Il est créé au ministère de l'éducation nationale un traitement de données à caractère personnel dénommé " gestionnaire d'accès aux ressources " (GAR) ayant pour objet de permettre l'accès des élèves, des enseignants et des agents participant à l'action éducatrice, à leurs ressources numériques et services associés via un espace numérique de travail (ENT) ou la solution ÉduGAR en l'absence d'ENT.

Le GAR permet la communication des données strictement nécessaires aux distributeurs et éditeurs de ressources numériques pour l'éducation, ci-après désignés fournisseurs de ressources.

Ce traitement peut être mis en œuvre dans les écoles, les établissements publics locaux d'enseignement (EPLE) et les établissements d'enseignement privé sous contrat ainsi que dans les services administratifs académiques et départementaux participant à l'action éducatrice.

Il peut également être mis en œuvre dans :

-les établissements publics locaux d'enseignement et de formation professionnelle agricole et les établissements d'enseignement agricoles privés sous contrat ;

-les lycées professionnels maritimes ;

-les écoles et lycées militaires.

Ce traitement a pour finalité de permettre :

- La validation par le ministère des demandes de données strictement nécessaires au fonctionnement du service par les fournisseurs de ressources ;

- La transmission aux fournisseurs de ressources des données strictement nécessaires aux accès des élèves, des enseignants et des agents participant à l'action éducatrice, à ces ressources et à leur utilisation en fonction des droits qui leur sont ouverts ;

- L'hébergement des données produites par les utilisateurs au sein des ressources ;

- Le suivi statistique des accès aux ressources numériques pour l'analyse de la qualité de service délivrée et le suivi de l'utilisation de ces ressources.

Les catégories de données à caractère personnel faisant l'objet du présent traitement sont précisées à l'annexe du présent arrêté.

Les données à caractère personnel mentionnées à l'annexe du présent arrêté sont conservées pour les durées suivantes :

S'agissant des élèves :

- Les données relatives à la scolarité et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée pertinente en fonction du type de ressource ;

- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT ou ÉduGAR de rattachement sont conservées pour la durée de présence de l'élève dans l'établissement scolaire ou, au besoin, de la scolarité de l'élève.

S'agissant des enseignants :

- Les données relatives aux formations et matières enseignées, à l'appartenance à des divisions ou groupes d'élèves et d'enseignants et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée pertinente en fonction du type de ressource ;

- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT ou ÉduGAR de rattachement sont conservées pour la durée de présence de l'enseignant dans l'établissement ;

S'agissant des agents non enseignants participant à l'action éducatrice :

- Les données relatives à l'établissement ou au service d'exercice des fonctions, au profil fonctionnel et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée pertinente en fonction du type de ressource ;

- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT ou ÉduGAR de rattachement sont conservées pour la durée de présence ou d'exercice de l'agent dans l'école, l'établissement ou le service.

Pour l'ensemble de ces utilisateurs :

- Les données d'usage, de personnalisation, de production et d'évaluation peuvent être conservées, selon la nature de la ressource et la durée de l'abonnement, pour la durée de l'année scolaire, du cycle, de la présence dans l'établissement ou de la scolarité.

S'agissant des responsables d'affectation des ressources :

- Les données sont conservées pour la durée de l'année scolaire.

S'agissant des fournisseurs de ressources, des porteurs de projets et de leurs sous-traitants :

- Les données sont conservées pour la durée du contrat les liant au ministère ou celle des marchés ENT portés par les collectivités ou les académies.

Les données de connexion (logs et adresse IP, traces des accès, consultations, créations et modifications de données) sont conservées pour une durée de douze mois.

Peuvent être destinataires des données à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :

1° Les fournisseurs de ressources et leurs sous-traitants ;

2° Les collectivités territoriales et académies (porteurs de projet ENT ou ÉduGAR) et leurs sous-traitants ;

3° Les chefs d'établissement et les directeurs académiques des services de l'éducation nationale (DASEN) ou les personnes déléguées par ces derniers pour gérer l'affectation des ressources aux élèves et aux enseignants ;

4° Les chefs d'établissement relevant du ministère de l'agriculture et l'alimentation ou les personnes déléguées par ces derniers pour gérer l'affectation des ressources aux élèves et aux enseignants ;

5° Les chefs d'établissement des lycées professionnels maritimes relevant de la direction des affaires maritimes ou les personnes déléguées par ces derniers pour gérer l'affectation des ressources aux élèves et aux enseignants ;

6° Les chefs d'établissement des écoles et lycées relevant du ministère des armées ou les personnes déléguées par ces derniers pour gérer l'affectation des ressources aux élèves et aux enseignants ;

7° Les enseignants pour les données produites par leurs élèves pour les ressources permettant un partage et les élèves pour les ressources permettant un partage ;

8° Le titulaire du marché GAR.

Pour la mise en œuvre de ce traitement, le ministère a recours à des opérateurs techniques qui, en qualité de sous-traitants, assurent les fonctions suivantes, sous le contrôle de la direction du numérique pour l'éducation :

- la gestion technique du GAR ;

- le développement de la solution logicielle ;

- l'hébergement de la solution logicielle ;

- l'exploitation et la maintenance de la solution logicielle ;

- le support technique du dispositif en relation avec les fonctions supports des autres utilisateurs du GAR (exploitants ENT et distributeurs de ressources).

Tout prestataire qui, dans l'exercice de ces fonctions, est amené à traiter ou à héberger des données à caractère personnel s'engage contractuellement avec le responsable du traitement à respecter les mesures de confidentialité et de sécurité conformément aux dispositions de l'article 28 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/ CE.

Les fournisseurs de ressources s'engagent contractuellement à respecter les mesures de sécurité requises dans le cadre de l'utilisation du GAR, précisées dans un référentiel technique et fonctionnel.

Le présent traitement de données à caractère personnel est mis en œuvre conformément aux dispositions du e du 1 de l'article 6 du règlement (UE) du 27 avril 2016 susmentionné compte tenu de son caractère nécessaire à l'exécution d'une mission d'intérêt public.

Les droits d'accès, de rectification, de limitation et d'opposition prévus par les articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016 susmentionné, s'exercent par voie électronique à l'adresse [email protected] ou par courrier postal auprès de la direction du numérique pour l'éducation, 110, rue de Grenelle, 75007 Paris.

Les droits prévus à l'article 85 de la loi du 6 janvier 1978 susvisée s'exercent de la même manière.

Le directeur du numérique pour l'éducation est chargé de l'exécution du présent arrêté qui sera publié au Journal officiel de la République française.