Délibération n° 2021-60 du 17 mars 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Inscrire votre enfant dans un établissement scolaire en dehors des périodes d'inscription par voie dématérialisée » de la Direction de l'Éducation Nationale, de la Jeunesse et des Sports présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.334 du 12 juillet 2007 sur l'éducation ;
Vu l'Ordonnance Souveraine n° 5.540 du 19 mars 1975 portant création de la Direction de l'Éducation Nationale, de la Jeunesse et des Sports ;
Vu l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel n° 2008-813 du 11 décembre 2008 fixant les conditions d'accueil des enfants n'ayant pas atteint l'âge de la scolarité obligatoire ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la délibération n° 2019-83 du 15 mai 2019 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les modalités de dépôt et la durée de conservation des cookies et autres traceurs sur les terminaux d'utilisateurs de réseaux de communication électronique ;
Vu la demande d'avis déposée par le Ministre d'État, le 1er décembre 2020, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Inscrire votre enfant dans un établissement scolaire en dehors des périodes d'inscription par voie dématérialisée » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 26 février 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 mars 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Direction de l'Éducation Nationale, de la Jeunesse et des Sports (ci-après, la DENJS) souhaite mettre à la disposition des parents et de leurs enfants un téléservice afin de leur permettre de s'inscrire en ligne dans un établissement scolaire de la Principauté en dehors des périodes d'inscription.
Conformément aux dispositions de l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, le Ministre d'État soumet ainsi, à l'avis de la Commission, le traitement ayant pour finalité « Inscrire votre enfant dans un établissement scolaire en dehors des périodes d'inscription par voie dématérialisée ».
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Inscrire votre enfant dans un établissement scolaire en dehors des périodes d'inscription par voie dématérialisée ».
Il concerne les parents, les responsables légaux ou la personne assumant effectivement la garde de l'enfant, et les agents de la DENJS en charge du traitement.
Aussi, la démarche en ligne mise en place à cette fin a pour fonctionnalités :
- Saisie des informations sur l'enfant ;
- Saisie des informations sur les responsables légaux ;
- Saisie des informations générales ;
- Import de pièces justificatives ;
- Annulation d'une déclaration ;
- Envoi d'un courriel de confirmation d'enregistrement de la déclaration ;
- Envoi d'un courriel de confirmation d'annulation de la déclaration ;
- Envoi d'un courriel de confirmation de désinscription à la démarche en ligne ;
- Export d'un fichier Excel qui comprend toutes les demandes et leurs informations anonymisées par les agents ayant les droits nécessaires pour effectuer cette action.
Il est également précisé que le téléservice propose un lien vers un questionnaire de satisfaction anonyme dont les résultats sont traités par la Direction des Services Numériques.
La Commission constate également que les personnels de la DENJS procèdent à des statistiques, qui sont anonymes.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, par le respect d'une obligation légale à laquelle il est soumis et par la réalisation d'un intérêt légitime qu'il poursuit et qui ne méconnaît ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
À cet égard, il précise que le consentement des personnes concernées est formalisé par un acte positif clair matérialisé par le biais d'une case à cocher mentionnant « J'accepte que mes données personnelles soient traitées dans le cadre du téléservice Inscrire votre enfant dans un établissement scolaire en dehors des périodes d'inscription par voie dématérialisée », ainsi que par l'acceptation préalable des conditions générales d'utilisation du téléservice, indispensable pour la création du compte sécurisé et pour l'accès à la démarche en ligne.
Le téléservice est, par ailleurs, justifié par le respect d'une obligation légale à laquelle le responsable de traitement est soumis, dont notamment la loi n° 1.334 du 12 juillet 2007 sur l'éducation, l'Ordonnance Souveraine n° 5.540 du 19 mars 1975 portant création de la DENJS et l'arrêté ministériel n° 2008-813 du 11 décembre 2008, susvisé.
À cet égard, l'article 4 de la loi n° 1.334 du 12 juillet 2007, susvisée, dispose que « Les parents, le représentant légal de l'enfant ou la personne en assumant effectivement la garde sont tenus, au cours de l'année civile où l'enfant atteint l'âge de six ans et aux périodes fixées par le directeur de l'Éducation nationale, de le faire inscrire dans un établissement d'enseignement primaire public ou privé. En cas d'inscription dans un établissement scolaire établi hors de la Principauté, les parents doivent en informer la direction de l'Éducation nationale en souscrivant une déclaration auprès de celle-ci. ».
En dehors de ces périodes, notamment pour l'arrivée d'enfants en cours d'année en Principauté, l'inscription doit être possible pour répondre aux exigences d'enseignement obligatoire.
En outre, l'intérêt légitime trouve son fondement dans la volonté de l'Administration de simplifier les démarches administratives des administrés en leur permettant de déposer leur déclaration sans se déplacer et sans autre démarche, ce qui s'inscrit dans le cadre de l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré.
La Commission rappelle que conformément aux dispositions de l'article 42 de l'Ordonnance Souveraine susvisée « (…) la création d'un téléservice ne saurait toutefois avoir pour effet de supprimer la possibilité pour l'usager, d'accomplir les démarches, formalités ou paiements qui en sont l'objet par des voies autres qu'électroniques ».
À cet égard, l'encart disponible sur le site du Gouvernement semble indiquer que le téléservice est le seul moyen de déposer un dossier hors période d'inscription, en expliquant qu'« En dehors de ces périodes , un téléservice accessible en suivant ce lien vous permettra d'entreprendre les démarches nécessaires ».
Aussi la Commission demande que les usagers aient la possibilité d'effectuer la présente démarche par une autre modalité.
Sous cette réserve, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- Identité/situation de famille : enfant : nom, prénom, date de naissance, lieu de naissance, nationalité, sexe, établissement actuellement fréquenté ; premier et deuxième responsable légal : titre, nom, prénom, responsable, nom de jeune fille, nationalité, situation familiale ;
- Adresses et coordonnées : enfant : adresse ; premier et deuxième responsable légal : email, numéro de portable, numéro de fixe ;
- Environnement scolaire et professionnel : enfant : statut scolarisé ou non, établissement actuellement fréquenté, adresse de l'établissement, classe actuelle, statut de l'établissement ; premier et deuxième responsable légal : statut activité professionnelle en cours ou non, profession, employeur, adresse de l'employeur ;
- Données d'identification électronique : identifiant technique de l'usager ;
- Informations temporelles : horodatages, etc. : données d'horodatage ;
- Données de connexion : log de connexion de l'usager, données de messagerie de l'usager ;
- Éléments complémentaires : premier et deuxième responsable légal : couverture sociale, nom de la couverture sociale, numéro d'immatriculation, nom de la mutuelle, adresse de la mutuelle ; informations générales ; frères et sœurs, services demandés, informations complémentaires facultatives, établissement scolaire souhaité, année scolaire demandée, classe demandée pour l'inscription ; pièces justificatives : certificat de nationalité de l'élève, carte de séjour, carte de séjour de l'enfant, livret de famille, carte d'identité des parents, jugement de divorce/convention fixant le lieu de résidence principale de l'enfant, document officiel désignant l'adulte ayant a garde, bulletins scolaires.
Par ailleurs, les informations ont pour origine la personne concernée lors de son adhésion au dispositif, excepté les données d'identification électronique, les informations temporelles et les données de connexion qui proviennent du système.
La Commission constate que si les informations demandées sont exhaustives, comprenant également tout élément en lien avec la couverture sociale et la situation familiale des responsables légaux, la collecte concerne des enfants dont le processus d'inscription est garanti.
Elle considère donc que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Toutefois, si les personnels en charge des demandes s'aperçoivent qu'un dossier n'entre pas dans le champ d'application du présent traitement, la Commission demande que les informations ne soient pas conservées une fois les usagers prévenus de cet état de fait.
IV. Sur les droits des personnes concernées
- Sur l'information préalable des personnes concernées
L'information préalable des personnes concernées est réalisée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne, à savoir les conditions générales d'utilisation de la démarche en ligne que l'usager doit accepter et peut consulter dès l'accès à la démarche.
À la lecture de celle-ci, la Commission constate qu'elle est conforme aux exigences légales.
La Commission rappelle toutefois que l'article 13 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, dispose que « Toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement, sauf le cas où celui-ci est mis en œuvre, dans le cadre exclusif de leurs missions d'intérêt général, par les responsables de traitements visés à l'article 7 ». En l'espèce, les personnes concernées ne pourront exercer de droit d'opposition sur les informations nominatives exploitées par la DENJS et qui sont nécessaires à ses missions.
- Sur l'exercice du droit d'accès, de modification et de mise à jour
Le droit d'accès est exercé sur place, par voie postale, par accès en ligne au dossier, ou par courrier électronique auprès de la Direction de l'Éducation Nationale, de la Jeunesse et des Sports.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette réserve, elle constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
Les accès sont définis comme suit :
- les personnels de la DENJS en charge du traitement du dossier en lecture, paramétrage, traitement, saisie, validation ;
- les personnels de la Direction des Systèmes d'Information, ou tiers intervenant pour son compte dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d'information de l'État, en lecture, paramétrage, traitement, saisie, validation et configuration ;
- les Personnels de la Direction des Services Numériques, ou tiers intervenant pour son compte ayant un rôle d'assistance à maîtrise d'ouvrage sur la procédure : lecture, paramétrage, traitement, saisie, validation, configuration.
La Commission relève que de plus en plus de traitements métiers ou de téléservices font l'objet d'interventions de Directions supports qui administrent ou créent les solutions. Ces Directions supports sont décrites comme disposant d'accès aux traitements concernés. Elle rappelle que ces dernières n'ont pas à avoir accès en continu à l'information métier, dont la sensibilité peut varier en fonction des Services concernés. Elle rappelle donc que les accès doivent être restreints au strict besoin d'en connaitre et que les interventions de supports soient effectuées selon des modalités définies conformes aux règles de l'art.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission relève par ailleurs que les personnes concernées disposent d'un accès à leur propre compte.
Elle considère enfin que ces accès sont justifiés.
VI. Sur les interconnexions
Le présent traitement fait l'objet d'interconnexions avec les traitements suivants :
- « Gestion du compte permettant aux usagers d'entreprendre des démarches par téléservices », légalement mis en œuvre ;
- « Gérer les habilitations des agents et fonctionnaires de l'État aux téléservices contenus dans le « Guichet Virtuel » », légalement mis en œuvre.
Lesdits traitements ont pour vocation de permettre l'accès sécurisé des usagers à la démarche et de gérer les habilitations des personnels de l'État, dans le respect des cadres fixés dans les délibérations y relatives de la Commission portant avis favorables à leur mise en œuvre.
Le responsable de traitement indique également que le traitement est interconnecté avec les messageries professionnelles légalement mises en œuvre par l'État.
Elle considère que ces interconnexions sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
En outre, la Commission constate l'utilisation de recaptcha Google, qui implique un transfert d'informations vers les États-Unis. Aussi, elle demande qu'il soit mis fin à son utilisation sous 2 mois, et qu'une information renforcée des personnes concernées soit faite sur les pages concernées qu'elles puissent être en mesure de se déterminer, en toute connaissance de cause, sur leur volonté d'utiliser cette démarche en ligne en l'état.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
Les données sont conservées 1 an à compter du dépôt de la demande, et les informations temporelles et les données de connexion sont effacées au bout d'un an glissant.
La Commission relève que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- l'article 13 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, dispose que « Toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement, sauf le cas où celui-ci est mis en œuvre, dans le cadre exclusif de leurs missions d'intérêt général, par les responsables de traitements visés à l'article 7 » ;
- les accès doivent être restreints au strict besoin d'en connaitre et que les interventions de supports soient effectuées selon des modalités définies conformes aux règles de l'art.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations ;
Demande :
- qu'en cas de dépôt de dossier d'une famille n'entrant pas dans le champ d'application du présent traitement, les informations la concernant soient détruites une fois celle-ci prévenue de la non recevabilité de sa demande ;
- que les usagers aient la possibilité d'effectuer la présente démarche par une autre modalité ;
- que le recaptcha Google ne soit plus utilisé passé un délai de 2 mois et qu'une information renforcée relative au transfert d'informations vers les États-Unis et à son caractère obligatoire soit effectuée auprès des utilisateurs afin qu'ils puissent être en mesure de se déterminer, en toute connaissance de cause, sur leur volonté d'utiliser cette démarche en ligne en l'état.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Inscrire votre enfant dans un établissement scolaire en dehors des périodes d'inscription par voie dématérialisée » de la Direction de l'Éducation Nationale, de la Jeunesse et des Sports.
Le Président de la Commission de Contrôle des Informations Nominatives.