La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 21 janvier 2016 autorisant la mise en œuvre par le ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche d'un traitement automatisé de données à caractère personnel dénommé « suivi de consultation bulletin n° 2 » (SCB2) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu le code de procédure pénale, notamment ses articles 706-47, 706-53-1 à 706-53-12 et R. 53-8-1 à R. 53-8-39 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I et 30-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 21 janvier 2016 autorisant la mise en œuvre par le ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche d'un traitement automatisé de données à caractère personnel dénommé « suivi de consultation bulletin n° 2 » (SCB2) ;
Vu la délibération n° 2016-006 du 14 janvier 2016 portant avis sur un projet d'arrêté autorisant la mise en œuvre par le ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche d'un traitement automatisé de données à caractère personnel dénommé « suivi de consultation bulletin n° 2 » (SCB2) ;
Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par la ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche d'une demande d'avis relative à un projet d'arrêté modifiant l'arrêté du 21 janvier 2016 autorisant la mise en œuvre au ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche d'un traitement automatisé de données à caractère personnel dénommé « suivi de consultation bulletin n° 2 » (SCB2).
Le traitement SCB2 a été créé par l'arrêté du 21 janvier 2016 susvisé, pris après l'avis motivé et publié de la commission en date du 14 janvier 2016. Ce traitement vise à permettre au ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche (MENESR) d'automatiser la consultation du bulletin n° 2 du casier judiciaire (B2) de certains de ses agents exerçant des fonctions dans un service impliquant un contact habituel avec des mineurs afin d'assurer la protection de ceux-ci, dans les conditions prévues à l'article R. 79 du code de procédure pénale (CPP).
La modification envisagée vise à ajouter une finalité audit traitement, à savoir la consultation automatisée du fichier judiciaire automatisé des auteurs d'infractions sexuelles ou violentes (FIJAISV).
En application des dispositions des articles 26-I et 30-II de la loi du 6 janvier 1978 modifiée, ces modifications doivent être autorisées par arrêté ministériel pris après avis motivé et publié de la commission.
Sur l'ajout d'une nouvelle finalité au traitement SCB2 :
Pour rappel, le traitement SCB2, mis en œuvre par le MENESR, a pour finalité « d'assurer la protection des mineurs, aussi bien des établissements d'enseignement des premier et second degrés publics et privés sous contrat dans lesquels ils sont scolarisés que dans les services ayant vocation à les recevoir ». Plus précisément, il s'agit pour le ministère de s'assurer que ses agents n'ont pas été condamnés pour des infractions qu'il juge incompatibles avec l'exercice de leur profession, lorsqu'elle s'exerce dans un service impliquant un contact habituel avec des mineurs.
Sa création est intervenue dans un contexte de renforcement de la protection des mineurs, suite à la constatation de graves dysfonctionnements dans les échanges d'informations entre les ministères de la justice et de l'éducation nationale, de l'enseignement supérieur et de la recherche.
Le traitement SCB2 permet ainsi la consultation automatisée, par liste d'identités, du bulletin n° 2 du casier judiciaire, en sus du contrôle effectué lors du recrutement. Cette opération de consultation, qui ne sera réalisée qu'une seule fois, devrait, au regard de l'ensemble des personnels concernés, s'étendre sur une durée comprise entre douze et dix-huit mois.
La modification projetée a pour objet l'ajout d'un second volet à l'application SCB2 permettant la consultation par liste d'identités, par les personnels habilités du MENESR du FIJAISV. Ainsi, l'article 1er du projet d'arrêté prévoit d'ajouter une nouvelle finalité au traitement SCB2 (désormais dénommé « SCB2F »), à savoir la consultation dudit fichier.
Les conditions de mise en œuvre de ce traitement sont prévues aux articles 706-53-1 à 706-53-12 du CPP et précisées aux articles R. 53-8-1 à R. 53-8-39 dudit code. Tenu par le service du casier judiciaire national, sous l'autorité du ministère de la justice et sous le contrôle d'un magistrat, il a pour finalités de prévenir le renouvellement des infractions graves, telles que les meurtres, assassinats, agressions ou atteintes sexuelles, et de faciliter l'identification de leurs auteurs.
La commission relève tout d'abord que les articles 706-53-7 et R. 53-8-24 du CPP prévoient expressément la possibilité, pour le ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche, de consulter le FIJAISV au cas par cas, pour les décisions de recrutement, d'affectation, d'autorisation, d'agrément ou d'habilitation concernant des activités ou professions impliquant un contact avec des mineurs, ainsi que pour le contrôle de l'exercice de ces activités ou professions.
Elle prend en outre acte des précisions apportées par le ministère, selon lesquelles la consultation de ce traitement est complémentaire de celle du bulletin n° 2 du casier judiciaire. Elle doit ainsi permettre d'accéder à des informations ne figurant pas dans le casier judiciaire, telles que celles relatives à des personnes faisant l'objet de condamnations non définitives. En effet, le FIJAISV fait mention, s'agissant des infractions limitativement énumérées à l'article 706-47 du CPP, des procédures en cours (inscription des condamnations dès leur prononcé, sans attendre l'expiration des délais d'appel ni même en cas d'ouverture d'un recours), mais également des cas dans lesquels les personnes sont mises en examen avant tout jugement.
En outre, la durée de conservation des données dans le FIJAISV est plus longue que celle prévue pour les données contenues dans le bulletin n° 2 du casier judiciaire. Sa consultation permet donc d'obtenir des informations qui ne figurent plus dans le casier judiciaire.
La commission observe que la consultation du FIJAISV dans le cadre de l'application SCB2F permettra donc un contrôle plus complet des agents exerçant une profession impliquant un contact habituel avec des mineurs conformément à la finalité du SCB2.
Au regard de ces éléments, la commission estime que l'ajout du volet de consultation du FIJAISV dans le traitement constitue une finalité déterminée, explicite et légitime, au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle rappelle néanmoins que des garanties appropriées doivent être mises en œuvre, aussi bien concernant la délimitation des professionnels concernés que les conséquences pour les personnes dont l'inscription au FIJAISV sera consultée.
Sur le périmètre et les modalités de mise en œuvre de la consultation :
Le traitement SCB2F permet à chaque académie de consulter automatiquement le FIJAISV, par listes d'identités, par l'intermédiaire d'un dispositif technique. En retour, le service du casier judiciaire national (CJN) transmet une réponse codée, pouvant comporter la mention « N » (identité non inscrite au FIJAISV), « C » (identité à consulter via l'application web FIJAIS par le partenaire), « I » (identité inconnue au répertoire national d'identification des personnes physiques) et « E » (identité rejetée).
S'agissant des personnes concernées par cette opération de consultation, la commission relève que ce sont les mêmes que celles concernées par l'opération de consultation du bulletin n° 2 du casier judiciaire. Il s'agit ainsi des personnels de l'éducation nationale titulaires ou contractuels affectés dans une école, un établissement scolaire public ou privé ou un service accueillant des élèves mineurs, tels qu'un centre d'information et d'orientation.
S'agissant des infractions concernées, la commission avait estimé, dans sa délibération du 16 janvier 2016, qu'il était indispensable que soit prévue une liste limitative de ces infractions, afin de s'assurer que les condamnations susceptibles, après avoir fait l'objet d'une appréciation au cas par cas, de fonder une poursuite disciplinaire s'inscrivent bien dans le cadre de l'article R. 79 du CPP, dédié à la protection des mineurs.
En l'espèce, la définition d'une telle liste n'est pas nécessaire. En effet, les informations contenues dans le FIJAISV ne concernent que les infractions énumérées à l'article 706-47 du code de procédure pénale et toutes les inscriptions au FIJAISV feront donc l'objet d'une instruction complémentaire. Au regard de la gravité de ces infractions, ce point n'appelle pas d'observation complémentaire de la commission.
Pour ce qui concerne les suites qui seraient données à cette consultation administrative du FIJAISV, la commission relève que les réponses « N » ne seront suivies d'aucune action, les personnes n'étant pas inscrites au FIJAISV. En cas de réponse « I », le directeur des ressources humaines (DRH) académique, ou l'agent habilité à cet effet, vérifiera l'état civil de la personne concernée puis consultera manuellement l'application web FIJAIS.
Pour ce qui concerne les réponses « C », l'application web FIJAIS sera également consultée afin d'avoir connaissance de l'ensemble des informations relatives à la personne concernée figurant dans ce fichier. Le DRH académique ou l'agent habilité à cet effet procède ensuite, pour les inscriptions qui n'auraient pas déjà été portées à la connaissance de l'administration, à une demande d'éléments complémentaires auprès des autorités judiciaires, avant de les transmettre pour instruction aux services compétents en matière disciplinaire.
Enfin, pour les réponses « E », une correction devra être effectuée par l'équipe d'exploitation technique, avant de relancer automatiquement la consultation du FIJAISV.
La commission rappelle que cette instruction doit être réalisée dans le respect des dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée, qui interdisent à tout responsable de traitement de prendre une décision produisant des effets juridiques à l'égard des personnes concernées sur le seul fondement d'un traitement automatisé de données. En tout état de cause, les procédures disciplinaires dont feront l'objet les agents concernés seront engagées et menées sous le contrôle du juge administratif.
En ce qui concerne les modalités de consultation, la commission rappelle que l'article 706-53-11 du CPP interdit tout rapprochement ou interconnexion du FIJAISV avec tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice, à l'exception du fichier des personnes recherchées (FPR).
Elle prend acte des précisions apportées par le ministère, selon lesquelles les réponses adressées par le casier judiciaire sont constituées d'un identifiant non signifiant auquel est annexée l'une des différentes réponses codées. Ainsi, les informations relatives au FIJAISV figurant dans le traitement SCB2F ne font pas apparaître directement l'identité des personnes concernées.
Elle relève également que les données contenues dans le traitement FIJAISV ne viendront pas enrichir le traitement SCB2F. En outre, la mise en relation du traitement avec le FIJAISV ne sera effectuée que manuellement par l'intermédiaire de l'application web FIJAIS dans tous les cas où les réponses envoyées par les services du casier judiciaire nécessiteraient une consultation du FIJAISV.
Ainsi, au regard de ces éléments, la commission considère que le dispositif mis en œuvre dans le cadre du traitement SCB2F ne constitue pas une interconnexion au sens de la loi du 6 janvier 1978 modifiée et est donc conforme aux dispositions du CPP relatives aux FIJAISV.
Sur l'architecture et les mesures de sécurité :
L'architecture, les mesures de sécurité et de traçabilité qui avaient été présentées à la commission dans le cadre de l'examen de l'arrêté du 21 janvier 2016 susvisé sont applicables aux nouvelles données traitées dans le cadre de la consultation du FIJAISV.
Ainsi, les échanges entre les services de l'éducation nationale et le service du casier judiciaire, qui ont lieu sur le réseau interministériel de l'Etat (RIE), sont sécurisés au moyen de protocoles de chiffrement HTTPS/XML de nature à garantir la confidentialité des données lors de leur transmission.
En cas de réponse positive à une requête, c'est-à-dire lorsque la personne est susceptible d'être inscrite au FIJAIS ou que sont inscrites dans le fichier plusieurs identités approchantes, seules des personnes spécifiquement habilitées utiliseront le traitement web FIJAIS déjà porté à la connaissance de la commission, pour obtenir les informations inscrites au FIJAISV pour la personne concernée.
Les utilisateurs du traitement SCB2F sont les mêmes s'agissant du volet relatif à la consultation du bulletin n° 2 du casier judiciaire et du volet relatif à la consultation du FIJAISV. Pour rappel, ils sont authentifiés au moyen de dispositifs OTP (mot de passe à usage unique).
S'agissant des documents au format papier que les services solliciteront auprès de l'autorité judiciaire pour tout dossier nécessitant une réponse disciplinaire et qui ne seraient pas incorporés au dossier individuel du fonctionnaire, la commission recommande que leur destruction se fasse au moyen d'un broyeur garantissant une élimination sécurisée des documents.
Au regard de ces éléments, la commission estime que les mesures de sécurité décrites par le responsable de traitement sont de nature à garantir un risque limité d'atteinte aux données et sont donc conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres conditions de mise en œuvre :
L'article 4 du projet d'arrêté prévoit qu'un ou deux proches collaborateurs nommément désignés des directeurs des ressources humaines des rectorats d'académie seront également destinataires du traitement SCB2F. Cet ajout se justifie par la nécessité de remplacer ou seconder le DRH académique en cas de besoin et n'appelle donc pas d'observation particulière de la commission.
Concernant les autres modalités de traitement des données, notamment leur durée de conservation, et les modalités d'exercice des droits des personnes, la commission constate qu'elles sont similaires à celles prévues par l'arrêté du 21 janvier 2016. Ces modalités de traitement des données avaient été jugées satisfaisantes par la commission dans sa délibération du 14 janvier 2016 et n'appellent dès lors pas de nouvelles observations de la commission.
Pour ce qui concerne plus précisément l'information des personnes concernées, le ministère de l'éducation nationale avait indiqué qu'elle serait délivrée par l'intermédiaire de la publication d'une circulaire, au Bulletin officiel du ministère de l'éducation nationale, et par l'information des organisations syndicales nationales représentatives. La commission rappelle l'importance, au regard de l'ampleur des opérations et du volume des personnes concernées, de fournir une information claire à ces personnes.