Conformément à l'article 24-II de la loi du 6 janvier 1978 modifiée, la commission est habilitée à définir, pour les catégories les plus courantes de traitements de données à caractère personnel, celles qui sont dispensées de déclaration.
Compte tenu des finalités, des catégories de personnes concernées, des données à caractère personnel traitées, de la durée de conservation de celles-ci et des destinataires des traitements de données à caractère personnel relatifs à la gestion administrative, comptable et pédagogique des écoles et des établissements d'enseignement secondaire des secteurs public et privé, la commission considère que ceux-ci peuvent faire l'objet d'une telle dispense de déclaration.
Sous réserve du strict respect des dispositions suivantes, la présente délibération vise donc à dispenser de déclaration les responsables de traitements mettant en œuvre cette catégorie de traitements.

Sont dispensés de formalités préalables, par référence à la présente délibération les traitements mis en œuvre par les écoles et les établissements d'enseignement secondaire des secteurs public et privé, qui :
― ne portent que sur des données objectives, strictement nécessaires à la gestion de la scolarité des enfants concernés et aisément contrôlables par les intéressés grâce à l'exercice du droit individuel d'accès ;
― ne donnent lieu à aucune autre mise en relation que celles qui sont nécessaires à l'accomplissement des fonctions énumérées à l'article 2 ci-dessous ;
― comportent des dispositions propres à assurer la sécurité des traitements et des informations ainsi que la garantie des secrets protégés par la loi ;
― satisfont en outre aux conditions énoncées aux articles 2 à 8 ci-dessous.

Finalités des traitements.
Les traitements doivent avoir pour seules finalités :
a) L'édition de listes alphabétiques générales d'élèves, comportant éventuellement l'indication des diplômes obtenus par ces derniers, de certificats de scolarité, de listes de parents d'élèves ou de leurs responsables légaux, de listes d'élèves répartis par classe, par commune de résidence et par catégorie (interne, externe, demi-pensionnaire), de listes d'élèves boursiers et d'étiquettes-adresses ;
b) L'établissement de statistiques anonymes relatives à l'état général des effectifs sur la base des informations limitativement énumérées à l'article 3 ;
c) Le calcul des droits constatés, l'édition de factures, le paiement des frais scolaires et le versement des bourses ;
d) Le suivi de l'assiduité scolaire des élèves (dénombrement des absences des élèves et mention objective de leurs motifs, dénombrement des sanctions disciplinaires et courte description objective de leur mise en œuvre) ;
e) L'édition périodique de bulletins de notes comportant éventuellement le calcul de moyennes, des groupes de niveaux ou de suivis pédagogiques spécifiques ainsi qu'un état récapitulatif annuel des notes en vue de l'orientation et des examens ;
f) L'interfaçage de données avec les espaces numériques de travail (ENT) de l'établissement, de l'académie ou de la collectivité qui le met à disposition de l'établissement, concernant l'emploi du temps des élèves et des enseignants et la gestion des groupes de travail (groupes de niveaux ou de suivis) ;
g) L'interfaçage technique du traitement avec les applications mises à disposition par le ministère de l'éducation nationale (MEN) en conformité avec la loi du 6 janvier 1978 modifiée, telles que :
― le traitement SCONET (autrement dénommé SIECLE) pour faciliter la gestion administrative, pédagogique et financière des élèves du second degré ;
― le livret personnel de compétences (LPC) afin de permettre un enregistrement systématique des acquis des élèves au sens du décret n° 2007-860 du 14 mai 2007 relatif au livret personnel de compétences ;
― le diplôme nationale du brevet (DNB) afin de faciliter l'évaluation des élèves via la remontée de la fiche brevet ;
― admission post-bac (APB), afin de permettre la gestion de l'orientation des élèves et la saisie des vœux pour le second degré et l'enseignement supérieur ;
― le traitement OBII, afin de remonter vers l'applicatif national les compétences du brevet informatique et internet (B2i) ;
― le traitement BE1D (base élèves premier degré), pour faciliter la gestion administrative, pédagogique et financière des élèves du premier degré.
h) La transmission d'informations incombant aux établissements scolaires en vertu des textes en vigueur (notamment pour des motifs de santé publique).
La mise à disposition de téléservices, à l'attention des élèves ou de leurs responsables légaux n'est pas couverte par la présente dispense et doit faire l'objet de formalités auprès de la Commission nationale de l'informatique et des libertés.

Catégories de données traitées.
Les informations traitées ne doivent pas concerner de données entrant dans le champ des articles 8 et 9 de la loi du 6 janvier 1978 modifiée, c'est-à-dire qu'elles ne doivent pas être relatives aux infractions, condamnations ou mesures de sûreté ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques, religieuses, l'appartenance syndicale des personnes ni être relatives à la santé ou à la vie sexuelle de celles-ci.
Dès lors que les dispositions de la délibération relative aux modalités de collecte des données à caractère personnel en milieu scolaire susvisées ont été respectées lors de leur recueil, les informations traitées doivent relever seulement des catégories suivantes :
a) Identité de l'élève : nom, prénoms, sexe, date et lieu de naissance, adresse, adresse électronique de l'élève fournie par l'établissement, nombre de frères et sœurs scolarisés, et, à titre facultatif et uniquement si l'intéressé y consent : la nationalité (uniquement en vue de l'établissement par le ministère de traitements statistiques anonymes), l'adresse électronique personnelle de l'élève, le numéro de téléphone portable de l'élève ;
b) Identité d'un ou plusieurs responsables légaux de l'élève : nom, prénoms, adresse, numéro de téléphone du domicile et professionnel, mode de règlement des frais scolaires ou périscolaires et, à titre facultatif, et uniquement si le responsable légal concerné y consent : sa catégorie socioprofessionnelle (code INSEE, en vue de l'établissement par le ministère de traitements statistiques anonymes), son adresse électronique, son numéro de téléphone portable, son identité bancaire ou postale, l'autorisation de communiquer son adresse ou son courriel aux associations de parents d'élèves ;
c) Scolarité de l'élève : établissement d'origine, classe, groupe, division fréquentés et options suivies pendant l'année scolaire en cours et l'année scolaire antérieure, année d'entrée dans l'établissement, diplômes obtenus, position (non-redoublant, redoublant, triplant), décision d'orientation et décision d'affectation, notes, acquis au sens du décret n° 2007-860 du 14 mai 2007 relatif au livret personnel de compétences, noms des enseignants, absences, sanctions disciplinaires, vœux d'orientation ;
d) Situation financière : nombre de parts de bourse, catégorie (interne, externe, demi-pensionnaire), remises et réductions.

Durée de conservation.
Conformément aux dispositions légales et réglementaires en vigueur, les données concernant les diplômes obtenus, les acquis au sens du décret n° 2007-860 du 14 mai 2007, la classe, le groupe ou la division fréquentés et les options suivies l'année scolaire écoulée peuvent être conservées jusqu'à la fin du cycle d'enseignement secondaire de l'élève concerné.
Les autres données relatives à la scolarité des élèves et à leur situation financière, visées à l'article 3 c et d, ne doivent pas, sauf dispositions légales contraires, être conservées au-delà de l'année scolaire pour laquelle elles ont été enregistrées.
Les données relatives à l'identité de l'élève et à son responsable légal visées à l'article 3 a et b ne doivent pas être conservées au-delà de la date de départ de l'élève de l'établissement.

Destinataires des informations.
Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires des informations strictement nécessaires à l'accomplissement de leurs missions :
a) Le service administratif et le service logistique de l'établissement ;
b) Les conseillers principaux d'éducation et les conseillers d'information et d'orientation ;
c) Les enseignants et l'équipe pédagogique de l'élève concerné ainsi que les jurys d'examens pour les seules informations relatives à la position de l'élève (non-redoublant, redoublant, triplant), aux options choisies, aux acquis validés et aux notes obtenus par celui-ci ;
d) Les associations de parents d'élèves pour les adresses postales et électroniques des seuls responsables légaux des élèves ayant autorisé la transmission de cette information ;
e) Le maire de la commune de résidence des élèves aux fins de contrôle de l'obligation scolaire ;
f) L'inspection académique, uniquement dans le cadre de la mise en œuvre de ses compétences en application de la loi n° 2010-1127 du 28 septembre 2010 visant à lutter contre l'absentéisme scolaire.
Seules peuvent être communiquées à des destinataires tiers, en respectant les procédures prévues par le décret au 17 juillet 1984 susvisé, les informations concernant les élèves destinées :
― soit à l'élaboration et à la diffusion de statistiques relatives au fonctionnement du système éducatif ;
― soit à des tirages d'échantillons de population afin d'effectuer des enquêtes et études statistiques ciblées et spécifiquement motivées.
Sauf disposition légale contraire, aucune autre donnée à caractère personnel ne peut être communiquée à des tiers qu'avec l'accord écrit de l'un des responsables légaux de l'élève ou de l'élève lui-même, lorsque celui-ci en a la capacité (élève de plus de treize ans, concernant des sujets limitativement identifiés).

Sécurités.
Des mesures de protection physique et logique doivent être prises afin de préserver la sécurité du traitement et l'intégrité des données traitées, ainsi que d'empêcher tout accès ou toute utilisation détournés ou frauduleux de celles-ci, notamment par des tiers non autorisés.
Les destinataires visés à l'article 5 accèdent aux informations au moyen d'un identifiant et d'un mot de passe individuel ou par tout autre dispositif sécurisé. Les échanges avec ces destinataires doivent être sécurisés, en particulier concernant les échanges par internet, qui doivent être chiffrés.
Une traçabilité des actions sur les données doit être mise en place pour garantir une utilisation raisonnable et transparente de l'outil (création ou consultation de dossiers, modification ou suppression de données).
L'ensemble des garanties de sécurité, et particulièrement l'hébergement des données, doit garantir que le traitement est en conformité avec les exigences de l'article 34 de la loi du 6 janvier 1978 modifiée.

Information et droit des personnes.
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées (élèves, responsables légaux, enseignants, agents administratifs et acteurs de la vie scolaire concernés) sont informées des finalités du traitement, des destinataires des données, ainsi que des modalités d'exercice de leurs droits, conformément aux articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée.

Enregistrement et traitements complémentaires.
Les traitements dont les finalités sont conformes à celles définies à l'article 2 et qui comportent l'enregistrement de données n'appartenant pas aux catégories limitativement énumérées à l'article 3 ou aboutissant à la transmission d'informations à des destinataires autres que ceux définis à l'article 5 doivent faire l'objet, selon qu'ils relèvent de l'article 23, 25, 26 ou 27 de la loi du 6 janvier 1978 modifiée, d'une demande d'avis, d'une demande d'autorisation ou bien d'une déclaration normale.
En particulier, conformément à l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la mise à disposition de téléservices, à l'attention des élèves ou de leurs responsables légaux, doit faire l'objet de formalités préalables spécifiques auprès de la CNIL (demande d'avis sur le site www.cnil.fr).

Effets de la dispense de déclaration.
Les déclarations simplifiées de conformité régulièrement effectuées sur le fondement de la délibération n° 86-115 du 2 décembre 1986 demeurent valables.
Les traitements répondant aux conditions posées par les articles 1er à 8 ci-dessus présentés peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL.
La dispense de déclaration n'exonère le responsable de traitement d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel.

Est abrogée la délibération n° 86-115 du 2 décembre 1986 concernant les traitements automatisés d'informations nominatives relatifs à la gestion administrative, comptable et pédagogique des écoles et des établissements d'enseignement secondaire du secteur public et privé.
La présente délibération sera publiée au Journal officiel de la République française.