La Commission nationale de l'informatique et des libertés,

Saisie le 4 mai 2007 par le ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche d'un projet de décret en Conseil d'Etat, pris en application de l'article 12 de la loi n° 2007-297 du 5 mars 2007 relative à la prévention de la délinquance ;

Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu le code de l'éducation, notamment son article L. 131-6 ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;

Vu la loi n° 2007-297 du 5 mars 2007 relative à la prévention de la délinquance ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Après avoir entendu M. Jean-Marie Cotteret, commissaire en son rapport, et Mme Catherine Pozzo di Borgo, commissaire adjointe du Gouvernement en ses observations,

Emet l'avis suivant :

Le ministère de l'éducation nationale a saisi pour avis la Commission nationale de l'informatique et des libertés d'un projet de décret en Conseil d'Etat, pris pour l'application de l'article L. 131-6 du code de l'éducation et portant sur le traitement automatisé de données à caractère personnel relatif au recensement des enfants soumis à l'obligation scolaire et à l'amélioration du suivi de l'obligation d'assiduité scolaire.

Les dispositions nouvelles de cet article ont été introduites par l'article 12 de la loi n° 2007-297 du 5 mars 2007 relative à la prévention de la délinquance.

Au terme de cet article, est prévue la possibilité pour le maire de mettre en œuvre un traitement automatisé de données à caractère personnel où sont enregistrées les données à caractère personnel relatives aux enfants en âge scolaire domiciliés dans la commune, qui lui sont transmises par les organismes chargés du versement des prestations familiales ainsi que par l'inspecteur d'académie en application de l'article L. 131-8 et par le directeur ou la directrice de l'établissement d'enseignement en application du même article ainsi qu'en cas d'exclusion temporaire ou définitive de l'établissement ou lorsqu'un élève inscrit dans un établissement le quitte en cours ou en fin d'année.

Sur les finalités du traitement :

Le traitement a pour objet de permettre au maire de procéder au recensement des enfants de sa commune soumis à l'obligation scolaire et d'être informé des situations se rapportant à l'inscription et à l'absentéisme scolaires de ces enfants, afin de prendre des mesures à caractère social ou éducatif dans le cadre des compétences qui lui sont conférées par le code de l'action sociale et des familles. Ces mesures peuvent relever directement du ressort du maire, ou consister en la saisine d'une autre autorité par le maire, en particulier le président du conseil général.

La commission prend acte de ce que les modalités de mise en œuvre de ces mesures à caractère social ou éducatif ne relèvent pas du présent projet de décret, et de ce que les informations y afférentes ne sont pas intégrées dans le fichier tenu par le maire.

Sur l'origine des données :

Le deuxième alinéa de l'article L. 131-6 du code de l'éducation susvisé précise que les données enregistrées dans le fichier tenu par le maire lui sont « transmises par les organismes chargés du versement des prestations familiales ainsi que par l'inspecteur d'académie en application de l'article L. 131-8 et par le directeur ou la directrice de l'établissement d'enseignement en application du même article ainsi qu'en cas d'exclusion temporaire ou définitive de l'établissement ou lorsqu'un élève inscrit dans un établissement le quitte en cours ou en fin d'année. »

En application de cette disposition, l'article 3 du projet de décret précise la nature des données transmises, à sa demande, aux maires.

Compte tenu de la sensibilité des données transmises, la commission estime que le projet de décret devrait préciser qu'en cas de transmission par voie électronique celle-ci devrait être sécurisée.

Sur la nature des données à caractère personnel traitées :

L'article 2 du projet de décret énumère les catégories de données qui sont enregistrées dans le traitement. Celles-ci sont relatives à l'identification de l'enfant, de ses responsables légaux et de son établissement scolaire. Elles portent également sur l'absentéisme et les mesures à caractère disciplinaire (avertissement, exclusion temporaire ou définitive) prises.

La commission prend acte qu'aucune donnée relative au suivi des mesures à caractère social ou éducatif n'a vocation à figurer dans le traitement.

Elle prend acte également de ce que le maire n'a pas connaissance des motifs d'absentéisme, ni de ceux pour lesquels des mesures à caractère disciplinaire (avertissement, exclusion temporaire ou définitive) ont été prises.

Sur l'accès au traitement et les destinataires des informations :

La commission prend acte que seuls les élus ayant reçu délégation du maire pour les affaires scolaires ou sociales et les agents dûment habilités de la mairie pourront accéder au traitement, dans la mesure où cet accès sera nécessaire à l'exercice de leurs missions.

En outre, seuls les agents du centre communal d'action sociale et les agents de la caisse des écoles, l'inspecteur d'académie, le président du conseil général ou son ou ses représentants et les agents des services départementaux chargés de l'aide et de l'action sociale dûment habilités, le coordonnateur prévu à l'article L. 121-6-2 du code de l'action sociale et des familles seront habilités à recevoir communication des données enregistrées, dans la mesure où cette communication sera nécessaire à l'exercice de leurs missions dans le cadre de la mise en œuvre de mesures à caractère social ou éducatif.

Sur la durée de conservation des données :

L'article 4 du projet de décret prévoit que les données figurant aux 1°, 2°, 3° et 4° de l'article 2, à savoir celles relatives à l'identification de l'enfant, de ses responsables légaux et de son établissement scolaire, ne seront pas conservées au-delà de l'année scolaire au cours de laquelle l'enfant atteint l'âge de seize ans.

Concernant les informations relatives à l'absentéisme et aux sanctions et mesures à caractère disciplinaire (avertissement, exclusion temporaire ou définitive) figurant aux 5°, 6° et 7° de l'article 2 du projet de décret, elles ne seront pas conservées au-delà de la fin de l'année scolaire au cours de laquelle elles ont fait l'objet du traitement automatisé.

Ces dispositions n'appellent pas d'observations particulières de la commission.

La CNIL prend acte également que les données seront effacées lorsque l'enfant ne réside plus dans la commune.

A cet égard, la commission demande que le projet de décret rappelle les dispositions prévues à l'article R. 131-3 du code de l'éducation selon lesquelles les directeurs d'école et les chefs d'établissement adressent au maire l'état des mutations des enfants fréquentant leur établissement à la fin de chaque mois.

Sur l'information des personnes :

La commission relève que l'article 6 du projet de décret prévoit que le droit d'accès et de rectification s'exerce auprès du maire. L'article 7 précise également que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas au présent traitement.

La commission observe que d'autres acteurs que le maire sont concernés par ce dispositif, à savoir les établissements d'enseignement, les inspections académiques et les organismes chargés du versement des prestations familiales.

En conséquence, la commission appelle l'attention des différents ministres chargés de l'exécution du présent décret sur la nécessité, pour les différents acteurs, d'informer les personnes auprès desquelles sont collectées des données de ce que ces dernières peuvent être communiquées au maire à des fins de contrôle de l'obligation scolaire et de suivi de l'absentéisme.

Sur les formalités préalables applicables :

La commission observe que le projet de décret en Conseil d'Etat qui lui est soumis définit un cadre strict pour la mise en œuvre des fichiers relatifs au suivi de l'obligation et de l'absentéisme scolaires concernant la finalité, l'origine et la nature des données traitées, l'accès au traitement et les destinataires des informations, la durée de conservation, les droits d'accès, de rectification et d'opposition.

La commission a toutefois relevé que le décret devait être complété sur les mesures à prendre pour assurer la sécurité des traitements et la confidentialité des données, notamment à l'occasion de leur transmission par les organismes chargés du versement des prestations familiales. De même, elle a attiré l'attention sur la nécessité pour les différents acteurs concernés d'informer les personnes sur les transmissions d'informations les concernant.

Elle considère qu'elle a ainsi été mise en mesure, à l'occasion de cet examen, d'exercer un contrôle a priori sur les fichiers relatifs au suivi de l'obligation et de l'absentéisme scolaires, afin de s'assurer du respect des principes reconnus par la loi du 6 janvier 1978 modifiée.

Il lui apparaît dès lors possible que le projet de décret dispense de formalités préalables les 36 000 communes, les organismes chargés du versement des prestations familiales visés à l'article 3 du projet de décret, l'inspecteur d'académie et le directeur de l'établissement en application de l'article L. 131-8 du code de l'éducation, ainsi que l'ensemble des autres services rendus destinataires des données, sous réserve de satisfaire à l'ensemble des conditions de traitement des données personnelles posées par ce texte intégrant les observations formulées par la commission.

Ainsi, la commission estime que le décret devrait être complété par une disposition prévoyant que les traitements mis en œuvre par les maires seront dispensés de déclarer leurs traitements auprès de la CNIL.

Elle considère que cet article, intégré comme disposition finale, devrait être formulé de la manière suivante :

« Les organismes mettant en œuvre des traitements de données à caractère personnel dans le respect de l'ensemble des dispositions du présent décret sont dispensés, par dérogation à l'article 22 de la loi du 6 janvier 1978 susvisée, de déclarer ces traitements à la Commission nationale de l'informatique et des libertés.

« Tout autre traitement de ces données doit faire l'objet des formalités préalables auprès de ladite commission dans le respect des dispositions de la loi du 6 janvier 1978 susvisée. »