La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu la circulaire ministérielle du 2 juillet 2009 relative au FNAU (Fonds national d'aide d'urgence) ;
Vu la demande de modification de l'autorisation unique n° AU-002 présentée le 25 janvier 2010 par le CNOUS ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le CNOUS, établissement public national, a été autorisé par la délibération n° 2005-233 du 18 octobre 2005 à mettre en place un traitement ayant pour finalité la gestion des aides ponctuelles allouées aux étudiants dans le cadre de l'action sociale et le suivi statistique de l'activité des services sociaux des CROUS, dénommé SAGA.
Le CNOUS souhaite enrichir la base SAGA avec l'identifiant national de l'élève (INE) qui a été créé en 1995 et suit l'élève durant toute sa scolarité depuis l'entrée en sixième jusqu'à l'enseignement supérieur.
Cet identifiant permettra de faciliter les échanges avec la base AGLAE qui concerne les aides annuelles (bourse, aides au logement, aides à la mobilité, aide au mérite, aides annuelles) allouées aux étudiants afin d'assurer un meilleur suivi budgétaire et financier de l'ensemble des aides.
SAGA est implantée sur un serveur national qui regroupe en une base unique les données saisies par tous les CROUS. Les espaces de travail ouverts à chaque CROUS au sein de cette base ne sont accessibles qu'au seul centre régional concerné.
La commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I (7°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données comportant des appréciations sur les difficultés sociales des personnes.
Responsable de traitement :
Tout centre régional des œuvres universitaires et scolaires (CROUS).
Dans la mesure où chaque centre régional des œuvres universitaires et sociales est doté de la personnalité juridique, il lui appartiendra d'effectuer à la CNIL un engagement de conformité à ladite autorisation conformément aux dispositions de l'article 25-III.
Finalités du traitement :
Le système automatisé de la gestion des aides (SAGA) vise les finalités suivantes :
― assurer un meilleur suivi social par l'ensemble des assistantes sociales en historisant dans un dossier le cursus universitaire, les demandes d'aide et les entretiens permettant de suivre l'étudiant durant sa scolarité ;
― aider à l'élaboration des politiques sociales nationales et régionales en faveur des étudiants ;
― assurer un meilleur suivi budgétaire et financier en facilitant la gestion des crédits du Fonds national d'aide d'urgence (FNAU) pour mieux rendre compte de l'octroi des aides aux différents financeurs (ministère de l'enseignement, fonds de la région, universités) ;
― aider à l'élaboration des politiques budgétaires concernant les aides sociales en fournissant aux financeurs des indicateurs pertinents.
Données à caractère personnel traitées :
Les catégories de données à caractère personnel enregistrées seront relatives aux nom, prénom, INE, date et lieu de naissance de l'étudiant, à sa nationalité et au département de résidence de la famille, à la situation familiale de l'étudiant, à son cursus universitaire, aux aides institutionnelle accordées, au budget de l'étudiant et, le cas échéant, aux problèmes de logement. Une information sur le handicap constaté est également enregistrée. Les données seront conservées cinq ans afin d'accompagner l'étudiant durant sa scolarité.
Les seules informations collectées et traitées susceptibles de comporter des appréciations sur les difficultés sociales des personnes seront limitées à l'indication de l'existence de difficultés familiales et à la constatation d'un handicap.
Destinataires des informations :
Les destinataires des informations seront, pour l'exercice de leurs missions et en fonction des habilitations de chacun, le secrétariat du service social, les assistants sociaux, le directeur du CROUS, le service comptable et les financeurs externes éventuels. Toute autre transmission de données s'effectuera dans des conditions de nature à garantir l'anonymat complet des étudiants.
Seuls les assistants sociaux auront accès à toutes les informations contenues dans le dossier étudiant.
Mesures de sécurité :
La base nationale bénéficie d'un niveau de sécurité important et tous les échanges entre la base nationale et les bases régionales utiliseront le réseau internet sécurisé (protocole SSL).
Chaque utilisateur de l'application SAGA disposera, en fonction de ses habilitations, d'un identifiant et d'un mot de passe personnel sous la responsabilité d'un administrateur régional.
Information des personnes :
Le responsable du traitement doit, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, informer les étudiants préalablement à la mise en œuvre du traitement :
― de l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
― de la finalité poursuivie par le traitement auquel les données sont destinées ;
― des destinataires ou catégories de destinataires des données ;
― de l'existence des droits d'accès, de rectification et de suppression.
Exercice du droit d'accès, de rectification et de suppression :
Les droits d'accès, de rectification et de suppression définis au chapitre V de la loi du 6 janvier 1978 s'exerceront auprès du directeur du CROUS concerné. Une affiche d'information sera diffusée à cet effet dans les différents centres,
Autorise, dans ces conditions, le Centre national des œuvres universitaires et scolaires à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des aides ponctuelles allouées aux étudiants dans le cadre de l'action sociale et le suivi statistique de l'activité de services sociaux des CROUS.