Admission Post-Bac (APB) : la CNIL publie une mise en demeure pour plusieurs manquements à la loi
Paru dans Scolaire, Orientation le jeudi 28 septembre 2017.
La présidente de la CNIL "met en demeure le ministère de l’Enseignement Supérieur, de la Recherche et de l’Innovation de cesser de prendre des décisions concernant des personnes sur le seul fondement d’un algorithme [APB, ndlr] et de faire preuve de plus de transparence dans son utilisation". La Commission nationale de l'informatique et des libertés publie ce 28 septembre une décision prise le 30 août.
Isabelle Falque-Pierrotin fait valoir quatre arguments. C'est d'abord "un manquement aux dispositions de l’article 10 de la loi du 6 janvier 1978" qui prévoit qu' "aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données (...)". Or c'est bien un algorithme qui "établit un profil des personnes à partir de trois critères d’importance décroissante", et qui attribue "un nombre aléatoire permettant de classer" les candidats se trouvant dans une situation identique. De plus, APB adresse automatiquement aux candidats "une proposition de formation sans que les établissements ne disposent d’une maîtrise sur l’affectation" en question et alors "qu’aucun réexamen de la décision finale prise sur le seul fondement du traitement APB n’est effectué au vu des éléments fournis par les candidats souhaitant contester les décisions prises à leur égard" : ce traitement automatisé n'est assorti "d’aucune intervention humaine et manuelle".
Deuxième argument (article 32-I), les candidats "sont tenus de remplir un formulaire de pré-inscription" et de fournir "un nombre important de données à caractère personnel telles que leurs nom, prénom, date de naissance, pays de naissance, nationalité, situation de famille (marié, pacsé, nombre de personnes à charge), adresse, numéro de téléphone, noms et catégorie socio-professionnelle des responsables légaux, revenu brut global, nombre de frères et sœurs à charge de la famille, ou encore le nombre de frères et sœurs scolarisés dans l’enseignement supérieur" sans disposer d'aucune information relative "à l’identité du responsable du traitement, à la finalité poursuivie par le traitement et aux droits dont disposent les personnes en vertu de la loi Informatique et Libertés". Les notes obtenues au baccalauréat "ainsi qu’en classes de première et terminale" sont insérées dans le formulaire APB et "ces données sont transmises aux établissements proposant des formations sélectives", les formations non sélectives ont d'ailleurs "accès à l’intégralité des données des candidats".
Troisième argument (article 39-I-5), aucune information relative au fonctionnement de l'algorithme n’est fournie aux candidats.
Quatrième argument (articles 34 et 35), "un manquement à l’obligation d’assurer la sécurité et la confidentialité des données gérées par un sous-traitant", dans le cas de la plainte qu'elle a reçue, il s'agit de l’Institut national polytechnique de Toulouse dont la convention passée avec l'Education nationale "ne prévoit pas de clauses relatives [à ses] obligations en matière de sécurité et de confidentialité des données à caractère personnel".
Le ministère dispose de trois mois pour "cesser de prendre des décisions produisant des effets juridiques à l’égard des personnes sur le seul fondement d’un traitement automatisé" et pour "prévoir une intervention humaine permettant de tenir compte des observations des personnes", pour procéder à l’information des candidats sur l’identité du responsable du traitement, garantir "la transmission aux personnes des informations permettant de connaître et de contester la logique qui sous-tend le traitement APB" et insérer une clause dans les conventions avec les établissements d'enseignement supérieur [la décision ne cite que l'Institut polytechnique de Toulouse] sur les obligations qui [leur] incombent "en matière de sécurité et de confidentialité des données".
Dans son commentaire, la CNIL précise qu'elle "ne remet pas en cause le principe même de l’utilisation des algorithmes dans la prise de décision", mais sans "exclure toute intervention humaine".
Le site de la CNIL ici, la décision ici