Délibération n°2010-446 du 2 décembre 2010 autorisant la mise en œuvre par le ministère de l’économie, des finances et de l’industrie d’un traitement de données à caractère personnel ayant pour finalité le suivi et l’appui aux élèves ou apprentis qui ne sont plus inscrits dans un cycle de formation initiale et qui n’ont pas atteint un niveau de qualification fixé par voie réglementaire dénommé « Système interministériel d’échanges de données »
Nature: Autre autorisation

(Autorisations n°1453537 et 1453538)
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère de l’économie, des finances et de l’industrie de deux demandes d’autorisation le 17 septembre 2010 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu la loi n°2009-1437 du 24 novembre 2009 relative à l’orientation et à la formation professionnelle tout au long de la vie, complétée par la loi du 10 mars 2010 relative au service civique, et notamment les articles L.313-7 et L.313-8 du code de l’éducation ;
Après avoir entendu Monsieur CARREZ, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes:
La Commission a été saisie le 17 septembre 2010 par le ministère de l’éducation nationale, le ministère de l’agriculture, ainsi que le ministère de l’économie, des finances et de l’industrie, de six dossiers de formalités préalables relatifs à la mise en œuvre d’un traitement de données à caractère personnel dénommé «  Système interministériel d’échanges d’informations » (SIEI), comprenant six demandes d’autorisations sur le fondement de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée en aout 2004.
Une demande de compléments a été adressée par voie postale le 6 octobre 2010 aux ministères concernés à laquelle il a été répondu par courrier le 9 novembre 2010.
En application de la loi n°2009-1437 du 24 novembre 2009 relative à l’orientation et à la formation professionnelle tout au long de la vie, complétée par la loi du 10 mars 2010 relative au service civique, des travaux interministériels sous l’égide du haut commissaire à la jeunesse entre le ministère de l’éducation nationale, le ministère de l’agriculture ainsi que le ministère de l’emploi, ont abouti à la création d’un traitement interministériel (ci-après dénommé SIEI). Ce dispositif met en place un échange d’informations permettant par étapes  de tris successifs de déterminer les jeunes qui ont quitté les systèmes de formation initiale sans diplôme et pour lesquels les acteurs du service public ont une obligation de prise en charge.
Les échanges d’informations ont lieu entre les bases de données des établissements de formation initiale (ministère de l’éducation nationale, ministère de l’agriculture), celles des centres de formation des apprentis (ministère de l’éducation nationale) et celles des missions locales (ministère de l’emploi) afin de pouvoir établir avec le plus de précisions possibles une liste des jeunes ayant « décroché » du système de formation initiale, suivis ou non par une mission locale.
Les applications SCONET-SDO et INCA (pour le ministère de l’éducation nationale, de la jeunesse et de la vie associative), PREDECAGRI (pour le ministère de l’agriculture) et PARCOURS 3 (pour les missions locales) vont être les vecteurs d’alimentation de cette plateforme interministérielle. 
La Commission relève que le SIEI a pour objet d’interconnecter plusieurs traitements distincts de données à caractère personnel, à savoir, ceux des établissements de formation initiale du ministère de l’éducation nationale, de la jeunesse et de la vie associative et du ministère de l’agriculture, ainsi que ceux des centres de formation  des apprentis et des missions locales. Ces interconnexions sont mises en œuvre par un processus automatisé ayant pour objet de mettre en relation des informations issues de traitements dont les finalités ne relèvent pas d’un unique intérêt public. Dès lors la Commission considère que le traitement qui lui est présenté relève du régime de l’autorisation en vertu des dispositions de l’article 25-I-5°de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission observe que le fonctionnement du SIEI repose sur une structure pyramidale dont les étapes sont structurées par l’établissement successif de 7 listes. 
La liste L1 permet d’identifier les élèves « sortis » des établissements scolaires avant l’achèvement de leur cursus. La liste L2 permet d’identifier ceux qui sont « entrés » dans d’autres établissements. Puis, les listes L1 sont comparées avec les listes L2 de toutes les académies afin de pouvoir établir deux nouvelles listes correspondants aux élèves « retrouvés scolarisés » dans d’autres académies (L3) et aux élèves « non retrouvés » dans un cycle de formation initiale de l’éducation nationale (L4). 
Une liste L5 des élèves retrouvés scolarisés ou en apprentissage dans un autre système de formation que celui d’origine est élaborée à partir des propres listes L1, L2, L3 et L4 de ces systèmes de formation, qui ont procédé de manière identique. Une liste L6 des « élèves ayant décroché » du système de formation initiale qui ne sont plus scolarisés dans leur établissement d’origine et qui ne se sont pas réinscrits dans un autre établissement, est établie. Ce processus permet d’établir une liste finale (Liste L7) des jeunes ayant « décroché » de formation initiale, précisant s’ils sont accompagnés ou non par une mission locale. 
Cette liste, éclatée ensuite aux niveaux géographiques appropriés, permet à des coordinateurs locaux désignés par les préfets de prendre contact avec les jeunes supposés en situation de décrochage pour leur proposer une prise en charge appropriée.
La Commission prend acte que le ministère de la défense, ainsi que celui de la mer, ne participent pas pour l’instant au SIEI mais qu’ils y seront associés dans une version ultérieure. A cet égard, la Commission rappelle que toute modification du système devra impérativement faire l’objet des formalités préalables adéquates auprès de la Commission.
La Commission observe que les élèves « perdus » par l’un des trois systèmes de formation et non « retrouvés » par ceux-ci peuvent s’être dirigés ou avoir été dirigés vers les dispositifs relevant d’autres ministères, qui ne participent pas pour le moment au SIEI, ou qui n’ont pas vocation à le rejoindre. Ces jeunes figureront sur les listes jusqu’au moment où un contact direct sera pris par les coordonateurs locaux. Seront dans le même cas les élèves ayant décroché du système scolaire qui ont trouvé un emploi, car le système ne peut collecter cette donnée.
La Commission a par ailleurs constaté que certaines académies n’utilisant pas Sconet-SDO envisageraient de développer leurs propres traitements de détection du décrochage en dehors du SIEI. Elle prend acte du fait que le ministère a décidé d’appliquer le SIEI dans la totalité des académies.
Sur la finalité poursuivie
La Commission constate que la finalité poursuivie par le dispositif mis en place est d’identifier conformément aux dispositions de l’article L.317-7 du code de l’éducation, les jeunes de plus de seize ans, sortis du système de formation initiale sans diplôme ni qualification  pour leur proposer une solution d’accompagnement lorsqu’ils ne sont pas déjà suivis par une mission locale. S’y ajoute subsidiairement une finalité statistique, sur des données anonymisées.
La Commission considère que la finalité poursuivie par ce traitement est déterminée, explicite et légitime.
Sur les personnes visées par le traitement
La Commission observe que le SIEI ne devrait concerner que les jeunes ayant atteint au moins l’âge de 16 ans. Cette restriction d’âge correspondant à la fin de l’obligation scolaire ainsi qu’au champ de compétences des missions locales qui concerne, aux termes de l’article L.5314-2 du code du travail, les jeunes de 16 à 25 ans.
La Commission appelle l’attention du ministère de l’éducation nationale, de la jeunesse et de la vie associative sur la nécessité de mettre en place un mécanisme technique permettant d’écarter dès l’émission des premières listes, par les établissements de formation initiale, les mineurs n’ayant pas atteint l’âge de 16 ans. 
Elle prend acte de l’engagement du ministère de mettre en place un tel mécanisme par un complément d’information en date du 24 novembre 2010. Elle rappelle toutefois qu’un tel engagement devra être mis en œuvre par chacun des ministères concernés pour les traitements dont ils ont la responsabilité.
Sur les données collectées
La Commission souligne que le SIEI est un traitement ayant uniquement vocation à permettre un échange de données,  ne contenant aucune possibilité de saisie ou de modification d’écriture et  n’étant accessible qu’en lecture seule. 
Elle prend acte que toutes les listes sont composées de données personnelles non sensibles limitativement énumérées. Les données suivantes sont recueillies dans le traitement : nom, prénom, sexe, date et lieu de naissance, numéro INE, numéro d’enregistrement interne de l’élève dans le système d’information d’origine, coordonnées complètes des responsables légaux ou de l’élève majeur, diplômes et date d’obtention, dernière formation suivie (code  et libellé en clair, dates d’entrée et de sortie), dernier système de formation initiale, dernier établissement d’origine, dernière académie ou région d’origine, nouvelle académie d’inscription, nouvel établissement fréquenté, statut vis-à-vis de la mission locale (« Inconnu », « en veille », « Actif », « Accompagné »), numéro d’enregistrement interne du jeune dans le système d’information Parcours 3, siège social de la mission locale, antenne de la mission locale. 
Tout en considérant que le recueil de données est proportionné, adéquat et non excessif au regard de la finalité poursuivie, la Commission relève que le ministère a indiqué procéder à l’enregistrement du numéro INE dans le but de limiter les risques d’homonymie dans le SIEI. 
La Commission rappelle que cet identifiant ne constitue pas un numéro identifiant national mais un identifiant académique, impliquant en cas de changement d’académie, un changement de numéro identifiant. Elle appelle l’attention du ministère sur la nécessité de procéder aux formalités préalables correspondantes auprès de la Commission si le ministère venait à décider la mise en place d’un numéro national identifiant. 
S’agissant des destinataires
Les destinataires de la dernière liste SIEI sont les personnes ou organismes désignés par le préfet, ainsi que les missions locales pour l’insertion professionnelle et sociale des jeunes. 
La Commission prend acte qu’ils sont destinataires exclusivement de la liste L7, c’est-à-dire celle des jeunes de plus de seize ans ayant « décroché » précisant s’ils sont, suivis ou non, par une mission locale. Les données transmises par le SIEI ne portent que sur la formation initiale suivie et la connaissance d’un accompagnement par les missions locales. La diffusion des données par le SIEI est totalement cloisonnée, chaque plateforme locale ne recevant que les informations relatives à sa zone d’intervention.
Elle prend également acte qu’une fois parvenue au stade de la plateforme locale, l’information relative au jeune décroché aboutit à un traitement « manuel », un responsable joignant par téléphone le jeune concerné. 
Elle appelle, l’attention des ministères concernés sur la nécessité d’accomplir les formalités préalables adéquates si un traitement automatisé venait à être crée au niveau des plateformes locales, pour assurer le suivi du soutien apporté aux jeunes ayant « décroché. »
La Commission relève qu’il est prévu un retour nominatif d’informations vers les organismes de formation initiale, à l’exception des CFA. Les données transmises sont l’identité et les coordonnées du jeune « décroché », le dernier établissement fréquenté, la dernière formation suivie, le statut du jeune vis-vis de la mission locale (non connu, en veille, actif ou accompagné).
La Commission souligne qu’un retour nominatif d’informations vers les établissements de formation initiale, implique un nombre particulièrement important de destinataires des données recueillies au sein du SIEI. Elle relève que ce retour d’informations n’est pas expressément prévu par les textes. 
Les ministères concernés font valoir qu’il est nécessaire que ces établissements disposent d’informations sur leurs anciens élèves pour leur permettre de mettre en place une politique de prévention du décrochage scolaire adaptée. Ils considèrent que ce retour d’informations est proportionné et concourt aux objectifs définis par le législateur pour le service public de l’éducation et que la seule transmission de données statistiques et anonymisées n’est pas suffisante pour permettre aux établissements scolaires de satisfaire aux  responsabilités qui leur incombent en vertu des dispositions du code de l’éducation nationale. Enfin, cette transmission de données répond à des considérations techniques, en permettant de mettre à jour automatiquement les listes émises par l’établissement d’origine. En l’absence de ce retour, les élèves considérés seraient pris en compte dans les listes à chacune  des quatre campagnes du SIEI.
La Commission prend acte de ces précisions et estime dès lors que ce retour nominatif d’information  est proportionné au regard de la finalité poursuivie de prévention du décrochage scolaire, à la condition qu’il soit limité aux seuls établissements concernés.
Sur les durées de conservation
- Concernant le SIEI
La Commission relève que la liste des élèves ayant « décroché » de formation initiale et accompagnés ou non par les missions locales sera conservée pendant une durée de deux ans dans le SIEI.
Elle prend acte que cette durée de conservation ne concerne que les personnes désignées par le préfet comme destinataires de la liste n°7 et qu’elle est notamment induite par l’obligation faite, aux termes de l’article L.313-8 du code de l’éducation, aux acteurs du service public de s’assurer que les jeunes sortant sans diplôme entre 16 et 18 ans puissent se réinscrire dans un cursus de formation, d’accompagnement ou dans une activité d’intérêt général leur permettant de s’insérer durablement au plan professionnel et, à, défaut, de leur proposer les mesures d’accompagnement adéquates pour les y aider.
Elle note également que les listes intermédiaires ne sont conservées par le SIEI que jusqu’à l’achèvement satisfaisant du cycle complet de traitement d’une des quatre campagnes prévues par année scolaire, soit à peu près trimestriellement et que ces listes sont supprimées après production de la liste des élèves ayant « décroché » du système de formation initiale et accompagnée ou non par les missions locales (soit la n°7).
La Commission estime que ces durées de conservation sont pertinentes et non excessives au regard de la finalité poursuivie par le traitement, dès lors qu’elles permettent aux acteurs des plateformes locales de suivi et d’appui aux décrocheurs de s’assurer de l’effectivité des démarches entreprises auprès de ces derniers.
- Concernant les autres applications
Les données issues du SIEI transmises aux établissements de formation initiale  sont conservées pendant une année dans  SCONET-SDO, conformément  à la déclaration dont le récépissé a été délivré par la CNIL  n° 1403893 en date du 24 mars 2010.
Dans un souci de cohérence du système elle estime que la durée de conservation des données issues du SIEI et transmises vers l’application PREDICAGRI du ministère de l’alimentation, de l’agriculture et de la pêche, devra être identique.
Elle prend acte que les données issues du SIEI et transmises aux missions locales ne sont pas conservées dans l’application PARCOURS 3.
Sur les droits des personnes
Les différents ministères concernés ont prévu des formulaires d’information qui seront portées sur la fiche de renseignement destinées aux responsables légaux des élèves scolarisés dans les établissements de formation initiale.
Ces formulaires indiquent notamment que les personnes concernées peuvent exercer leur droit d’opposition pour des motifs légitimes conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée en août 2004. Le droit d’accès et de rectification s’exerce auprès du directeur de l’établissement. 
La Commission considère que l’exercice de ce droit devra être clairement indiqué dans les formulaires d’information adressés aux représentants légaux des mineurs. Les personnes ayant demandé à ne pas figurer dans ce traitement devront être exclues du flux de données transmis par les établissements scolaires dès le stade de la liste n°1. 
Sur les sécurités
La Commission tient à souligner que les traitements déclarés concernent un grand nombre de personnes et d’organismes, au sein de ministères différents. Elle estime en conséquence que l’organisation des stockages et des échanges de données doit être étroitement sécurisé. En effet, la finalité du traitement étant l’identification des élèves ayant « décroché », soit des personnes le plus souvent mineures, qui se trouvent de surcroit rencontrer des difficultés particulières.
La Commission prend acte que les mesures de sécurité offertes par le dispositif correspondent à cette sensibilité spécifique. En effet, s’agissant des échanges de données entre les différentes plateformes, tous les canaux de communications utilisés sont sécurisés, que ce soit par HTTPS ou par un réseau privé. 
La sécurité physique de l’accès aux locaux est conforme à la loi Informatique et Libertés, que ce soit pour les traitements SIEI, PREDECAGRI, INCA ou SCONET-SDO. La sécurité logique est également assurée, par l’utilisation d’antivirus, de dispositifs anti-intrusion et de pare-feux. 
La politique d’authentification retenue se caractérise par des moyens d’authentification différents selon les organismes dont dépendent les personnes qui doivent accéder aux informations personnelles. Pour les personnels des établissements de l’Education Nationale ou du Ministère de l’Agriculture, l’accès aux informations est fait par l’application SCONET-SDO. L’accès à cette application requiert un couple identifiant/mot de passe sur le réseau privé de l’Education Nationale ou une clé cryptographique pour un accès externe.
L’accès des personnels des missions locales, est réalisé par l’application Parcours 3, par login et mot de passe dont la politique est conforme aux recommandations de la Commission. Celui des coordonnateurs locaux, s’effectue à l’aide de clés cryptographiques ayant fait l’objet d’une certification ANSSI. Des systèmes d’authentification fondés sur des mots de passe sont utilisés  pour le personnel technique des différentes plateformes. Enfin, le prestataire d’archivage ne peut accéder aux les bandes de sauvegarde qu’avec une clé détenue par le ministère. 
La Commission constate que si les modalités d’accès aux informations sont variables, elles répondent toutes aux exigences de la loi Informatique et Libertés. De plus, les profils d’accès ainsi définis garantissent qu’une personne n’accède qu’aux seules données des jeunes qui la concernent. 
La Commission relève que les politiques d’authentification sécurisées sont accompagnées de mesures de traçabilité des accès des personnes habilitées, que ce soit au sein du réseau SCONET-SDO, PREDECAGRI, SIEI ou Parcours 3. Des mesures spécifiques de traçabilité pour les personnels techniques des différentes plateformes sont également prévues, traçabilité permettant de connaitre les données  consultées ainsi que la personne qui a effectué  cette consultation. 
La Commission considère que les mesures de sécurité qui sont proposées sont de nature à garantir la sécurité des données personnelles et sont conformes à la loi Informatique et Libertés. 
Dans ces conditions, la Commission autorise le ministère de l’économie, des finances et de l’industrie à mettre en œuvre le traitement de données à caractère personnel ainsi que les échanges de données présentés.
Le Président,
Alex TURK.