Délibération n° 2016-157 du 19 mai 2016 autorisant l’Université Paris Ouest Nanterre La Défense à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalités la gestion des demandes d’exonération des frais d’inscription à l’Université et leur suivi statistique.
Nature: Autre autorisation

(Demande d’autorisation n° 1912557)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Université Paris Ouest Nanterre La Défense d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion des demandes d’exonération des frais d’inscription à l’Université et leur suivi statistique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’éducation, notamment ses articles R. 719-49, R. 719-50, D. 612-1 et D. 612-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Université Paris Ouest Nanterre la Défense, agissant dans le cadre des dispositions de l’article R. 719-50 du code de l’éducation, est le responsable de traitement. 
Sur la finalité
Le traitement projeté a pour finalités la gestion des demandes d’exonération des frais d’inscription à l’Université et leur suivi statistique. En application de l’article R. 719-50 du code de l’éducation, les étudiants qui en font la demande peuvent bénéficier d’une exonération du paiement des droits d’inscription en raison de leur situation personnelle, notamment lorsqu’il s’agit d’étudiants réfugiés ou de travailleurs privés d’emploi. Pour adresser une demande d’exonération des frais d’inscription à l’Université Paris Ouest Nanterre La Défense, les étudiants doivent remplir en ligne un formulaire, qui est ensuite déposé dans une boîte aux lettres dédiée ou adressé par voie de poste, accompagné des pièces complémentaires nécessaires à son traitement, au bureau en charge de la gestion de ces demandes. Parmi les pièces complémentaires figure notamment une lettre de motivation de l’étudiant, précisant sa situation et les difficultés qu’il doit surmonter. Le dossier est ensuite étudié par la Commission d’Exonération des droits d’inscription, qui donne un avis d’acceptation ou un refus d’exonération. Les décisions d’acceptation ou de refus d’exonération sont reportées dans un fichier de tableur de suivi des aides. Le traitement projeté comporte des données relatives aux difficultés sociales des personnes et doit dès lors être autorisé par la Commission en application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée. La Commission considère que la finalité poursuivie par le traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur les données traitées
Les données collectées au sein du traitement projeté concernent en premier lieu les étudiants de l’Université Paris Ouest Nanterre La Défense souhaitant être exonérés du paiement des frais d’inscription à l’Université. 
Les données figurant au sein du traitement sont collectées directement auprès des étudiants et sont relatives à : 
leur identification : noms, prénoms, adresses postales et électroniques, numéro de téléphone, numéro étudiant ; 
leur situation familiale ; 
leur activité professionnelle ;
leur scolarité et formation ;
leur type d’hébergement ;
leur situation financière et économique.
Il est également demandé aux étudiants de préciser s’ils ont déjà bénéficié d’une exonération des droits de scolarité. 
En ce qui concerne le dossier papier de demande d’exonération, celui-ci contient la photocopie de la carte d’identité, afin de vérifier l’identité de l’étudiant concerné, ainsi que des documents justificatifs concernant son cursus universitaire ainsi que son budget. 
Les dossiers de demande d’exonération des droits d’inscription sont en outre accompagnés d’une lettre de motivation de l’étudiant expliquant son projet d’études et d’insertion professionnelle, sa perception de son itinéraire, sa situation actuelle et les difficultés auxquelles il est confronté. Cette lettre de motivation peut contenir des données relatives aux difficultés sociales des personnes, ainsi que tout élément que l’étudiant souhaiterait porter à la connaissance de la Commission d’exonération des droits d’inscription à l’Université afin que celle-ci puisse se prononcer sur sa situation. 
Enfin, peuvent être joints au dossier papier un certificat d’hospitalisation, des documents relatifs aux frais de santé ou à la présence d’un handicap. La lettre de motivation pourra également contenir des informations relatives à la santé de l’étudiant au sens de l’article 8 de la loi du 6 janvier 1978 modifiée, dont celui-ci souhaiterait faire part à la commission d’exonération du paiement des droits d’inscription. 
La Commission prend acte des précisions apportées par l’Université selon lesquelles l’étudiant consent expressément à la collecte d’informations concernant son état de santé, en cochant une case prévue à cet effet dans le formulaire de demande d’exonération, conformément à l’article 8-II-1° de la loi du 6 janvier 1978 modifiée. 
Des données relatives aux personnes ayant un accès direct au traitement sont également collectées. Elles comprennent  l’identifiant des terminaux, l’identifiant de connexion, l’information d’horodatage, et leur l’adresse IP. 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Le gestionnaire et son supérieur hiérarchique, ainsi que les membres de la Commission d’exonération des droits d’inscription, sont destinataires des données contenues dans le traitement projeté, à l’exception des données de connexion auxquelles seule la Direction des ressources informatiques de l’Université peut avoir accès.  La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données. 
Sur l’information et le droit d’accès 
Les étudiants sont informés de la mise en œuvre du traitement de données à caractère personnel par des mentions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, sur le site web ainsi que sur le formulaire papier à télécharger.Les droits d’opposition pour motifs légitimes, d’accès et de rectification prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée s’exercent directement auprès du service universitaire d’information et d’orientation (SUIO) de l’Université Paris Ouest Nanterre La Défense. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
Des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher tout utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées. L’authentification des personnes habilitées à accéder à l’application se fait par un mot de passe comportant un minimum de huit caractères, dont au moins une majuscule, une minuscule et un caractère spécial. Les échanges de données effectués sur Internet sont sécurisés par des protocoles de sécurisation. Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, modification, ou de création permettant d’identifier l’utilisateur à l’origine d’une opération. La Commission rappelle que la conservation des traces ne peut, sans justification particulière, excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.  Dans ces conditions, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Pour ce qui concerne les dossiers papiers, les données sont conservées jusqu’à ce que la Commission d’exonération des droits d’inscription se prononce sur les demandes d’exonération.  La Commission relève que les données contenues dans le formulaire en ligne sont effacées de la messagerie du gestionnaire à la suite de la décision de la Commission d’exonération des droits d’inscription.Les données contenues dans le fichier de tableur sont conservées pendant une durée de deux ans, ce qui permet de vérifier si l’étudiant a fait une demande d’exonération du paiement des frais d’inscription à l’Université deux années de suite. Cette durée se justifie également au regard de la finalité relative au suivi statistique. Elle permet ainsi d’établir des indicateurs d’activité. La Commission considère que ces durées n’excèdent pas celles nécessaires aux finalités pour lesquelles les données sont collectées et traitées, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, l’Université Paris Ouest Nanterre La Défense à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS