La Commission nationale de l'informatique et des libertés,

Saisie pour avis par le ministère de l'éducation nationale, de la jeunesse et de la vie associative (MENJVA) d'un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice permettant à l'élève et à ses responsables légaux de consulter ses absences à distance ;

Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu les articles L. 131-8 et suivants du code de l'éducation ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 27-II (4°) ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu la demande d'avis du directeur général de la direction générale de l'enseignement scolaire (DGESCO) sur un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice permettant à l'élève et à ses responsables légaux de consulter ses absences à distance ;

Après avoir entendu M. Eric Peres, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;

Emet l'avis suivant :

Conformément à l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, la CNIL a été saisie par le ministère de l'éducation nationale, de la jeunesse et de la vie associative (MENJVA) d'une demande d'avis relative à la mise à disposition des chefs d'établissements d'un téléservice destiné aux élèves et à leurs responsables légaux afin de consulter à distance les absences de l'élève concerné.

Ce téléservice, dénommé « Téléservice-absences », permettra aux élèves et aux responsables légaux de l'enfant de consulter à distance le relevé des absences des élèves.

Il se présentera sous la forme d'un nouveau module de consultation à distance de l'application de gestion des absences « SCONET Absences », qui permet, au niveau de l'établissement scolaire, la saisie des absences dans le traitement de gestion administrative, pédagogique et financière SCOLARITÉ.

Ce téléservice, qui résulte d'une demande expresse des utilisateurs de SCONET Absences, tels que les conseillers principaux d'éducation (CPE) et les chefs d'établissements, se borne à recenser le nombre de demi-journées d'absences justifiées par un motif légitime.

L'appréciation du caractère « légitime » de l'absence de l'élève sera partie intégrante des missions du conseiller principal d'éducation (CPE) et du chef d'établissement. Elle sera effectuée à partir des motifs légitimes recensés dans l'article L. 131-8 du code de l'éducation.

Au titre de l'article L. 131-8 du code de l'éducation, « les seuls motifs réputés légitimes sont les suivants : maladie de l'enfant, maladie transmissible ou contagieuse d'un membre de la famille, réunion solennelle de famille, empêchement résultant de la difficulté accidentelle des communications, absence temporaire des personnes responsables lorsque les enfants les suivent ».

Ainsi, le Téléservice-absences permet seulement de comptabiliser le nombre des absences relevées par les enseignants et transmises au conseiller principal d'éducation, qui sont justifiées par un motif légitime, à l'exclusion de toute absence non justifiée ou dont le motif est considéré comme « non légitime ». Il ne permettra pas non plus de recenser les retards ou les retenues de l'élève.

Lorsqu'un enseignant constatera une absence, il en informera immédiatement le conseiller pédagogique et d'éducation. Celui-ci dispose d'une fiche de renseignements de l'élève issue de SCONET. Il contactera ensuite la famille concernée par courrier, par courriel ou par SMS.

La commission a pris acte que l'usage de ce téléservice reste entièrement facultatif. Tout d'abord, les conseils d'administration des différents établissements du second degré restent libres de ne pas recourir à ce téléservice. En outre, les parents d'élèves de l'établissement qui auraient fait le choix de ce dispositif conservent la faculté de ne pas activer leur compte et de ne pas recourir à ce téléservice.

Ce téléservice s'inscrit dans le cadre de l'offre des téléservices SCONET que le MENJVA propose aux élèves et aux responsables légaux de l'enfant, s'agissant de la consultation des notes à distance (demande d'avis n° 1409718 du 27 janvier 2010 sur le traitement SCONOTES).

La mise en œuvre du Téléservice-absences :

L'ouverture d'un compte :

La création du compte de l'élève sera effectuée par l'élève lui-même à partir du code d'activation qui lui sera transmis par l'établissement lors d'une réunion d'information organisée sous la responsabilité d'un enseignant ou d'une personne de l'équipe éducative de l'établissement.

La création du compte des responsables légaux sera effectuée conformément à la procédure suivante :

― un code d'activation sera adressé au représentant légal de l'élève par courrier ou par courriel, afin de lui permettre de se connecter au téléservice ;

― le représentant légal pourra librement choisir d'activer ce service ou non ;

― dans le cas d'une absence d'utilisation du code d'activation transmis, pendant un délai de 3 mois, ce code d'activation sera détruit ;

― dans le cas d'une activation du compte, le représentant légal créera un compte personnel en définissant un mot de passe personnel associé à ce compte ;

― les données relatives aux absences seront rendues accessibles à distance via ce téléservice.

Le refus des parents de recourir au Téléservice-absences pourra être recueilli par courrier ou par courriel. Ce refus concernera tous les enfants dont ils ont la responsabilité.

Conformément à ce qu'avait recommandé la CNIL dans le cadre de la demande d'avis relative au téléservice SCONOTES, le MENJVA confirme qu'aucune création de compte de l'élève n'aura lieu avant le recueil du consentement des parents d'élèves.

La fermeture d'un compte :

Lorsque l'élève quitte l'établissement, la fermeture du compte a lieu, par défaut, en fin d'année scolaire ou bien après réception d'une demande expresse des responsables légaux de l'enfant en ce sens, par courrier ou par courriel.

Sur la finalité du téléservice :

Le Téléservice-absences a pour objet « de permettre aux élèves des établissements du second degré ainsi qu'à leurs responsables légaux, de consulter, via internet, les absences constatées par l'établissement scolaire dans lequel ils sont inscrits » (art. 1er du projet d'arrêté).

L'objectif de ce téléservice est donc uniquement de recenser les absences considérées comme légitimes, au sens de l'article L. 131-8 du code de l'éducation, à l'exclusion des absences dont la justification serait attendue ou susceptible d'être qualifiée d'irrégulière.

Le Téléservice-absences ne se substitue pas aux modalités usuelles et réglementaires de suivi des absences des élèves et n'a notamment pas pour objectif de servir de première alerte aux parents pour les informer le jour même de l'absence de l'élève (les courriers postaux, électroniques, les SMS et les appels téléphoniques étant les moyens de communication traditionnellement utilisés par les établissements).

Par conséquent, ce dispositif ne répond pas à un objectif de lutte contre l'absentéisme scolaire, tel que défini par la loi n° 2010-1127 du 28 septembre 2010. Il ne vise donc pas à la gestion de la procédure de sanction prévue par cette loi en cas d'absences dites illégitimes ou irrégulières.

Néanmoins, la commission rappelle qu'elle devrait être saisie sur la base de nouvelles formalités préalables en cas de modification de la version actuelle du téléservice, particulièrement si le Téléservice-absences devait contribuer directement à la mise en œuvre de la loi visant à lutter contre l'absentéisme scolaire.

Sur les données traitées :

Les catégories de données traitées sont des données d'identification, collectées auprès de l'élève et des responsables légaux, et des données relatives aux absences de l'élève, saisies par les agents administratifs de l'établissement concerné, de la 6e à la terminale.

En premier lieu, les informations relatives à l'identification des élèves sont les suivantes :

― « nom et prénom ;

― classe ;

― nombre de demi-journées où une absence a été constatée, pour laquelle le motif a été coché comme "légitime” et qui a été classée par le conseiller pédagogique de l'établissement ;

― identifiant choisi par l'élève permettant l'accès au téléservice ;

― mot de passe choisi par l'élève permettant l'accès au téléservice » (art. 2 du projet d'arrêté).

La commission prend acte que le numéro d'identification académique des élèves du second degré (n° INE-BEA) ne sera pas saisi dans l'application.

En second lieu, les informations relatives à l'identification des responsables légaux sont les suivantes :

― « nom et prénom ;

― identifiant choisi par le responsable légal permettant l'accès au téléservice ;

― mot de passe choisi par le responsable légal permettant l'accès au téléservice » (art. 2 du projet d'arrêté).

En dernier lieu, les informations relatives aux absences de l'élève se limitent à leur nombre. Ainsi, la commission prend acte que ni le motif, ni l'heure, ni le cours, ni la date précise de l'absence n'apparaissent dans le traitement : seul le suivi statistique des absences est consultable par les ayants droit.

L'alimentation du traitement sera effectuée :

― concernant les données d'identification des élèves : par le biais des données fournies directement par l'élève et des données traitées dans SCONET ;

― concernant les données d'identification des responsables légaux : par les données fournies directement par les responsables légaux ;

― concernant les données de connexion des élèves et des responsables : par les codes d'activation cryptés mis à disposition par le MENJVA, puis les mots de passe et login choisis par l'usager ;

― concernant les informations relatives aux absences des élèves : par une saisie directe de ces informations par les agents administratifs de l'établissement habilités.

Sur les destinataires :

Les destinataires des données traitées seront, à titre principal, les responsables légaux de l'élève. Les élèves seront également habilités à recevoir communication de ces données, sous réserve que leurs responsables légaux donnent leur accord.

Chaque destinataire des données disposera d'un compte personnel et sera donc identifié personnellement. Ainsi, chaque responsable légal concerné disposera d'un identifiant de connexion personnel et distinct.

Sur la durée de conservation :

Les données traitées seront conservées une année, afin de couvrir l'année scolaire en cours.

Sur la sécurité :

Etant un module du traitement SCONET, les garanties de sécurité appliquées au Téléservice-absences résultent des conditions de sécurité décrites dans le traitement précité, déclaré en 1993.

Toutefois, la commission appelle l'attention du MENJVA sur les points suivants.

En premier lieu, la commission rappelle l'importance de définir des mesures de sécurité physique adéquates pour l'accès aux équipements hébergeant SCONET et le téléservice.

Le code d'activation responsable (CAR) permet au responsable légal de créer un seul compte pour plusieurs enfants, même si ces enfants fréquentent des établissements différents de la même académie.

En second lieu, la commission rappelle qu'elle recommande des mots de passe de huit caractères minimum comprenant plusieurs types de caractères. Ces mots de passe ne doivent pas être accessibles aux administrateurs.

En troisième lieu, la commission relève que le MENJVA a confirmé qu'aucun transfert de données hors UE n'aura lieu et qu'aucune externalisation du stockage ne sera effectuée.

En quatrième lieu, la commission souligne l'importance d'une traçabilité pour la création de comptes et pour les connexions à l'application. La commission considère notamment qu'une traçabilité des identifiants des utilisateurs administrateurs du service devrait être prévue.

De plus, les personnes dont les accès sont tracés ne devraient pas avoir accès aux traces elles-mêmes. Enfin, la commission recommande une analyse automatique des traces pour y détecter les anomalies.

En dernier lieu, le Téléservice-absences a été conçu pour répondre aux exigences du référentiel général de sécurité (RGS) défini dans l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.

La commission prend acte que le MENJVA a engagé la mise en conformité aux exigences de ce référentiel et réalisera avant le lancement du service une homologation de sécurité.

Sur les droits des personnes :

Téléservice-absences est un module de SCOLARITÉ. Les droits des personnes au regard des articles 32, 39 et 40 de la loi modifiée seront donc portés à la connaissance des responsables légaux au moment du recueil des données relatives à l'identité de l'élève en début d'année scolaire, lors de son inscription dans l'établissement concerné.

Des mentions légales relatives à la mise en œuvre du droit d'accès seront également portées sur les formulaires de collecte des données et les courriers personnalisés adressés aux responsables légaux pour leur communiquer les codes d'activation de leurs comptes.

La commission prend acte que le Téléservice-absences est un service facultatif et que le droit d'opposition ne fait donc l'objet d'aucune mention spécifique dans le projet d'arrêté.

Néanmoins, dans le respect des droits des parents d'élèves ne souhaitant pas recourir à ce téléservice, la commission recommande que, par défaut, dans le traitement SCONET, la case « publiable TS » (signifiant l'activation du téléservice) soit décochée.

Autres recommandations de la CNIL :

Le Téléservice-absences s'inscrit dans le cadre du développement de l'offre de téléservices scolaires dans le second degré (notes, absences, livret personnel de compétences).

A ce titre, la commission insiste sur la nécessité, pour le MENJVA, d'informer chaque établissement utilisant ce téléservice de son obligation de continuer à mettre à disposition des responsables légaux qui ne seraient pas en capacité d'accéder au téléservice proposé ou qui ne souhaiteraient pas l'utiliser un autre moyen d'accès aux données traitées dans le téléservice (appels téléphoniques, envoi d'un courrier postal, d'un courriel ou d'un SMS).

Ainsi, une demande écrite en ce sens devra pouvoir être adressée à l'établissement par les responsables légaux de l'élève sur le carnet de correspondance de l'élève.

Sur la mise en place d'un bilan :

La commission demande au MENJVA de lui adresser, dans un délai de ans ans, un bilan sur la mise en œuvre du Téléservice-absences, afin :

― d'indiquer quelles mesures alternatives seront mises à la disposition des responsables légaux ne souhaitant pas utiliser le Téléservice-absences pour être informés, de manière régulière, de la validation des acquis de leurs enfants ;

― de dresser un tableau récapitulatif des mesures prises par le MENJVA dans le cadre de l'homologation RGS du téléservice ;

― de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits, et particulièrement les personnes ne souhaitant pas bénéficier de ce téléservice ;

― de réaliser une mesure d'audience des consultations du téléservice.

Pour la présidente et par délégation :

Le vice-président délégué,

E. de Givry