Transmission de données des élèves aux "GAFAM" : les précisions des affaires juridiques (Education nationale)
Paru dans Scolaire le vendredi 07 juillet 2017.
Le Café pédagogique s'est procuré la réponse de la DAJ (direction des affaires juridiques de l'Education nationale) aux syndicats, SNES et CGT Educ'action, qui l'avaient interrogée après qu'un courrier du directeur du numérique éducatif eut mis le feu aux poudres (voir ToutEduc ici). Celui-ci répondait à l'inquiétude des délégués académiques qui constataient que certains enseignants utilisaient avec leurs classes les services d'entreprises privées, éventuellement des "GAFAM" auxquels étaient donc transmis les données des élèves concernés sous forme d' "annuaires". Il leur indiquait que les professeurs devaient passer par leur chef d'établissement, et celui-ci par le rectorat, avant toute transmission de ces données, de façon qu'elles soient convenablement déclarées à la CNIL, et que la connexion avec le prestataire de services soit couverte par des CGU (conditions générales d'utilisation) spécifiques à l'éducation. Notre confrère avait lu au contraire cette lettre comme un encouragement à transmettre les données des élèves aux GAFAM et les organisations syndicales s'en étaient émues.
La DAJ précise que "la mise en relation d'un annuaire avec les services fournis par Google, Apple, Facebook, Amazon ou Microsoft (...) ne constitue pas une interconnexion" au sens que ce mot a dans la loi de 1978, mais elle rappelle que tout "annuaire" [la liste des élèves d'une classe par exemple, ndlr] doit faire l'objet d'une déclaration à la CNIL par son responsable. Elle cite, et c'est le point le plus important de cette lettre, parmi les responsables de la constitution de tels fichiers, le ministre, les recteurs, les DASEN, les chefs d'établissement, mais pas les enseignants comme responsables. C'est au responsable qu'il revient, après cette déclaration, d'autoriser l'exportation de données vers "une application, un service numérique ou un autre traitement de données".
L'information des parents
Le service juridique de l'Education nationale rappelle les règles. Les personnes concernées, notamment les parents des élèves mineurs doivent avoir été informées de la mise en oeuvre du traitement de ces données personnelles, individuellement et via la charte de l'établissement. D'autre part, les CGU, si elles n'ont pas de valeur réglementaire, "encadrent et précisent les relations contractuelles entre le responsable du traitement et les éditeurs", et le responsable peut les poursuivre s'ils ne les respectent pas. Les fournisseurs de services numériques proposent aux établissements scolaires des CGU différentes de celles qu'ils proposent au grand public [qui les signe sans les lire, en général, ndlr]. Ces CGU "éducation" prévoient "la non-réutilisation ou revente des données, l'absence de publicité, la possibilité pour l'utilisateur de récupérer ses données ou d'obtenir leur effacement en fin de contrat".
La DAJ va vérifier auprès des services académiques "qu'ils ont bien déclaré à la CNIL des annuaires pour lesquels l'éventuelle transmission de données à caractère personnel aux GAFAM aurait été prévue". En cas de non déclaration, la responsabilité du chef d'établissement "serait susceptible d'être engagée". A partir de 2018 s'appliquera un règlement européen qui prévoit la possibilité d'engager la responsabilité de l'éditeur. En l'état, le responsable doit prendre "toutes dispositions utiles (...) pour préserver la sécurité des données".
Un courrier qui renforce celui du DNE
Ce courrier de la DAJ va donc dans le même sens que le courrier du DNE (directeur du numérique éducatif) en rappelant aux chefs d'établissement qu'ils sont responsables de l'utilisation qui peut être faite des données des élèves qui leur sont confiés, et que les enseignants ne peuvent utiliser les services d'éditeurs numériques sans les en avertir. Ils ont ensuite tout intérêt à transmettre au niveau académique pour dégager leur responsabilité.
Par ailleurs ce courrier de la DAJ rappelle que, depuis 2010 le code de l'éducation prévoit déjà que "dans les écoles maternelles, les écoles élémentaires et les collèges, l'utilisation durant toute activité d'enseignement et dans les lieux prévus par le règlement intérieur, par un élève, d'un téléphone mobile est interdite" (ici). Il indique également que sont en cours le renouvellement du système de déclaration simplifiée des ENT à la CNIL et la mise en oeuvre du "gestionnaire d'accès aux ressources" qui "a pour objectif de simplifier et sécuriser les accès authentifiés des usagers à leurs ressources numériques pour l'école".
Le courrier est téléchargeable sur le site de notre confrère, ici