité d’encadrer particulièrement la remontée de ces faits, par définition très subjectifs. Elle recommande dès lors qu’une liste de critères soit établie, afin que les directeurs et chefs d’établissements puissent apprécier la nécessité ou non d’inscrire l’évènement dans l’application.
L’application « Fait établissements » comprend des données relatives à des données sensibles au sens de l’article 8-I° de la loi du 6 janvier 1978 modifiée, ainsi que des données relatives à des infractions au sens de l’article 9 de la même loi précitée. Dès lors, il y a lieu de faire application des articles 25-I-1° et 25-I-3° qui soumettent la mise en œuvre de tels traitements à l’autorisation de la Commission. 
Sur les données traitées
Les données sont collectées par les directeurs et chefs d’établissement chargés de faire remonter les faits et actes de violence ayant eu lieu dans leur établissement. 
En effet, aux termes des dispositions de l’article R. 421-10 du code de l’éducation, « en qualité de représentant de l’Etat au sein de l’établissement, le chef d’établissement […] prend toutes dispositions en liaison avec les autorités administratives compétentes, pour assurer la sécurité des personnes et des biens, l’hygiène et la salubrité de l’établissement ». Le chef d’établissement dispose ainsi d’une compétence générale pour assurer l’ordre public dans l’établissement et disposer d’outils de suivi. 
Dans certains cas, l’inspecteur de l’éducation nationale peut se substituer au directeur et renseigner le fait dans l’application à sa place.
De la même manière, dans les établissements, le fait peut être saisi par une personne déléguée. Néanmoins, cette personne ne pourra pas valider le fait et choisir de le transmettre. 
Les données concernent les victimes et auteurs des faits relatés, ainsi que les directeurs et chefs d’établissement.
Pour ce qui concerne les directeurs et chefs d’établissement, sont collectés les noms, prénoms et numéros de téléphone portable.
Pour ce qui concerne les auteurs présumés des faits, les données collectées sont relatives :
au positionnement de la personne dans l’établissement (élève, personnel de l’établissement, famille de l’élève, ancien élève, élève d’une autre école ou établissement, groupe ou personne extérieur à l’établissement) ;
au sexe ou groupe s’il s’agit d’un groupe mixte ;
au nom de l’école ou de l’établissement où s’est déroulé le fait ; 
aux conséquences internes à l’établissement ou à l’académie pour l’auteur présumé qui correspondent à l’accompagnement de l’élève (parents informés/reçus, sanctions disciplinaires, signalements, plainte déposée). 
le nom de l’école ou de l’établissement où s’est déroulé le fait ;
la position de la personne dans l’établissement (élève, personnel de l’établissement, famille de l’élève, personne ou groupe extérieur, collectivité) ;
le sexe ou la mention « en groupe » ;
les conséquences de l’acte sur cette personne (’information des parents, la nécessité de soins, les préjudices financiers).
nom, prénom ;
date de naissance ;
classe dans le cas d’un élève ;
qualité professionnelle ;
adresse de la famille ;
académie.
Pour ce qui concerne la victime présumée des faits, les données collectées concernent : 
au positionnement de la personne dans l’établissement (élève, personnel de l’établissement, famille de l’élève, ancien élève, élève d’une autre école ou établissement, groupe ou personne extérieur à l’établissement) ;
au sexe ou groupe s’il s’agit d’un groupe mixte ;
au nom de l’école ou de l’établissement où s’est déroulé le fait ; 
aux conséquences internes à l’établissement ou à l’académie pour l’auteur présumé qui correspondent à l’accompagnement de l’élève (parents informés/reçus, sanctions disciplinaires, signalements, plainte déposée). 
le nom de l’école ou de l’établissement où s’est déroulé le fait ;
la position de la personne dans l’établissement (élève, personnel de l’établissement, famille de l’élève, personne ou groupe extérieur, collectivité) ;
le sexe ou la mention « en groupe » ;
les conséquences de l’acte sur cette personne (’information des parents, la nécessité de soins, les préjudices financiers).
nom, prénom ;
date de naissance ;
classe dans le cas d’un élève ;
qualité professionnelle ;
adresse de la famille ;
académie.
Les données enregistrées dans ce traitement sont donc relatives à des infractions au sens de l’article 9 de la loi du 6 janvier 1978 modifiée. En application desdites dispositions, de telles données ne peuvent être traitées que par certaines catégories de personnes, parmi lesquelles figurent les autorités publiques agissant dans le cadre de leurs attributions légales, comme cela est le cas du ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche.
Certaines de ces données sont par ailleurs enregistrées sous forme de récits, le chef d’établissement ou le directeur d’école étant chargé de relater le fait dans une zone prévue à cet effet. 
Les récits contenus dans ces zones de commentaires libres peuvent conduire à la collecte de données qui sont susceptibles de faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions religieuses ou qui sont relatives à la vie sexuelle des personnes interrogées. En effet, certains évènements devant impérativement figurer dans le traitement, tels que la suspicion de radicalisation, les actes racistes et antisémites ou les violences sexuelles, de telles données sont susceptibles d’être enregistrées dans le traitement projeté. 
La Commission prend acte des précisions du ministère selon lesquelles aucune donnée nominative ou description trop précise d’une personne permettant de l’identifier directement ne devra être inscrite dans ces zones de commentaire. De la même manière, aucune donnée relative à la qualification juridique des faits ne pourra être enregistrée. 
La Commission rappelle que les commentaires ne doivent pas être inappropriés, subjectifs ou insultants et qu’ils ne doivent donc contenir que des mentions neutres et factuelles. 
Elle estime qu’une sensibilisation à la vie privée des personnes susceptibles de remplir ces zones de commentaires est nécessaire. Elle recommande qu’un message s’affiche automatiquement sur l’écran des utilisateurs pour leur rappeler les règles à respecter dans ce cadre et l’interdiction de faire figurer toute donnée nominative ou relative à la qualification juridique des faits.
Néanmoins, dans les cas particuliers de décès, il est prévu que des informations supplémentaires soient collectées dans le but d’adresser une lettre de condoléance aux familles concernées. Il s’agirait des données suivantes :
au positionnement de la personne dans l’établissement (élève, personnel de l’établissement, famille de l’élève, ancien élève, élève d’une autre école ou établissement, groupe ou personne extérieur à l’établissement) ;
au sexe ou groupe s’il s’agit d’un groupe mixte ;
au nom de l’école ou de l’établissement où s’est déroulé le fait ; 
aux conséquences internes à l’établissement ou à l’académie pour l’auteur présumé qui correspondent à l’accompagnement de l’élève (parents informés/reçus, sanctions disciplinaires, signalements, plainte déposée). 
le nom de l’école ou de l’établissement où s’est déroulé le fait ;
la position de la personne dans l’établissement (élève, personnel de l’établissement, famille de l’élève, personne ou groupe extérieur, collectivité) ;
le sexe ou la mention « en groupe » ;
les conséquences de l’acte sur cette personne (’information des parents, la nécessité de soins, les préjudices financiers).
nom, prénom ;
date de naissance ;
classe dans le cas d’un élève ;
qualité professionnelle ;
adresse de la famille ;
académie.
Si la Commission ne remet pas en cause la légitimité de cette finalité et la nécessité de collecter ces informations, elle considère néanmoins qu’elle se distingue de celle poursuivie par le traitement « Faits établissement », qui vise à « assurer le suivi des violences et des faits remontés par les écoles et les établissements scolaires, d’alerter les services chargés des situations de crise dans les services déconcentrés académiques ». 
Elle estime dès lors que la collecte de ces données devrait intervenir dans le cadre d’un traitement distinct.
Sur les destinataires
Différentes personnes peuvent obtenir communication des données contenues dans le traitement projeté en fonction de la gravité des faits et conformément à la procédure précitée.  
Ainsi, au niveau de l’établissement, sont destinataires des données :
le directeur d’école ;
le chef d’établissement.
l’inspecteur de l’éducation nationale de la circonscription concernée ;
le directeur académique des services de l’éducation nationale ;
les services chargés de gérer les situations de crise ;
le secrétaire général du service départemental de l’éducation nationale ;
le personnel départemental des services de l’éducation nationale ;
le recteur d’académie et son directeur de cabinet ;
le secrétaire général d’académie ;
le personnel en rectorat désigné par le recteur.
le délégué ministériel en charge de la prévention et de la lutte contre les violences en milieu scolaire ;
le cabinet de la ministre.
Au niveau du département, les personnes pouvant avoir accès aux données contenues dans le traitement sont : 
le directeur d’école ;
le chef d’établissement.
l’inspecteur de l’éducation nationale de la circonscription concernée ;
le directeur académique des services de l’éducation nationale ;
les services chargés de gérer les situations de crise ;
le secrétaire général du service départemental de l’éducation nationale ;
le personnel départemental des services de l’éducation nationale ;
le recteur d’académie et son directeur de cabinet ;
le secrétaire général d’académie ;
le personnel en rectorat désigné par le recteur.
le délégué ministériel en charge de la prévention et de la lutte contre les violences en milieu scolaire ;
le cabinet de la ministre.
Pour ce qui concerne les services de l’Etat, peuvent avoir communication des données : 
le directeur d’école ;
le chef d’établissement.
l’inspecteur de l’éducation nationale de la circonscription concernée ;
le directeur académique des services de l’éducation nationale ;
les services chargés de gérer les situations de crise ;
le secrétaire général du service départemental de l’éducation nationale ;
le personnel départemental des services de l’éducation nationale ;
le recteur d’académie et son directeur de cabinet ;
le secrétaire général d’académie ;
le personnel en rectorat désigné par le recteur.
le délégué ministériel en charge de la prévention et de la lutte contre les violences en milieu scolaire ;
le cabinet de la ministre.
La Commission considère que ces destinataires ont un intérêt légitime à connaître des données contenues dans le traitement projeté.
Néanmoins, au regard du nombre important de destinataires et de la sensibilité des données enregistrées dans le traitement, la Commission appelle l’attention du ministère sur la nécessité de ne permettre l’accès au traitement qu’aux personnes spécialement habilitées et individuellement désignées. 
Sur l’information et le droit d’accès 
Le ministère a indiqué que les personnes concernées sont informées de l’existence du traitement par la circulaire ministérielle du 29 mars 2016 précitée. A cet égard, la Commission rappelle que l’ensemble des éléments prévus à l’article 32 de la loi du 6 janvier 1978 modifiée doivent être portés à la connaissance des personnes concernées par les traitements projetés.Elle estime, en outre, qu’au regard de la sensibilité des informations figurant dans ce traitement, qui se rapporte à des faits graves et des violences notamment commis par des personnes mineures, des modalités supplémentaires de délivrance de l’information devraient être mises en œuvre, afin de s’assurer que les personnes concernées et, le cas échéant, leurs représentants légaux, sont informés de manière claire et complète de la mise en œuvre du traitement. Les droits d’opposition pour motifs légitimes, d’accès et de rectification prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée s’exercent auprès des directions des systèmes d’information des rectorats d’académie, chacune pour les établissements de leur ressort.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une authentification par identifiant/mot de passe conforme aux recommandations de la Commission pour les accès depuis le réseau interne du MENESR Racine/Agriates. Par ailleurs, les accès depuis internet s’appuient sur une authentification forte utilisant notamment un mécanisme de mot de passe à usage unique ou OTP (One Time Password). La Commission rappelle, en l’absence d’information sur ce point, que les mots de passe ne doivent pas être stockés en clair.Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La Commission rappelle qu’une revue globale des habilitations doit être opérée régulièrement et que les permissions d’accès doivent être supprimées sans délai pour tout utilisateur n'étant plus habilité.Une journalisation des opérations de création et de modification du traitement est réalisée.Des sauvegardes quotidiennes sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité. L’accès à l’application est sécurisé au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible. Des notifications sont envoyées par e-mails, celles-ci ne contiennent pas d’informations sensibles mais uniquement une indication que des informations sont disponibles en ligne.Concernant la sécurité des sites internet, la Commission recommande de mettre en œuvre les recommandations techniques relatives à la sécurité des sites internet publiées par l’ANSSI dans une note technique « recommandations pour la sécurisation des sites web.Compte tenu de son ampleur et de l'évolution des technologies, la Commission considère qu'un chiffrement des informations sensibles en bases de stockage devrait être considéré. Ce chiffrement devrait être précédé d'une étude de faisabilité sur le plan technique et financier qui devrait être communiquée à la commission.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée différente en fonction de la nature de la mission d’accompagnement de chaque destinataire.Pour ce qui concerne les données transmises aux directeurs d’écoles et chefs d’établissement, celles-ci sont conservées pendant une durée de cinq ans, leur permettant d’analyser l’évolution des incidents dans leurs écoles ou établissements et de mettre en place des actions de prévention adaptées à ces évolutions. Pour ce qui concerne les services des départements, les données sont d’abord conservées pendant un an afin de proposer des solutions pour améliorer la situation de l’établissement concernée. Les données sont ensuite conservées pendant quatre ans sans la référence de l’école et sans le résumé du fait, afin de permettre aux personnels du département de disposer d’une synthèse des faits au niveau départemental.Au niveau des services de l’Etat, les données sont conservées pendant trente jours afin de leur permettre de mettre en œuvre ses missions de prévention et de lutte contre les violences en milieu scolaire.  La Commission considère que ces durées n’excèdent pas celles nécessaires à l’exécution des finalités pour lesquelles elles sont collectées en application de l’article 6-5° de la loi du 6  janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche, à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS