Home

Guide informatique et libertés pour l`Enseignement supérieur

1. gt Le responsable du traitement doit prendre toutes mesures pour emp cher que les donn es soient d form es endommag es ou que des tiers non autoris s y aient acc s gt Les mesures de s curit tant physique que logique doivent tre prises 1 La dur e de conservation d clar e dans le dossier de formalit adress la CNIL ou dans le registre du CIL doit correspondre la p riode durant laquelle les donn es restent accessibles ou consultables directement par le personnel par opposition avec la p riode d archivage des donn es pendant laquelle celles ci ne sont plus destin es tre utilis es des fins de gestion et sont de ce fait conserv es sur un support distinct au sein d un service d archives Se reporter l instruction minist rielle sur l archivage r f rence DAF DPACVRES 2005 003 du 22 f vrier 2005 2 Voir annexe 2 mod le de clause de confidentialit dans le cadre d un march ou d un contrat de sous traitance CPU AMUE CNIL 2009 13 Fiches th matiques E 14 gt Les mesures de s curit doivent tre adapt es la nature des donn es et aux risques pr sent s par le traitement EX Le principe du respect du droit des personnes 5 1 Informer les int ress s Lors de l informatisation de tel ou tel service ou lorsque des donn es sont recueillies par exem ple par voie de questionnaires les usagers concern s et le personnel de l organisme doivent tre inform
2. Il s agit de faire face au double d fi actuel qui fragilise et menace le droit la vie priv e et la protection des donn es qui est d une part l acc l ration et la mondialisation des nouvelles technologies et d autre part la vague norma tive li e aux nouvelles l gislations de lutte antiterroriste Le programme d activit s communes adopt vise le renforcement des capacit s d expertise de prospective et d intervention dans le domaine des nouvelles technologies l valuation des missions et pouvoirs en particulier en mati re d investigation l intensification de la sensibilisation des acteurs notamment des jeunes et des lus nationaux et locaux la coordination de la communication 2 http ec europa eu justice_home fsj privacy index_fr htm CPU AMUE CNIL 2009 17 Fiches th matiques E 2 Fiche n 4 Correspondant Informatique et Libert s 18 Institu l occasion de la refonte de la loi Informatique et Libert s le Correspondant Informatique et Libert s est un acteur et un relais incontournable de la culture Informatique et Libert s gt Qu est ce que le Correspondant Informatique et Libert s Le Correspondant Informatique et Libert s CIL a vocation tre un interlocuteur sp cialis en mati re de protection de donn es caract re personnel tant pour le pr sident d universit ou directeur d tablissement que dans les rapports de ce dernier avec la CNIL Le CIL occupe ainsi
3. e soit du r gime de la d claration normale B 1 D lib ration de la CNIL n 03 036 du 1er juillet 2003 portant adoption d une recommandation relative la s curit des syst mes de vote lectroniques CPU AMUE CNIL 2009 61 Fiches pratiques a x A Le vote lectronique est soumis une demande d avis d s lors qu il s agit d un t l service de l administration lectronique c est dire qu il remplit les caract ristiques suivantes gt il est propos par le biais d un site internet ou sur des kiosques reli s distance gt il n cessite l utilisation d un identifiant propre chaque utilisateur gt il est propos par l administration gt il est destination des usagers du service public S agissant plus particuli rement de l lection aux conseils des universit s l organisation de cette op ration suppose le respect des dispositions du d cret du 3 d cembre 2004 Seuls les tudiants peuvent tre lus dans ces conditions et seuls sont concern s le CA Conseil d Administration le CS Conseil Scientifique et le CEVU Conseil des Etudes et de la Vie Universitaire Les tablissements autoris s utiliser le vote lectronique pour l lection des repr sentants tudiants dans les trois conseils figurent sur une liste arr t e par le ministre en charge de l enseignement sup rieur A ce jour seules deux universit s y sont autoris es Attention Le d p t d un do
4. AMUE CNIL 2009 55 Fiches pratiques H Fichen 19 Mise en place d une carte tudiante multiservices 56 De quoi s agit il La carte multiservices est un outil multi partenaires de l Universit et du CROUS La carte a trois grandes fonctions gt identifier l tudiant par les inscriptions visibles sur la carte nom pr nom photo code d identifiant national tudiant INE identifiant num rique acc s r seau et code APOGEE local chiffre et code barre ainsi que par des informations plus compl tes embarqu es dans une puce reprises du logiciel APOGEE Cette identification permet d offrir une ventuelle base des volutions pour des usages internes acc s sportif vote tudiant et externes acc s aux mus es transports gt permettre un contr le d acc s gr ce la puce qui contient les informations pr c dentes qui ouvrirait droit des contr les d acc s divers biblioth que gt servir de porte monnaie lectronique en assurant les paiements avec authentification du droit et du tarif d acc s aux Restaurants Universitaires Les deux premi res applications sont g r es par l Universit et la troisi me est une demande du CROUS dans le cadre d une d marche nationale Les donn es visuelles sont tr s limit es mais suffisantes une reconnaissance du porteur Les donn es num riques embarqu es ne sont lisibles qu partir de lecteurs sp cifiques serv
5. AMUE CNIL 2009 Les r f rences l gislatives et r glementaires Textes internationaux et europ ens e Convention du Conseil de l Europe du 28 janvier 1981 pour la protection des personnes l gard du traitement automatis des donn es l gard du traitement automatis des donn es caract re personnel e Convention europ enne de sauvegarde des Droits de l Homme et des Libert s fondamen tales de 1950 e Directive 95 46 CE du Parlement europ en et du conseil du 24 octobre 1995 relative la protection des personnes physiques l gard du traitement des donn es caract re person nel et la libre circulation de ces donn es e Directive 2002 58 CE du Parlement europ en et du Conseil du 12 juillet 2002 concernant le traitement des donn es caract re personnel et la protection des la vie priv e dans le secteur des t l communications Textes en droit fran ais e Loi n 78 17 du 6 janvier 1978 modifi e relative l informatique aux fichiers et aux libert s e D cret n 2005 1309 du 20 octobre 2005 modifi pris pour l application de la loi n 78 17 du 6 janvier 1978 relative l informatique aux fichiers et aux libert s e Loi n 78 735 du 17 juillet 1978 modifi e portant diverses mesures d am lioration des rela tions entre l administration et le public CADA CPU AMUE CNIL 2009 75 Annexes E Annexe5 Lexique Informatique et libert s CNIL Autorit administrative in
6. MR 001 gt Suivi de cohortes gt Traitement de donn es sensibles vis es l article 8 de la loi Informatique et Libert s ex mesure de la diversit si consente ment gt Traitement de donn es sensibles vis es l article 8 de la loi Informatique et Libert s ex mesure de la diversit si int r t public ou anonymisation bref d lai gt Recherches m dicales men es en partenariat avec d autres orga nismes INSERM CNRS pour les recherches dans le domaine de la sant ex recherches pid miologiques CPU AMUE CNIL 2009 e Mod les de clauses ou de mentions d information Mod les de note d information indication de l identit du responsable du trai tement Les informations recueillies font l objet d un traitement informatique destin pr ciser la finalit Les destinataires des donn es sont pr cisez Conform ment la loi Informatique et Libert s vous b n ficiez d un droit d acc s et de rectification aux informations qui vous concernent Si vous souhaitez exercer ce droit et obtenir communication des informations vous concernant veuil lez vous adresser pr ciser le service vous pouvez galement pour des motifs l gitimes vous opposer au traitement des don n es vous concernant Exemple de note d information utiliser sur le dossier d inscription des tudiants Les informations recueillies par pr ciser ici l iden
7. matique et des Libert s CNIL ont concr tis le 25 janvier 2007 leur par tenariat en signant une convention qui vise notamment promouvoir la nouvelle fonction de Correspondant Informatique et Libert s CIL C est dans ce cadre que ce guide pratique a t r dig Notre souhait est qu il puisse apporter une r ponse concr te vos questions lors par exemple de la mise en place au sein de vos tablissements d un annuaire des anciens dipl m s ou d un espace num rique de travail CPU AMUE CNIL 2009 Nous esp rons que ce guide permettra ainsi de contribuer au respect et l application de la loi et la diffusion de la culture informatique et libert s au sein de vos tablissements De m me vous pourrez trouver une aide pr cieuse aupr s du correspondant informatique et libert s de votre tablissement ou vous rendre sur le site de la CNIL partir duquel vous pourrez vous abonner sa lettre d information www cnil fr ou consulter la rubrique des actualit s Bien videmment ce guide ne comporte que quelques exemples rencon tr s par les Correspondants Informatiques et Libert s nouvellement d sign s dans les tablissements Mais nous pensons que par vos remarques ventuelles son contenu ne pourra qu tre enrichi La r alisation de ce guide a t rendue possible gr ce un travail d quipe entre des repr sentants de la CNIL de l Amue du CRU de la CPU et de CIL universitaires Jea
8. Gibraltar l ex R publique yougoslave de Mac doine Monaco et la Suisse De m me elle coop re avec des autorit s non europ ennes tablies sur d autres continents dans des pays tels que le Canada l Argentine l Australie la Nouvelle Z lande et le Burkina Faso dot s d une loi et d une autorit ind pendante de contr le Avec d autres pays la coop ration est plus limit e lorsque ceux ci ont fait le choix d adopter une l gislation applicable au seul secteur public ou certaines activit s du secteur priv USA Cor e du Sud par exemple Etant donn l acc l ration des transferts de donn es sur le plan mondial et le faible nombre de pays dot s d une loi informatique et libert s notamment au Sud 4 5 des pays au monde ne sont pas encore dot s d une telle l gislation l ensemble des CNIL ont lanc un appel en 2005 en faveur d un instrument contraignant de port e mondiale d claration de Montreux Dans l attente d un tel instrument la CNIL apporte son expertise notamment aupr s de pays francophones souhaitant mettre en place une l gislation informatique et libert s et a suscit en 2007 la cr ation d une association des CNIL francophones Une politique analogue est mise en uvre par l autorit espagnole en direction des pays d Am rique latine Enfin lors de la Conf rence internationale de novembre 2006 le pr sident de la CNIL a propos ses coll gues une initiative dite de Londres
9. internet restitu de fa on globale par exemple au niveau de l organisme ou d un service d termin devrait dans la plupart des cas tre suffisant sans qu il soit n cessaire de proc der un contr le individualis des sites visit s par un employ d termin Toutefois si l tablissement met en place un dispositif de contr le individuel des employ s destin produire poste par poste un relev des dur es de connexion ou des sites visit s le traitement automatis de donn es caract re personnel ainsi mis en uvre doit tre d clar la CNIL sauf d signation d un Correspondant Informatique et Libert s La dur e pendant laquelle les relev s ainsi tablis sont conserv s doit tre pr cis e Une dur e de conservation de l ordre de six mois devrait tre suffisante dans la plupart des cas pour dissuader tout usage abusif d internet Le dossier de d claration doit en outre comporter l indication et la date laquelle les instances repr sentatives du personnel ont t consult es sur de tels dispositifs En pratique L utilisation par les organisations syndicales de l intranet et de la messagerie lec tronique de l universit ou l tablissement d enseignement Les universit s ou les tablissements devraient n gocier les conditions dans les quelles leur messagerie et ou leur intranet peuvent tre utilis s par les instances repr sentatives du personnel ou pour l exercice d un mandat syndical t
10. philosophiques ou religieuses l appartenance syndicale la sant ou la vie sexuelle En principe les donn es sensi bles ne peuvent tre recueillies et exploit es qu avec le consentement explicite des personnes Droit la protection des donn es personnelles Le droit la protection des donn es caract re personnel est inscrit dans la charte des droits fondamentaux de l Union europ enne au titre des libert s fondamentales telles que la libert de pens e de conscience et de religion la libert d expression et d information ou le respect de la vie priv e et familiale etc 76 CPU AMUE CNIL 2009 Droit l information Toute personne a un droit de regard sur ses propres donn es par cons quent quiconque met en uvre un fichier ou un traitement de donn es personnelles est oblig d informer les personnes fich es de son identit de l objectif de la collecte d informations et de son caract re obliga toire ou facultatif des destinataires des informations des droits reconnus la personne des ventuels transferts de donn es vers un pays hors de l Union Europ enne Droit d acc s direct Toute personne peut prendre connaissance de l int gralit des donn es la concernant dans un fichier en s adressant directement ceux qui les d tiennent et en obtenir une copie dont le co t ne peut d passer celui de la reproduction Droit d acc s indirect Toute personne peut demander que la CNIL v rifie les
11. quivalente en son sein quelque soit le lieu o sont op r s les traitements de donn es caract re personnel au moyen d une harmonisation des l gislations des Etats membres 27 ce jour auxquels s ajoutent les pays de l Espace Economique Europ en Islande Liechtenstein Norv ge Cette harmonisation comporte galement une approche commune visant la protec tion des personnes dont les donn es sont susceptibles d tre transf r es vers des pays hors Union europ enne Les autorit s ind pendantes de ces pays se r unissent r guli rement Bruxelles pour conseil ler la Commission europ enne sur ses initiatives l gislatives et pour harmoniser leurs interpr tations des textes et leurs pratiques ou recommandations destin es aux concepteurs et aux utilisateurs des technologies de l information CPU AMUE CNIL 2009 Ces CNIL europ ennes r unies au sein du groupe de l article 29 par r f rence l article de la directive qui l institue se prononcent par des avis ou recommandations qui sont rendus publics Dans ce cadre elles d terminent galement des programmes de contr le communs notamment de nature sectorielle Au niveau international La CNIL est amen e coop rer galement notamment dans le cadre de r glement de plaintes avec les autorit s de m me nature institu es dans d autres pays europ ens non membres de l Union tels que la Principaut d Andorre les les anglo normandes la Croatie
12. savoir notamment les finalit s les droits des personnes et les mesures de s curit n cessaires la protection des donn es caract re personnel 1 cf D lib ration n 2006 104 adopt e par la CNIL le 27 avril 2006 portant avis sur la mise en place des espaces num riques de tra vail ENT au sein des tablissements scolaires et universitaires CPU AMUE CNIL 2009 39 Fiches pratiques i LUE Contr le de l utilisation des moyens 40 informatiques Afin d assurer la s curit de leur r seau et ou de leurs ressources informatiques les tablisse ments peuvent tre conduits mettre en place des outils visant contr ler l utilisation des outils informatiques mis disposition de leurs tudiants et de leurs personnels Ce contr le est l gitime d s lors qu il est r alis de mani re transparente savoir avec une parfaite information des utilisateurs La r daction d une Charte d utilisation des outils informa tiques est particuli rement utile pour rappeler les obligations mutuelles de l tablissement et de l utilisateur d finir les modalit s de contr le qui peuvent tre effectu s et les sanctions auxquelles s expose l utilisateur s il ne respecte pas les r gles d utilisation La pr sente fiche se propose d aborder plus particuli rement les questions relatives l utilisation de la messagerie lectronique et de l internet sur le lieu de travail Pour toute information compl mentaire s
13. CPU AMUE CNIL 2009 CPU AMUE CNIL 2009 79 80 Remerciements Cet outil a t r alis gr ce au concours du groupe projet guide Informatique et Libert s et nous les en remercions tout particuli rement Les Correspondants Informatique et Libert s universitaires e Guy BISIAUX ing nieur r seau syst me CIL de l universit Valenciennes et du Hainaut Cambresis e Solenn HOUSSAY charg e de la s curit des syst mes d information CIL de l universit de Lyon 3 Jean Moulin e Myriam RAVALET GUILLET responsable des affaires juridiques CIL de l universit de Rennes 1 e Claire RUBAT du MERAC coordination de la s curit des syst mes d information CIL mutualis e pour les universit s de Grenoble 1 Joseph Fourier Grenoble 2 Pierre Mend s France Grenoble 3 Stendhal l INP de Grenoble et l universit de Savoie Chamb ry e Yves SENDRA responsable de la s curit des syst mes d information CIL de l universit de Nice Sophia Antipolis e Jean Luc TESSIER responsable du service informatique des services centraux CIL de l universit de Lille 2 e Thierry VALET professeur agr g conomie gestion CIL de l universit d Avignon Comit R seaux des Universit s CRU e Serge AUMONT membre du Comit e Roger NEGARET responsable de la s curit des syst mes d information universit de Rennes 1 1 Au titre de sa contribution au document Politique type de gestion des journaux
14. Le r gime d claratif des principaux fichiers mis en uvre par les tablissements de l enseignement sup rieur est indiqu dans le tableau r capitulatif figurant ci apr s CPU AMUE CNIL 2009 67 Annexes E 68 4 1 La proc dure d autorisation concerne art 25 gt les traitements qui comportent des donn es dites sensibles gt les traitements qui comportent des donn es relatives aux infractions ou condamnations gt les traitements qui proc dent l interconnexion de fichiers dont les finalit s correspondent des int r ts publics diff rents gt les traitements de donn es comportant des appr ciations sur les difficult s sociales des personnes Exemple d lib ration n 2005 233 du 18 octobre 2005 portant autorisation unique de mise en uvre par le centre national des uvres universitaires et scolaires CROUS d un traitement automatis de donn es caract re personnel ayant pour finalit la gestion des aides ponctuelles allou es aux tudiants dans le cadre de l action sociale et le suivi statistique de l activit de services sociaux des centres r gionaux des uvres universitaires et scolaires gt les traitements qui utilisent des donn es biom triques Le traitement devra respecter en tous points le cadre fix par l autorisation d livr e par la CNIL 4 2 La proc dure de demande d avis art 27 concerne principalement les traitements comportant le num ro de s curit sociale
15. Mise en place des espaces num riques de travail ENT CPU AMUE CNIL 2009 12 15 18 23 25 26 27 29 32 36 38 13 14 15 16 17 18 19 20 21 22 _ DW Contr le de l utilisation des moyens informatiques Cr ation de sites internet site web blog Enregistrement et utilisation du num ro de s curit sociale Communication des tiers autoris s d informations relatives aux personnels et aux tudiants Utilisation de la biom trie Dispositifs de vid osurveillance Mise en place d une carte tudiante multiservices Tenue de listes de contacts pour un colloque scienti fique organis par une Unit Mixte de Recherche Les consultations par voie lectronique Elections par voie lectronique PARTIE 3 Annexes Mode d emploi comment d clarer Mod les de clauses ou de mentions d information Mod les de note d information Mod le de clause de confidentialit dans le cadre d un march ou d un contrat de sous traitance Mod le de projet d acte r glementaire Les r f rences l gislatives et r glementaires Lexique CPU AMUE CNIL 2009 40 44 46 48 51 53 56 58 59 61 67 71 71 73 74 15 76 1 Fiches th matiques LL D finitions des notions cl s de la loi Informatique et Libert s La loi Informatique et Libert s du 6 janvier 1978 modifi e est applicable d s lors qu il existe un traitement automatis ou un fichier manue
16. cons quent soumise avis pr alable de la CNIL Si cet acc s est envisag dans le cadre d un ENT il peut tre d clar sous une forme simplifi e condition que le dispositif ENT respecte le cadre fix par l arr t du 30 novembre 20067 1 Circulaire minist rielle n 2000 033 du 1 mars 2000 2 Cf Annexe 1 Comment d clarer et Fiche 12 du guide sur les Espaces Num riques de Travail CPU AMUE CNIL 2009 25 Fiches pratiques a Utilisation de la photographie d une personne 26 De quoi s agit il L utilisation de la photographie d une personne ou d un groupe de personnes est devenue une pratique courante au sein de l enseignement sup rieur Elle est par exemple appos e sur la carte de l tudiant sur des fiches d inscription des travaux dirig s et ou pratiques sur des articles publi s dans une revue ou un journal d cole ou de laboratoire sur un site internet sur un r pertoire de chercheurs ou encore sur un trombinoscope En quoi mes libert s sont elles concern es L image d une personne est consid r e comme un attribut de sa personnalit ou encore comme un l ment de l intimit de sa vie priv e et elle est prot g e au titre du droit au respect de la vie priv e Son utilisation en est d s lors strictement encadr e en effet toute personne dispose sur son image et sur l utilisation qui en est faite d un droit exclusif et peut s opposer sa repro duction et diffusion
17. d s lors qu elle n y a pas pr alablement consenti Que faire 1 Recueillir l accord des personnes photographi es La prise de photographies et leur diffusion doivent s effectuer dans le respect des r gles rela tives au droit l image Toute personne pouvant s opposer la reproduction de son image sur quelque support que ce soit diffusion de son image sur un intranet sur internet etc la prise d une photographie et sa diffusion doivent faire l objet d un accord crit de la personne concern e si elle est majeure ou de ses repr sentants l gaux s il s agit d un tudiant mineur Il appartient donc au responsable d obtenir toutes les autorisations utiles pr alablement l utilisation de photographies Pour autant lorsque la capture de l image d une personne a t accomplie au vu et au su de l int ress e sans qu elle s y soit oppos e alors qu elle tait en mesure de le faire son consen tement est pr sum 2 D clarer aupr s de la CNIL D s lors qu elle se rapporte une personne identifi e ou identifiable l image d une personne est une donn e caract re personnel Le traitement informatique de cette donn e num risa tion diffusion partir d un site web etc doit s effectuer dans le respect de la loi Informatique et Libert s et donc ainsi tre d clar aupr s de la CNIL sauf en cas de d signation d un Correspondant Informatique et Libert s CPU AMUE CNIL 2009 Enqu tes st
18. de la protection des donn es personnelles gt d informer les personnes au sujet de l existence de leurs droits d acc s de recti fication et d opposition gt de d signer le cas ch ant un Correspondant Informatique et Libert s gt de proc der l accomplissement des formalit s aupr s de la CNIL sauf en cas de d signation d un Correspondant Informatique et Libert s gt Le responsable du traitement doit tre distingu des personnes qui interviennent dans le cadre de sa mise en uvre du traitement tels que par exemple les sous traitants Le sous traitant est un ex cutant ext rieur ne peut agir que sous l autorit du responsable du traitement et sur instruction de celui ci Toute personne traitant des donn es carac t re personnel pour le compte du responsable du traitement est consid r e comme un sous traitant au sens de la loi La sous traitance ne d charge pas le responsable du traite ment de sa responsabilit Exemple Dans le cas d un h bergement externe de l un des sites web de l universit l h bergeur est consid r comme le sous traitant 1 Dans le cas de demande d avis ou de demande d autorisation les formalit s d claratives aupr s de la CNIL subsistent 2 Se reporter l annexe 2 mod le de clause de confidentialit dans le cadre d un march ou d un contrat de sous traitance CPU AMUE CNIL 2009 gt En dehors du cas o un texte sp cifique en dispose autrement le
19. des proc dures fiscales CPU AMUE CNIL 2009 2 2 Les organismes sociaux gt Les organismes d biteurs de prestations familiales ou en charge du versement du RMI dans les conditions pr vues par l article L 583 3 du code de la s curit sociale gt Les organismes d biteurs de prestations familiales ou les huissiers de justice au titre de leur mission de recouvrement des cr ances alimentaires impay es article 7 de la loi 73 5 du 2 janvier 1973 2 3 Les administrations de la justice de la police et de la gendarmerie gt Les magistrats dans le cadre des dispositions des codes de proc dure p nale et de proc dure civile notamment les articles 56 57 92 97 du code de proc dure p nale gt Le procureur de la R publique la demande de l huissier de justice porteur d un titre ex cu toire et au vu d un relev certifi sinc re des recherches infructueuses qu il a tent es pour l ex cution article 40 de la loi n 91 650 du 9 juillet 1991 gt Les officiers de police judiciaire de la police et de la gendarmerie nationales agissant en flagrant d lit sur commission rogatoire ou dans le cadre d une enqu te pr liminaire arti cles 57 1 60 1 et 76 3 du code de proc dure p nale y compris par voie informatique ou t l matique article 60 2 du m me code gt Les bureaux d aide judiciaire afin de demander la v rification des ressources en vue de l attribution de l aide judiciaire loi n 72 11 du 3 j
20. des traitements gt Gestion du fichier des tudiants application APOGEE normalement d clar par le Minist re de l ducation nationale arr t du 26 janvier 1996 gt Gestion des personnels des enseignants chercheurs application GESUP d claration du Minist re de l ducation nationale arr t du 6 juillet 1994 gt Les sites web vitrines ou institutionnels permettant par exemple l envoi de lettre d information condition de respecter la dispense n 7 gt Les sites web personnels sites diffusant ou collectant des donn es caract re personnel mis en uvre par des particuliers dans le cadre d activit s exclusivement personnelles tels que les blogs condition de respecter la dispense n 6 gt Les sites web portail dans le cadre des espaces num riques de travail ENT Engagement de conformit l arr t ENT du 30 novem bre 2006 pris par le Minist re de l ducation nationale acte r glementaire unique n 003 gt Gestion des bourses par les centres r gionaux des uvres universi taires et scolaires CROUS application nationale SAGA Engagement de conformit avec l autorisation unique n 002 adopt e par la CNIL par une d lib ration n 2005 233 du 18 octobre 2005 D claration normale Gestion du fichier de m decine pr ventive Les fichiers mis en uvre dans le cadre d op rations de vote lectroni ques ex lections des tudiants au sein du Conseil d administratio
21. du traitement pour que le r c piss puisse tre d livr avant la mise en uvre du traitement CPU AMUE CNIL 2009 63 Fiches pratiques i 3 Annexes ET Mode d emploi comment d clarer La d claration est une obligation l gale dont le non respect est p nalement sanctionn Tout fichier ou traitement informatis comportant des donn es personnelles doit donc tre d clar la CNIL pr alablement sa mise en uvre sauf s il est express ment exon r de d cla ration Cette proc dure de d claration peut prendre plusieurs formes selon le fichier concern Dans tous les cas la d signation d un Correspondant Informatique et Libert s dispense l organisme concern de l accomplissement des formalit s relatives aux fichiers relevant de la d claration simplifi e et de la d claration normale Les dispenses de d claration Un certain nombre de traitements d crits dans le tableau r capitulatif figurant ci apr s sont dispens s de d claration par une d cision de la CNIL ex site web institutionnel sites web personnels Par ailleurs les fichiers de gestion des tudiants et des personnels des tablissements de l enseignement sup rieur n ont pas en principe tre d clar s aupr s de la CNIL dans la mesure o ils ont fait l objet d une d claration par le Minist re de l ducation nationale ex applica tion APOGEE pour la gestion du fichier des tudiants application GESUP pou
22. loi informatique et libert s la CNIL si ge dans une formation sp cifique compos e de six membres appel e formation restreinte l issue d une proc dure contradictoire cette forma tion peut notamment d cider de prononcer des sanctions p cuniaires pouvant atteindre 300 000 Listes d opposition Les listes d opposition recensent les personnes qui ont fait conna tre leur opposition tre pros pect es dans le cadre d op rations de marketing NIR Le Num ro d inscription au R pertoire ou num ro de s curit sociale est attribu chaque personne sa naissance sur la base d l ments d tat civil transmis par les mairies l INSEE Responsable du traitement Personne qui d cide de la cr ation d un fichier ou d un traitement de donn es personnelles qui d termine quoi il va servir et selon quelles modalit s S ance pl ni re C est la formation qui r unit les 17 membres de la CNIL pour se prononcer sur des traitements ou des fichiers et examiner des projets de loi ou de d crets soumis pour avis par le Gouvernement Traitement de donn es Collecte enregistrement utilisation transmission ou communication d informations person nelles ainsi que toute exploitation de fichiers ou bases de donn es notamment des interconnexions Transfert de donn es Toute communication copie ou d placement de donn es personnelles ayant vocation tre trait es dans un pays tiers l Union europ enne
23. ne s applique pas au pr sent traitement Article 6 le 5 est charg de l ex cution du pr sent pr ciser arr t d lib ration d cision qui sera affich en et ou publi au e 1 Selon la nature juridique de l organisme l acte r glementaire pourra prendre la forme suivante d cision du conseil d administration arr t minist riel 2 Ce visa devra tre compl t lors de la r ception de l avis de la CNIL par la mention de la date figurant dans le courrier de la CNIL notifiant l avis au d clarant 3 Pour compl ter les articles 1 2 3 et 4 il convient de reprendre les informations indiqu es dans le formulaire de d claration 4 Article faire figurer dans la mesure o le traitement pr sente un caract re obligatoire 5 Indiquer la fonction de la personne charg e de l ex cution de l acte r glementaire 6 Les actes r glementaires quel qu en soit l auteur sont soumis la publication celle ci est la condition n cessaire leur entr e en vigueur et donc leur opposabilit Le plus souvent la publication consiste en une insertion de l acte r glementaire dans un recueil officiel Mais elle peut prendre d autres formes ex affichage dans les locaux diffusion sur le site internet de l organisme publica tion dans un journal sp cialis d annonces l gales dans la presse locale L avis de la CNIL devra galement tre publi CPU
24. noms et des pr noms doit seulement permettre un classement de ces donn es en cat gories potentiellement discriminant non discriminant eles fichiers de gestion fichiers de personnel fichiers d l ves d tudiants les annuaires professionnels et d anciens l ves ne peuvent tre utilis s qu des fins statistiques de suivi des trajectoires et d valuation des politiques de lutte contre les discriminations e des mesures doivent tre prises pour assurer la confidentialit des donn es trait es garan tir l anonymat des r sultats et informer les personnes concern es de la finalit de l tude des conditions de sa r alisation et de leur droit de s opposer au traitement de leurs donn es 1 3 Mesurer la diversit par le biais d enqu tes sur le ressenti des discriminations Ces enqu tes doivent tre bas es sur le volontariat et l auto d claration Les enqu tes anonymes pourraient pour certaines reposer sur la constitution de panels permettant ainsi de suivre les trajectoires des personnes 2 Informer les personnes concern es L information des personnes est essentielle Chaque responsable d tablissement se doit d informer les tudiants de leurs droits au regard de la loi Informatique et Libert s En pratique Le dossier d inscription dans les universit s et les tablissements d enseignement sup rieur doit comporter une mention tr s explicite relatives aux tudes statistiq
25. que pour un usage d termin et l gitime correspondant aux missions de l tablissement responsable du traite ment C est au pr sident d universit ou au directeur d tablissement qu il appartient de fixer la finalit des traitements mis en uvre pour le compte de son universit ou de son tablisse ment et de la faire respecter Tout d tournement de finalit est passible de sanctions p nales BA Le principe de proportionnalit Seules doivent tre enregistr es les informations pertinentes et n cessaires pour assurer la gestion des services universitaires CPU AMUE CNIL 2009 EX Le principe de dur e limit e de conservation des donn es le droit l oubli Les informations ne peuvent tre conserv es de fa on ind finie dans les fichiers informatiques Une dur e de conservation doit tre tablie en fonction de la finalit de chaque fichier Exemples Au del les donn es peuvent tre archiv es sur un support distinct EX Le principe de s curit et de confidentialit Le pr sident d universit ou le directeur d tablissement en tant que responsable du traite ment est astreint une obligation de s curit il doit faire prendre les mesures n cessaires pour garantir la confidentialit des donn es et viter leur divulgation gt Les donn es contenues dans les fichiers ne peuvent tre consult es que par les services habilit s y acc der en raison de leurs fonctions
26. qui est utilis une seule fois Sch ma de fonctionnement de la f d ration d identit s Fournisseurs de services ext rieurs Universit A Plate forme Emilie Durand Biologie BCE LUS distance Fournisseurs d identit s Annuaire Emilie Durand Etudiante Etudiante Biologie Revues lectroniques en ligne Enfin il est noter qu un dispositif de f d ration d identit s peut s articuler avec les fonction nalit s d un espace num rique de travail ENT En effet l ENT est une offre de services purement interne l tablissement d enseignement avec ou sans sous traitance pour tout ou partie des services Le fournisseur d identit est une extension de l ENT qui permet l acc s des services ext rieurs l universit op r s par des fournisseurs de services Exemples acc s un cours en ligne op r par une autre universit et r serv une certaine cat gorie d tudiants acc s des ressources documentaires propos es sur le site internet d un diteur priv CPU AMUE CNIL 2009 33 Fiches pratiques a 34 En quoi mes libert s sont concern es Des informations caract re personnel par exemple le nom l adresse de courrier lectronique etc peuvent tre chang es entre les entit s participant au syst me de f d ration Ces infor mations peuvent tout d abord tre excessives vis vis de la finalit recherch e du service fourni d
27. renseignements qui peuvent la concer ner dans les fichiers int ressant la s ret de l tat la D fense et la S curit publique Droit d opposition Toute personne a la possibilit de s opposer pour des motifs l gitimes figurer dans un fichier et peut refuser sans avoir se justifier que les donn es qui la concernent soient utilis es des fins de prospection notamment commerciale Droit de rectification Toute personne peut faire rectifier compl ter actualiser verrouiller ou effacer des informations la concernant lorsqu ont t d cel es des erreurs des inexactitudes ou la pr sence de donn es dont la collecte l utilisation la communication ou la conservation est interdite Fichier des fichiers Liste des fichiers d clar s la CNIL ainsi que leurs caract ristiques Finalit d un traitement Objectif principal d une application informatique de donn es personnelles Exemples de finalit gestion des recrutements gestion des clients enqu te de satisfaction surveillance des locaux etc Formalit s pr alables Ensemble des formalit s d claratives effectuer aupr s de la CNIL avant la mise en uvre d un traitement de donn es personnelles selon les cas il peut s agir d une d claration ou d une demande d autorisation CPU AMUE CNIL 2009 77 Annexes E 78 Formation restreinte Pour prendre des mesures l encontre des responsables de traitement qui ne respectent pas la
28. responsable du traite ment est le repr sentant l gal de l organisme ex pr sident d universit directeur d tablissement En pratique D termination du responsable du traitement dans les Unit s Mixtes de Recherche UMR Les responsables du traitement sont d une part l universit et d autre part l organisme de recherche puisque les deux assument la tutelle de l unit Cependant afin d assurer la coh rence des politiques men es il leur reviendra de d finir dans les conventions qui les lient celui d entre eux qui aura s assurer de la bonne application des dispo sitions Informatique et Libert s et donc remplir le r le de responsable pilote de traitement unit par unit Ainsi par exemple la d marche actuelle du CNRS visant d ployer sa politique de s curit dans chaque laboratoire au niveau r gional peut tre utile puisqu elle implique la d signation de la tutelle pilote en mati re de s curit des syst mes d information pour chaque UMR Selon le CNRS ce choix devrait figurer dans le contrat quadriennal Toutefois dans l attente de la reconduction de ce contrat il est propos que cette d signation soit formalis e dans le cadre d une convention entre l universit et le CNRS Cette m me d marche pourrait inclure la d finition de la tutelle charg e de l application de la loi Informatique et Libert s au sein de l UMR Une probl matique analogue est susceptible d appara tre dans le cadre
29. s de la finalit du traitement du caract re obligatoire ou facultatif du recueil des destinataires des donn es et des modalit s d exercice des droits qui leur sont ouverts au titre de la loi Informatique et Libert s droit d acc s et de rectification mais aussi droit de s opposer sous certaines conditions l utilisation de leurs donn es Cette information doit tre diffus e par exemple au moyen d affiches appos es dans les services recevant du public et port e sur les formulaires tablis par l tablissement ainsi que sur les courriers adress s aux personnes dont les donn es sont collect es En pratique Des mod les de mentions d information sont disponibles en annexe 2 5 2 Les droits d acc s et de rectification Toute personne tudiant personnel peut demander communication de toutes les informa tions la concernant contenues dans un fichier d tenu par l tablissement et a le droit de faire rectifier ou supprimer les informations erron es 5 3 Le droit d opposition Toute personne a le droit de s opposer pour des motifs l gitimes ce que des donn es la concernant soient enregistr es dans un fichier informatique sauf si celui ci pr sente un carac t re obligatoire Exemple CPU AMUE CNIL 2009 LT R le de la CNIL pour d fendre ces principes La Commission nationale de l informatique et des libert s autorit administrative ind pendante charg e d assurer le respect des dispositi
30. 2 Fiches pratiques ____ Fichen S Mise en place d un annuaire des dipl m s De quoi s agit il La mise en place par une association d anciens tudiants ou par l tablissement lui m me d un annuaire des dipl m s est une pratique courante En quoi mes libert s sont elles concern es La cr ation d un annuaire d anciens dipl m s peut en pratique soulever des difficult s au regard des principes Informatique et Libert s s agissant plus particuli rement des conditions dans lesquelles il a t constitu et des modalit s de sa diffusion papier internet En effet la divulgation sur internet du nom et de l adresse personnelle des anciens tudiants sans qu ils en aient t pr alablement inform s et en mesure de s y opposer peut comporter un risque pour leur vie priv e Ces informations peuvent par exemple tre collect es leur insu notamment des fins de sollicitations commerciales Que faire Tout nouveau dipl m se voit proposer par l tablissement un formulaire d inscription l annuaire Celui ci devra notamment pr ciser la finalit de la collecte savoir la mise en place d un annuaire des dipl m s de l tablissement son caract re facultatif les destinataires des donn es et les modalit s d exercice des droits d acc s de rectification et d opposition aux donn es Dans l hypoth se o l annuaire serait accessible sur internet les anciens l ves doivent en tre pr
31. CPU AMUE CNIL 2009 o si l organisme est une personne de droit priv le traitement sera soumis un r gime de d claration normale 2 Information pr alable des utilisateurs Les utilisateurs tudiants chercheurs et personnels doivent tre pr alablement inform s des informations susceptibles d tre chang es via la f d ration d identit s Cette information pr alable doit tre assur e lors de la collecte des donn es ex lors de l inscription des tudiants ou d faut avant de proc der la transmission des informations L utilisateur doit galement tre inform de l existence de ses droits au regard de la loi Informatique et Libert s au moment o il acc de la ressource num rique ex mention Informatique et Libert s sur la page d accueil du site web de l diteur A noter Au cas o le destinataire des donn es caract re personnel savoir le fournisseur de la ressource est tabli en dehors de l Union Europ enne des d marches sp ci fiques existent Pour toute information compl mentaire sur ces questions consulter le dossier International ou le Guide sur les transferts de donn es caract re personnel vers des pays non membre de l Union europ enne sur le site internet de la CNIL CPU AMUE CNIL 2009 35 Fiches pratiques a Fichen Utilisation du t l phone sur le lieu de travail 36 De quoi s agit il Les autocommuta
32. Guide Informatique et Libert s pour l enseignement sup rieur et la recherche dition 2009 Guide Informatique et Libert s pour l enseignement sup rieur et la recherche dition 2009 CONFERENCE amue CNIL Agence de Mutualisation des Universit s et Etablissements DES PRESIDENTS D UNTVERSETE Commission Nationale de l Informatique et des Libert s d cembre 2009 Avant propos L volution croissante des technologies de l information et de la communication et de leurs usages exige que chacun de nous s approprie les principes du droit fondamental la protection des donn es person nelles dans ses deux volets droits individuels et obligations C est ce prix que nos soci t s innoveront et se d velopperont dans le respect de la vie priv e et des libert s des personnes La loi Informatique et Libert s du 6 janvier 1978 modifi e par la loi du 6 ao t 2004 d finit les principes respecter lors de la collecte du traite ment et de la conservation des donn es personnelles Elle renforce les droits des personnes sur leurs donn es pr voit une simplification des formalit s administratives d claratives et pr cise les pouvoirs de contr le et de sanction de la CNIL Afin de faciliter l appropriation de ce droit et son application effective au sein des tablissements de l enseignement sup rieur la Conf rence des Pr sidents d Universit CPU et la Commission Nationale de l Infor
33. NIR ou n cessitant une interrogation du r pertoire national d identification des personnes physiques RNIPP et les t l services de l administration lectronique comportant un identifiant La demande d avis doit tre accompagn e d un projet d arr t ou de d cision de l organe d li b rant destin autoriser le traitement une fois l avis de la CNIL rendu EX Une fois le dossier compl t gt dans le cas d une t l d claration la CNIL adresse imm diatement apr s envoi un accus de r ception lectronique gt dans le cas d une d claration au moyen du formulaire papier cette derni re doit tre adres s e par envoi recommand avec demande d avis de r ception postal la CNIL 8 rue Vivienne CS 30223 75083 Paris Cedex 02 ou d pos aupr s de la CNIL contre re u La CNIL d livre ensuite par voie postale ou lectronique un r c piss de d claration indiquant le num ro sous lequel le traitement d clar est enregistr Pour les proc dures particuli res d autorisation ou d avis la CNIL adresse au d clarant une noti fication de l autorisation ou de l avis qu elle a rendu La plupart des formalit s pr alables peuvent tre effectu es en ligne partir du site web de la CNIL www cnil fr 3 Les donn es dites sensibles sont celles qui font appara tre directement ou indirectement les origines raciales ou ethniques les opinions politiques philosophiques ou religieuses ou l appart
34. a d claration ce sujet l organisme d clarant peut tre indiff remment l universit ou l organisme puisque les deux assument la tutelle de l unit Il leur reviendra donc afin d assurer la plus grande s cu rit juridique de d finir dans les conventions qui les lient celui d entre eux qui aura cette responsabilit unit par unit cf fiche n 1 sur la notion de responsable du traitement Par ailleurs les donn es ne peuvent tre transmises aux partenaires du colloque que si une mention a t express ment port e la connaissance des participants au moment de leur inscription et leur accord recueilli Dans l hypoth se o l UMR envisage d utiliser sa base de donn es en vue d un nouveau colloque elle ne pourra le faire qu la condition que les personnes aient t mises en mesure de s y opposer lors de la collecte initiale de ces donn es 1 re inscription Dans le cas d une inscription payante en ligne l UMR devra s assurer que la transaction est s curis e exemple utilisation du protocole SSL Enfin rappelons que la dur e de conservation ne peut exc der celle strictement n cessaire aux finalit s du traitement En pratique Les donn es devraient tre supprim es l issue de l envoi des actes du colloque sauf si les participants ont accept d tre inform s par la suite de la tenue de nouveaux colloques CPU AMUE CNIL 2009 LEE Les consultations par voie lectronique De quoi
35. alablement inform s et mis en mesure de s opposer la diffusion de leurs coordonn es Il est recommand que l acc s l annuaire via internet soit strictement r serv aux anciens tudiants exemple attribution de code d acc s ll est galement souhaitable que le formulaire d inscription puisse permettre au dipl m d indiquer les informations qu il souhaite ne pas voir diffuser ex son adresse personnelle tant sur la version web que sur la version papier de l annuaire Ces donn es ne restent alors accessibles qu au service charg de la tenue de l annuaire Un ancien dipl m qui aura t recontact individuellement lors d un v nement profession nel par exemple pourra se voir proposer le formulaire d inscription l annuaire Chaque ann e un courrier lectronique ou postal doit tre envoy chacun des dipl m s inscrits sur l annuaire leur rappelant les modalit s de mise jour de leurs donn es personnelles ainsi que celles de d sinscription Si ce courrier revient en NPAI N habite Plus A l Adresse Indiqu e toutes les donn es relatives ce dipl m sont supprim es CPU AMUE CNIL 2009 23 Fiches pratiques a L autre cas de suppression des donn es correspond une d sinscription explicite de la part du dipl m Il est important galement de veiller ins rer une mention l gale sur l annuaire qui pr cise qu en aucun cas les donn es qu il contient ne peuvent tre ex
36. anvier 1972 modifi e par la loi du 31 d cembre 1982 relative l aide judiciaire 2 4 Les autres administrations b n ficiant d un droit de communication gt Les services d concentr s du travail et de l emploi dans le cadre du contr le de la recherche d emploi ordonnance n 86 1286 du 20 d cembre 1986 articles L 351 1 et R 351 32 du code du travail gt Les services en charge de la gestion des allocations suppl mentaires pr vues aux articles L 815 2 et 3 du code de la s curit sociale fonds de solidarit vieillesse et fonds sp cial d invalidit pour le recouvrement sur la succession des h ritiers articles L 815 12 et L 815 15 du code de la s curit sociale Aucun fondement l gislatif n autorise par principe la communication d informations aux particuliers ou des soci t s priv es De fa on g n rale l tablissement ne peut sauf cas des tiers autoris s pr vus par la loi communiquer des tiers des informations nominatives relatives ses personnels et ou ses tudiants que dans la mesure o ces derniers en ont t pr alablement infor m s et ne s y sont pas oppos s En outre il s assurera de la mise jour de sa d claration aupr s de la CNIL car il s agira a priori d un destinataire qui n a pas t indiqu initialement dans le dossier de d claration Une notification doit donc tre adress e gt soit au Correspondant la protection des donn es de l tablissement afin qu il p
37. atistiques portant sur le devenir professionnel et le suivi de cohortes d tudiants De quoi s agit il La mise en place des indicateurs de performances dans le cadre de la LOLF et la n cessit d adapter au mieux l offre de formation contribuent au d veloppement d enqu tes de suivi de cohorte d tudiants En effet suivre le parcours des tudiants dans le cadre d un suivi de cohorte est l occasion d observer dans la dur e le devenir des dipl m s et de mieux comprendre leur orientation Le plus souvent les informations caract re personnel n cessaires la r alisation de ce suivi seront extraites de la base de gestion des tudiants et peuvent tre compl t es par des enqu tes aupr s d tudiants ex conna tre pour chaque dipl m sortant de l Universit pour entrer sur le march du travail son devenir professionnel 18 mois et 3 ans apr s l obtention du dipl me Les informations recueillies sont ensuite utilis es et analys es dans un but statistique Dans la plupart des cas ces tudes sont men es par les Observatoires de la Vie tudiante struc tures charg es au sein des universit s d laborer des outils d analyse et d aide la d cision En quoi mes libert s sont elles concern es Si la l gitimit de ce type d tudes ne saurait tre remise en question elles doivent cependant tre r alis es dans le respect des droits des personnes information pr alable droit d acc s de recti
38. ce num rique de travail ENT a pour objet de proposer la communaut universitaire des contenus vocation p dagogique et de diffuser des informations administratives ou relatives la vie universitaire Chaque cat gorie d utilisateur ne peut acc der qu aux seules informations auxquelles il a besoin d acc der dans l exercice de ses fonctions au sein de l universit Conform ment la loi Informatique et Libert s vous disposez d un droit d acc s de rectification et d opposition aux informations qui vous concer nent Si vous souhaitez exercer ce droit et obtenir communication des informations vous concernant veuillez vous adresser indiquez ici le service Pr ciser adresse postale et adresse lectronique 2 Les formalit s aupr s de la CNIL 2 1 Qui doit d clarer Le pr sident d universit ou le directeur de l tablissement d enseignement sup rieur qui a d cid de la mise en uvre d un ENT au sein de son tablissement Attention Cette formalit subsiste quand bien m me un Correspondant Informatique et Libert s a t d sign 2 2 Comment d clarer Les ENT sont consid r s comme des t l services de l administration lectronique Par cons quent le traitement rel ve du r gime de la demande d avis Une proc dure de d claration simplifi e est pr vue condition que le dispositif ENT respecte le cadre fix par l arr t du 30 novembre 2006 pris apr s avis de la CNIL
39. compte ENT du fichier des r ponses afin de garantir l anonymat des votes La proc dure doit tre d clench e et close par un dispositif permettant une tra abilit impres sion de pages en pr sence d un huissier de repr sentant du conseil d administration D s lors que la consultation en ligne concerne les tudiants il s agit d un t l service de l administration lectronique soumise avis de la CNIL Les formalit s sont donc identiques dans ce cas celles du vote lectronique pour les tudiants CPU AMUE CNIL 2009 59 Fiches pratiques H 60 Toutefois un nouveau dossier de demande d avis doit tre d pos ment du dispositif technique CPU AMUE CNIL 2009 a CNIL en cas de change LUE Elections par voie lectronique De quoi s agit il Les tablissements d enseignement sup rieur et les organismes de recherche peuvent tre amen s organiser des op rations de vote lectronique pour lire leurs repr sentants Exemple e l lection des repr sentants des tudiants aux conseils centraux des universit s e l lection des repr sentants au conseil d administration du CNRS Il s agit d op rations lectorales qui peuvent tre organis es dans des bureaux de vote au sein desquels est install un dispositif de vote lectronique cas des lections dans les conseils centraux des universit s ou bien via internet depuis tout poste professionnel ou personnel afin
40. d pendante compos e d un coll ge pluraliste de 17 commissaires provenant d horizons divers 4 parlementaires 2 membres du Conseil conomique et social 6 repr sentants des hautes juridictions 5 personnalit s qualifi es d sign es par le pr sident de l Assembl e nationale 1 par le pr sident du S nat 1 par le conseil des ministres 3 Le mandat de ses membres est de 5 ans Le pr sident est lu par ses pairs Correspondant Informatique et Libert s Cr en 2004 le correspondant informatique et libert s CIL est charg d assurer de mani re ind pendante le respect des obligations pr vues par la loi Informatique et Libert s en contre partie de sa d signation les traitements de donn es personnelles les plus courants sont exon r s de d clarations aupr s de la CNIL Destinataire Personne habilit e obtenir communication de donn es enregistr es dans un fichier ou un trai tement en raison de ses fonctions Donn e biom trique Caract ristique physique ou biologique permettant d identifier une personne ADN contour de la main empreintes digitales Donn e personnelle Toute information identifiant directement ou indirectement une personne physique ex nom n d immatriculation n de t l phone photographie date de naissance commune de r si dence empreinte digitale Donn e sensible Information concernant l origine raciale ou ethnique les opinions politiques
41. dans des cat gories ethno raciales 1 l est noter la mise en place en 2003 par le Minist re de la jeunesse de l ducation nationale et de la recherche d un traitement d informations individuelles d nomm Syst me d Information sur le Suivi de l tudiant SISE qui inclut notamment la nationa lit Cette donn e donne lieu la production de tableaux statistiques anonymes permettant de conna tre la r partition des effectifs des tudiants selon leur nationalit CPU AMUE CNIL 2009 29 Fiches pratiques a 30 peut constituer un indicateur int ressant sur le plan statistique d s lors que les conditions suivantes sont r unies gt l analyse de ce seul crit re ne saurait tre suffisante pour appr cier la discrimination il convient de proc der une analyse r ellement objective multi crit res des parcours ou des trajec toires de vie prenant en compte l ensemble des autres facteurs discriminants ex sexe ge lieu de r sidence cat gorie socio professionnelle ou susceptibles d expliquer la diff rence de parcours ex dipl mes comp tences anciennet et exp rience professionnelle gt le recours au pr nom et au nom de famille peut constituer un rep re pour tudier les trajec toires de populations issues de l immigration quand il n existe pas d autre source disponible gt de telles tudes doivent tre conduites selon une m thodologie rigoureuse el analyse des
42. de permettre au plus grand nombre de votants de participer cas du CNRS En quoi mes libert s sont elles concern es Les lections par voie lectronique n cessitent l utilisation de donn es caract re personnel Il est essentiel de garantir le secret du vote ainsi que la s curit et l int grit des changes Que faire Dans le cadre de la mise en uvre d lections par voie lectronique la CNIL recommande notamment gt l expertise ind pendante du syst me de vote afin de v rifier que le vote de l lecteur n est pas modifi par le syst me qu il est bien pris en compte et qu il est bien anonyme gt la s paration des donn es caract re personnel des lecteurs et des votes afin de garantir le secret du vote gt le chiffrement du bulletin de vote de mani re ininterrompue du poste de l lecteur jusqu au d pouillement de l urne afin de s assurer de l int grit du vote avant qu il n atteigne l urne gt le scellement du dispositif de vote afin de s assurer qu il n est pas possible d acc der aux bulletins contenus dans l urne pendant le scrutin Il convient galement d informer les lecteurs en temps utile par la remise d une note explica tive d taillant clairement les op rations de vote ainsi que le fonctionnement g n ral du syst me de vote lectronique Selon les cas le dispositif de vote lectronique peut relever e soit du r gime de la demande d avis aupr s de la CNIL A
43. des p les de recherche et d enseignement sup rieur PRES dans la mesure o certains mutuali seront des applications informatiques Dans ce cas il faudra explicitement d terminer si la responsabilit du traitement incombe chaque tablissement ou au PRES gt Le responsable du traitement est tabli sur le territoire fran ais installation stable quelle que soit sa forme juridique filiale succursale et le traitement est r alis enti rement sur le territoire de l Union europ enne Si le responsable du traitement tabli en France transf re des donn es dans un pays hors de l Union europ enne ex h bergeur du site internet enqu tes r alis es en commun avec des laboratoires de recherche tablis hors Union europ enne il devra s assurer que dans ce pays le niveau de protection des donn es personnelles est consid r comme suffisant La liste des pays assurant un niveau de protection suffisant est rendue publique sur le site de la CNIL Dans le cas contraire le responsable du traitement devra prendre des mesures particuli res Pour toute information compl mentaire sur ces questions consulter le dossier International ou le Guide sur les transferts de donn es caract re personnel vers des pays non membres de l Union europ enne sur le site internet de la CNIL CPU AMUE CNIL 2009 11 Fiches th matiques p ZEN ie j ce t SL Fichen 2 Principes de la protection des don
44. disciplinaires pourraient galement tre prononc es l encontre d un tudiant qui aurait tenu sur son blog des propos calomnieux ou injurieux l gard du corps enseignant et administratif de son tablissement Enfin d s lors qu un site web diffuse ou collecte des donn es caract re personnel celui ci est soumis au respect des dispositions de la loi Informatique et Libert s CPU AMUE CNIL 2009 En pratique Les sites web personnels blog gt Ces sites n ont pas tre d clar s aupr s de la CNIL dispense adopt e par la CNIL en 2005 Attention La diffusion et la collecte de donn es caract re personnel op r es partir d un site web dans le cadre d activit s professionnelles poli tiques ou associatives restent soumises l accomplissement des for malit s pr alables pr vues par la loi gt il est recommand lors de la mise en uvre de blog ede pr voir un acc s restreint au b n fice des seules personnes identifi es par le responsable du site Lorsqu un particulier souhaite cr er un site au b n fice de ses proches aux fins de diffusion par exemple de photographies d un v ne ment mariage anniversaire etc il est important au regard de la nature du r seau internet que soient mis en place des dispositifs permettant de limiter cette diffusion aux seules personnes concern es ede recueillir le consentement pr alable des personnes dont les donn e
45. e plus elles doivent tre chang es avec une s curit ad quate afin de pr venir tout risque d interception par des tiers ne faisant pas partie du syst me de f d ration L enjeu est de garan tir l utilisateur la confidentialit de ses donn es personnelles Il est essentiel que des relations de confiance existent entre les diff rents participants au syst me de f d ration que chaque traitement soit clairement identifi et soit tra able et qu il soit s cu ris de mani re ad quate De plus des informations caract re personnel n ont pas syst matiquement besoin d tre chang es Par exemple pour certaines applications les informations chang es peuvent concer ner uniquement des informations g n riques par exemple le statut de la personne tudiant chercheur enseignant personnel ou sa fili re d enseignement Ainsi les informations auxquelles acc dent les fournisseurs de services sont dans ces cas totalement anonymes et il convient d s lors de s interroger au pr alable sur le caract re n cessaire de l change de donn es carac t re personnel Que faire 1 D clarer aupr s de la CNIL La f d ration d identit s fait appel deux types d acteurs gt le fournisseur d identit qui est l universit ou l tablissement de rattachement de l utilisateur gt les fournisseurs de services qui offrent l acc s aux ressources Les d marches aupr s de la CNIL doivent tre r alis es tan
46. enance syndicale des personnes ou qui sont relatives la sant ou la vie sexuelle des personnes article 8 de la loi Informatique et Libert s 4 Toutefois la CNIL n applique pas la proc dure d autorisation pour les traitements destin s g rer les demandes d aides l gales ou facultatives qui ne comportent pas l valuation de la situation sociale du demandeur conduite par un travailleur social et se limitent l enregistrement des donn es objectives n cessaires l attribution de l aide en fonction de certains objectifs et de bar mes r sul tant de l application des dispositions du code de l action sociale et des familles 5 Ne pas confondre l accus de r ception d un dossier de d claration adress la CNIL avec le r c piss de d claration d livr par la CNIL qui constitue le seul feu vert pour la mise en uvre d un fichier ou d un traitement de donn es personnelles CPU AMUE CNIL 2009 Tableau r capitulatif Dois e d clarer mon fichier la CNIL Comment Rappel les traitements n ont pas faire l objet de d clarationf lorsqu un Correspondant Informatique et Libert s a t d sign D clarations effectuer Pas de d claration D claration simplifi e Demande d avis T l service de l admi nistration lectronique Autre Le principe est celui d une d claration normale mais il existe des exceptions Pour les conna tre consulterle site de la CNIL Finalit
47. es concern es La diffusion des r sultats d examen et des notes des tudiants via internet est susceptible de porter atteinte la vie priv e des personnes compte tenu des caract ristiques propres au r seau internet qui est par principe un r seau ouvert au public En effet ces informations sont suscep tibles d tre capt es et utilis es par des tiers d s lors qu elles sont diffus es sur le r seau Que faire 1 Informer les tudiants de la diffusion sur internet S agissant de la publicit des r sultats d examen admis ajourn sur internet et en l absence de r gles d finissant les modalit s de diffusion des r sultats des examens il est recommand que les tudiants aient t pr alablement inform s d une telle diffusion et mis en mesure de s y opposer Cette information peut par exemple tre pr vue sur le dossier d inscription de l tudiant S agissant de la mise en ligne des notes d examen chaque personne concern e doit disposer d un code d acc s et d un mot de passe acc s restreint pour les obtenir L acc s aux notes qui sont des donn es personnelles est en effet strictement personnel Le plus souvent cet acc s est r alis via le compte ENT de l tudiant 2 D clarer aupr s de la CNIL L acc s aux r sultats d examen et aux notes via internet par le biais d identifiants de connexion doit tre consid r comme un t l service de l administration lectronique Sa mise en uvre est par
48. es faits au procureur EX Le pouvoir de v rification sur place La CNIL dispose d un pouvoir de contr le qui permet ses membres et ses agents d acc der tous les locaux professionnels Sur place ses membres et agents peuvent demander commu nication de tout document n cessaire et en prendre copie recueillir tout renseignement utile et acc der aux programmes informatiques et aux donn es EX Le pouvoir de sanction Au titre de son pouvoir de sanction la CNIL peut gt adresser des avertissements et des mises en demeure de faire cesser un manquement la loi gt prononcer une injonction de cesser le traitement ou un retrait de l autorisation et en cas d urgence d cider l interruption du traitement ou le verrouillage des donn es gt prononcer des sanctions p cuniaires pouvant aller jusqu 300 000 en cas de r it ration gt d noncer au parquet les infractions la loi dont elle a connaissance EX La CNIL dans le monde De mani re g n rale la CNIL peut tre associ e la demande du premier ministre aux n go ciations internationales dans son domaine de comp tence Elle exerce par ailleurs des missions particuli res li es la mise en uvre d instruments euro p ens et d veloppe une politique de coop ration en direction des pays non encore dot s d une l gislation Au niveau europ en L Union europ enne a adopt le 24 octobre 1995 une directive destin e assurer une protec tion
49. faciale il devrait alors faire l objet d une demande d autorisation la CNIL dans la mesure o il fait appel une technique biom trique Exemple d information diffuser 1 Pour savoir si le dispositif est consid r comme install sur la voie publique et donc soumis autorisation pr fectorale l arr t pris le cas ch ant par le recteur chancelier des universit s qui d limite les enceintes et locaux affect s titre principal un tablisse ment peut tre pris en consid ration Par ailleurs pour savoir s il est install dans un lieu ouvert au public il appartiendra chaque tablissement de le d terminer en fonction des d limitations physiques ou mat rielles cl tures contr les d acc s Sur ce point pr cis la circulaire du 22 octobre 1996 relative l application de l article 10 de la loi n 95 73 du 21 janvier 1995 d orientation et de programmation relative la s curit indique que selon la jurisprudence un lieu public est un lieu accessible tous sans auto risation sp ciale de quiconque que l acc s en soit permanent et inconditionnel ou subordonn certaines conditions par exem ple acquittement d un droit d entr e Voir ce propos le jugement du tribunal de grande instance de Paris du 23 octobre 1986 Gazette du Palais du 8 janvier 1987 confirm par l arr t de la cour d appel de Paris du 19 novembre 1986 2 Se reporter la fiche 17 sur la biom trie CPU
50. fication des titulaires de carte Cette identification est elle commune l ensemble du dispositif ou y a t il autant d identifiants qu il y a de cartes associ es un compte donn Quelles sont les modalit s d identification des usagers gt Est ce que le dispositif repose sur la mise en place d un t l service de l administration lec tronique ex l tudiant pourra acc der au compte de sa carte via Internet partir d identifiants de connexion qui lui sont propres Dans ce cas de figure le traitement est soumis au r gime de la demande d avis cf article 27 Il 4 de la loi Par ailleurs il faudra veiller au respect des principes fondamentaux de la protection des donn es personnelles finalit s proportionnalit information des personnes droit l oubli etc Attention Les cartes devront offrir un niveau de s curit appropri compte tenu de l tat de la technologie de la nature sensible ou non des donn es enregistr es du nombre et du type d applications pr vues et de l valuation des risques potentiels Les modalit s selon lesquelles les tiers peuvent avoir acc s aux donn es enregistr es sur la carte doivent tre tablies au pr alable pour chacune des finalit s sp cifiques pour lesquels la carte est utilis e Lors de l mission d une carte le porteur devrait tre d ment inform de la mani re d utiliser sa carte ainsi que des mesures prendre en cas de fraude ou de divulga tion non au
51. fication et d opposition En outre le risque d une exploitation des donn es des fins autres que celle d un suivi de cohorte tant toujours possible une attention particuli re doit tre apport e aux mesures prises pour assurer la s curit et la confidentialit de ces traitements et notamment garantir l anonymat des r ponses Que faire Les responsables de ces tudes doivent veiller la mise en place des mesures suivantes gt une information pr alable des tudiants relative la mise en place de ce type d tudes au sein de l tablissement doit tre pr vue Celle ci peut par exemple tre r alis e au moment de l inscription de l tudiant gt le questionnaire d enqu te adress aux anciens tudiants doit e rappeler les mentions de la loi Informatique et Libert s celles ci doivent galement figu rer sur la lettre d accompagnement e indiquer qu il reste facultatif et est confidentiel e comporter des questions qui restent pertinentes et adapt es au regard de la finalit de l enqu te gt une fois l enqu te consid r e comme termin e les informations personnelles d tenues par le responsable de l enqu te doivent tre d truites ou archiv es seuls les r sultats statistiques peuvent tre conserv s CPU AMUE CNIL 2009 27 Fiches pratiques i 28 gt un pilotage rigoureux et officiel de cette tude est assur par exemple par le vice pr sident CEVU Conseil des tude
52. ices de la scolarit et restaurants universitaires dont l utilisation n cessite des autorisations pr cises identifiant et mot de passe d livr s par les responsables de la mise en place de la carte En quoi mes libert s sont elles concern es Une carte tudiant multiservices contient de nombreuses informations destin es des entit s externes l tablissement et est susceptible d exiger des interconnexions entre syst mes Dans ce contexte il est important de limiter la diffusion des informations aux seules entit s qui en ont besoin dans leur relation avec les tudiants Que faire Au pr alable il existe un certain nombre de questions techniques se poser afin notamment d identifier les formalit s accomplir gt Quelle est l architecture technique du projet et plus particuli rement quelles sont les flux d informations entre les diff rents intervenants lors de la cr ation du compte et de son utili sation par les diff rents services gt Le dispositif suppose t il l interconnexion de fichiers existants avec le dispositif de gestion de la Carte Multiservices ou fonctionne t il de fa on ind pendante des applications m tiers des partenaires concern s gt Quelles sont les informations mutualis es Et entre quels intervenants le sont elles tous ou seulement ceux concern s par les activit s choisies par une personne d termin e CPU AMUE CNIL 2009 gt Comment se fait l identi
53. informatiques port par le CRU mentionn la fiche n 13 CPU AMUE CNIL 2009 Agence de mutualisation des universit s et tablissements Amue e Simon LARGER charg de domaine finances d partement Services Commission Nationale de l Informatique et des Libert s CNIL e Marie GEORGES conseiller du pr sident pour la prospective et le d veloppement e Leslie BASSE juriste aupr s de la direction des affaires juridiques internationales et de l expertise Conf rence des Pr sidents d Universit CPU e Florence BENOIT ROHMER pr sidente de la commission du r glement et de la l gislation et de l universit Robert Schuman Strasbourg 3 e Claire SOURBES charg e de mission aupr s de la commission du r glement et de la l gislation CPU AMUE CNIL 2009 81
54. istiques tels que par exemple le lieu de r sidence et profession et sexe et age Il peut en effet s agir d informations qui ne sont pas associ es au nom d une personne mais qui permettent ais ment de l identifier et de conna tre ses habitudes ou ses go ts CPU AMUE CNIL 2009 Fiches th matiques p 10 A noter La loi Informatique et Libert s ne s applique pas aux personnes morales ex fichier de noms de soci t s Cependant si ce fichier d entreprises contient des noms de personnes physiques ex nom du responsable commercial la loi Informatique et Libert s est applicable EX Responsable du traitement gt Est consid r comme le responsable du traitement la personne physique ou morale qui d termine les finalit s et les moyens de toute op ration collecte enregistrement modifi cation appliqu e des donn es caract re personnel Le responsable du traitement est la personne pour le compte de laquelle est r alis le traitement Afin de d terminer l identit du responsable du traitement il est possible de faire appel aux crit res suivants e celui de la ma trise d ouvrage du traitement quoi servira t il et comment fonction nera t il e celui de la mise en uvre du traitement qui d cide de s en servir et qui s en sert En pratique Le responsable du traitement sera notamment la personne en charge gt de veiller au respect des principes
55. itre indi catif la Cour de cassation a consid r en juin 2007 qu en l absence d accord et dans la mesure o l employeur a d j tol r une utilisation de l intranet des fins syndi cales par le pass une telle utilisation ne constituerait pas une faute pour le salari A priori les adresses de messagerie lectronique des employ s peuvent tre utilis es par les organisations syndicales pour la mise disposition de publications et tracts de nature syndicale condition que les employ s en soient inform s pour pouvoir s opposer au pr alable l envoi de tout message des fins de prospection syndicale sur leur messagerie professionnelle Lorsque les instances repr sentatives du per sonnel disposent d un compte de messagerie d di des mesures de s curit parti culi res devraient tre mises en uvre afin d assurer la confidentialit des informa tions chang es 4 Cour de cassation Chambre sociale Arr t du 27 juin 2007 Oce Business services Michel B CPU AMUE CNIL 2009 43 Fiches pratiques a Fiche nag Cr ation de sites internet site web blog 44 De quoi s agit il Des sites web peuvent tre cr s dans le cadre d activit s professionnelles ex site web de l universit site d un enseignant chercheur pr sentant ses travaux syndicales politiques ou associatives Les sites personnels par ailleurs plus connus sous le nom de blog ont pour vocation la diffu
56. l c est dire un fichier informatique ou un fichier papier contenant des informations personnelles relatives des personnes physiques A noter Ne sont pas soumis la loi les traitements mis en uvre pour l exercice d activit s exclusivement personnelles tels que par exemple les agendas lectroniques les r pertoires d adresses les sites internet familiaux en acc s restreint Traitement de donn es caract re personnel Constitue un traitement de donn es caract re personnel toute op ration ou tout ensemble d op rations portant sur de telles donn es quel que soit le proc d utilis et notamment la collecte l enregistrement l organisation la conservation l adaptation ou la modification l extraction la consultation l utilisation la communication par transmission diffusion ou toute autre forme de mise disposition le rapprochement ou l interconnexion ainsi que le verrouil lage l effacement ou la destruction EX Donn e caract re personnel Des donn es sont consid r es comme caract re personnel d s lors qu elles permettent d identifier directement ou indirectement des personnes physiques ex nom n d imma triculation n de t l phone photographie l ments biom triques tels que l empreinte digitale ADN num ro d identification Nationale tudiant INE ensemble d informations permettant de discriminer une personne au sein d une population certains fichiers stat
57. les fichiers de gestion des ressources humaines de son entreprise ou de son administration En dehors des cas vis s ci dessus l utilisation du num ro de s curit sociale ne peut tre auto ris e que dans le cadre d un d cret en Conseil d tat ou arr t pris apr s avis de la CNIL CPU AMUE CNIL 2009 47 Fiches pratiques a Fiche n 6 Communication des tiers autoris s 48 d informations relatives aux personnels et aux tudiants De quoi s agit il la loi permet des autorit s publiques de se faire communiquer dans le cadre de leurs missions et sous certaines conditions des informations issues de fichiers il sagit du cas des tiers autoris s En quoi mes libert s sont elles concern es Certaines administrations sont autoris es par la loi se faire communiquer ponctuellement des informations afin d assurer leurs missions d int r t g n ral Afin de prot ger les libert s il reviendra aux responsables de cette communication de s assurer que le demandeur correspond bien l un de ceux qui sont autoris s Le fait pour un responsable du traitement de porter la connaissance d un tiers qui n a pas qualit pour les recevoir des donn es caract re personnel dont la divulgation aurait pour effet de porter atteinte la consid ration de l int ress ou l intimit de sa vie priv e constitue une infraction p nale punie de cinq ans d emprisonnement et de 300 000 euros d ame
58. lles concern es Les syst mes de vid osurveillance peuvent intrins quement porter atteinte aux libert s indivi duelles par exemple la libert d aller et venir Il est d s lors n cessaire d accompagner leur mise en uvre d un certain nombre de garanties Que faire 1 Une r flexion pr alable indispensable Une r flexion pr alable la d cision d utiliser un syst me de vid osurveillance comportant notamment une analyse pr cise des risques tenant compte des incidents survenus dans l enceinte de l tablissement devrait tre men e de fa on identifier les solutions alternatives permettant d atteindre l objectif poursuivi sans recourir ce moyen une s curisation des acc s aux moyens de badges magn tiques surveillance renforc e par les personnels une modification des heures d ouvertures de certaines issues peuvent par exemple constituer des r ponses efficaces et adap t es un objectif particulier de s curisation 2 Le n cessaire respect du principe de proportionnalit Si le d ploiement de tels dispositifs r pond g n ralement un objectif s curitaire contr le des acc s aux locaux il ne peut avoir pour objectif la mise sous surveillance sp cifique d un employ d termin ou d un groupe particulier de personnes Le nombre l emplacement l orientation les fonctionnalit s et les p riodes de fonctionnement des cam ras ou la nature des t ches accomplies par les personnes devant tre s
59. ltant un avocat La loi a fix des seuils pour d terminer les cas dans lesquels il est possible de choisir un CIL interne ou externe l tablissement Ainsi il existe une libert de choix lorsque moins de 50 personnes sont charg es de la mise en uvre des traitements ou qui y ont directement acc s Le choix est limit lorsque plus de 50 personnes sont charg es de la mise en uvre des traitements ou y ont directement acc s CPU AMUE CNIL 2009 En pratique pour conna tre le seuil applicable il convient de d terminer le nombre de person nels qui sont charg s e du d veloppement et de la maintenance des applications tel que par exemple le service informatique e de la saisie des donn es ou de la consultation ex service juridique comptable ou des ressources humaines Le nombre de 50 personnes est appr ci au regard de l ensemble des applications informa tiques mises en uvre par l universit ou l tablissement La plupart des correspondants ont une formation informatique mais ce n est pas une obliga tion l gale L important est qu il puisse si n cessaire b n ficier d une formation tant technique que juridique qui soit adapt e la taille de l tablissement S il n est pas pr vu d agr ment par la CNIL celle ci doit n anmoins enregistrer la d signation et notifier celle ci au responsable du traitement Quel que soit le choix fait l essentiel est qu il y ait une tr s bonne collab
60. ment de l tablissement une messa gerie lectronique des forums de discussion etc En quoi mes libert s sont elle concern es Une attention particuli re doit tre port e aux mesures prises pour assurer la s curit du dispositif En pratique Elles doivent notamment garantir que chaque titulaire d un compte ENT ne puisse acc der qu aux seules informations le concernant Exemple un tudiant ne peut pas avoir acc s aux notes des autres tudiants de sa promotion Il convient de r f rer aux annexes S curit s du Sch ma Directeur des Espaces Num riques de Travail du Minist re en particulier l annexe Authentification Autorisation SSO qui pr cise les obligations respecter en ce qui concerne la poli tique de gestion des mots de passe mots de passe non stock s en clair etc Les responsables d tablissement veillent sensibiliser les utilisateurs des ENT aux mesures l mentaires de s curit telles que la confidentialit de leur identifiant de connexion leur compte ENT Que faire 1 L information des personnes est essentielle Chaque responsable d tablissement se doit d informer les utilisateurs des ENT de leurs droits au regard de la loi Informatique et Libert s En pratique Cette information doit tre pr vue sur la page d accueil du portail ENT et lors de la phase de cr ation d un compte ENT CPU AMUE CNIL 2009 Mod le de mention d information Cet espa
61. ment et ou l utilisation du NIR il doit tout d abord s assurer du fait que cette utilisation est l gale En effet l enregistrement du num ro de s curit sociale dans un traitement est notamment autoris gt dans les fichiers de paie et de gestion du personnel pour l tablissement des bulletins de paie et des diff rentes d clarations sociales obligatoires d cret n 91 1404 du 27 d cem bre 1991 gt dans le cadre de la prise en charge des frais de maladie articles R 115 1 et R 115 2 du code de la s curit sociale Exemple L immatriculation des tudiants la s curit sociale lors de l inscription dans l tablissement 46 CPU AMUE CNIL 2009 Les tats produits et les documents dit s ne peuvent donc porter mention de ce num ro que dans le cadre des op rations pr cit es Cette r gle s applique m me dans le cas de logiciels int gr s de gestion et de paie qui doivent tre param tr s pour limiter l utilisation du num ro de s curit sociale aux seules op rations pr c demment d crites En particulier le num ro de s curit sociale ne fait pas partie de la liste des informations qui doivent figurer dans le registre unique du personnel fix e par les articles L 620 3 et R 620 3 du code du travail et ne doit donc pas tre enregistr dans ce cadre Le num ro de s curit sociale d un employ ne peut donc pas tre utilis comme num ro de matricule unique pour l identifier dans tous
62. n d une universit cf recommandation n 03 036 du ler juillet 2003 sur la s curit des syst mes de vote lectronique Tout autre traitement automatis d s lors qu il n est pas conforme aux normes labor es par la Commission notamment gt suivi de cohortes d tudiants gt annuaire des anciens l ves gt gestion des stagiaires gt Junior entreprises gt vid osurveillance gt sites internet sauf ceux qui rel vent des dispenses gt autres 6 Par contre les demandes d autorisation ou d avis la CNIL subsistent 7 En mati re de donn es de sant rappelons que celles ci sont couvertes par le secret m dical et d s lors seuls les professionnels de sant peuvent y acc der En aucun cas le responsable d tablissement ni m me le Correspondant Informatique et Libert s ne sont habilit s obtenir communication de ces donn es CPU AMUE CNIL 2009 69 Annexes E 70 Traitements statistiques tudes recherches D clarations effectuer D claration simplifi e D claration normale Demande d autorisation Finalit des traitements gt Enqu tes par sondage int ressant des personnes physiques effec tu es par l tat et les tablissements publics caract re administratif en r f rence la norme simplifi e n 19 gt Pour les recherches dans le domaine biom dical en r f rence l engagement de conformit une m thodologie de r f rence n
63. n es 12 personnelles Les informations que les universit s et les tablissements de l enseignement sup rieur traitent informatiquement pour remplir leurs missions de service public doivent tre prot g es parce qu elles rel vent de la vie priv e et parce que leur divulgation est susceptible de porter atteinte aux droits et libert s des personnes concern es La loi Informatique et Libert s a d fini les principes respecter lors de la collecte du traite ment et de la conservation de ces donn es La loi pr voit galement un certain nombre de droits pour les personnes dont les donn es personnelles ont t recueillies Le respect par les universit s et les tablissements de l enseignement sup rieur des r gles de protection des donn es caract re personnel est un facteur de transparence et de confiance l gard des personnes tudiants personnels C est aussi un gage de s curit juridique pour les pr sidents d universit et directeurs d tablissement qui responsables des fichiers mis en uvre doivent veiller ce que la finalit de chaque traitement informatique et les ventuelles transmissions d informations soient clairement d finies les dispositifs de s curit informatique pr cis ment d termin s et les mesures d information des usagers appliqu es Le principe de finalit une utilisation encadr e des fichiers Les donn es caract re personnel ne peuvent tre recueillies et trait es
64. n Pierre FINANCE Michel LUSSAULT Alex T RK Pr sident Pr sident Pr sident de la CPU de l Amue de la CNIL Le guide est mis en ligne sur les sites de la CPU www c u fr de l AMUE www amue fr et de la CNIL www cnil fr A 1 Le texte de la loi informatique et Libert s utilise l expression de correspondant la protection des donn es L usage a retenu l expression de Correspondant Informatique et Libert s CIL que nous utiliserons dans le f pr sent guide CPU AMUE CNIL 2009 NA gt 0 Sommaire g n ral w 10 11 12 PARTIE 1 Fiches th matiques D finitions des notions cl s de la loi Informatique et Libert s Principes de la protection des donn es personnelles R le de la CNIL pour d fendre ces principes Correspondant Informatique et Libert s PARTIE 2 Fiches pratiques Mise en place d un annuaire des dipl m s Diffusion des r sultats d examen et des notes sur internet Utilisation de la photographie d une personne Enqu tes statistiques portant sur le devenir profes sionnel et le suivi de cohortes d tudiants tudes men es au sein de l enseignement sup rieur afin de mesurer la diversit des origines des tudiants et les pratiques discriminatoires Mise disposition ou acc s des ressources num riques via des dispositifs de f d ration d identit s Utilisation du t l phone sur le lieu de travail
65. nction du profil de l utilisateur 1 La f d ration d identit s la plus fr quemment utilis e dans la communaut de l enseignement sup rieur est Shibboleth 2 Cette d marche s inscrit notamment dans le cadre de la r forme LMD Licence Master Doctorat qui permet de compl ter par exem ple ses modules de cours aupr s d autres tablissements La mise en place de f d ration d identit s r pond au besoin de partage d applications entre institutions et de s affranchir de la multiplication de comptes utilisateurs CPU AMUE CNIL 2009 Un fournisseur d identit savoir l universit ou l tablissement d cide par avance des infor mations qu il s autorise diffuser aux ressources ext rieures d sign comme le fournisseur de service Il diffuse telle ou telle information en fonction des besoins fonctionnels de chaque ressource apr s s tre mis d accord avec le partenaire op rant la ressource dans leur cadre contractuel classique La f d ration d identit s est un dispositif technique permettant d acc der sous une nouvelle forme des informations d un annuaire avec une s lection stricte des informations divulgu es Pour ces acc s il est possible de consulter une entr e de l annuaire mais jamais de lister le contenu de l ensemble de l annuaire Dans le cas o les informations divulgu es n ont pas besoin d tre nominatives la cl de consultation n est pas le nom d une personne mais un iden tifiant
66. nde Que faire 1 Dans quelles conditions un tablissement peut il communiquer des tiers autoris s des renseignements sur ses personnels et ses tudiants Cette communication ne peut tre effectu e que sur demande ponctuelle crite visant des personnes nomm ment d sign es identifi es directement ou indirectement Il est exclu qu elle porte sur l int gralit d un fichier L tablissement n est pas tenu de r pondre une simple demande t l phonique qui ne lui permettra pas de s assurer de la qualit de son interlocuteur La demande doit pr ciser le texte l gislatif fondant ce droit de communication ainsi que les cat gories d informations sollicit es L tablissement saisi de la requ te doit s assurer de sa conformit aux textes invoqu s et peut toujours en cas de doute interroger la CNIL 2 Quels sont les tiers autoris s obtenir ponctuellement des informa tions personnelles d tenues par les tablissements 2 1 L administration fiscale gt Le Tr sor public direction g n rale de la comptabilit publique uniquement dans les condi tions fix es par les articles L 81 L 95 du Livre des Proc dures fiscales pour le recouvrement de cr ances fiscales ou des amendes et condamnations p cuniaires gt La direction g n rale des imp ts ou la direction g n rale des douanes en vue de l tablissement de l assiette du contr le du recouvrement des imp ts articles L 81 L 95 du Livre
67. ndirectement les origines raciales ou ethniques les opinions politiques philosophiques ou religieuses ou l appartenance syndicale des personnes ou qui sont relatives la sant ou la vie sexuelle de celles ci art 8 de la loi Informatique et Libert s Ces donn es touchent ainsi l essence m me de ce qui fait notre identit la fa on dont on se per oit et dont on est per u par les autres C est pourquoi leur traitement fait l objet d une attention toute particuli re Que faire 1 D terminer une m thodologie d tude Trois proc d s peuvent notamment tre envisag s afin de mesurer la diversit des origines o les pratiques discriminatoires 1 1 Utiliser des donn es sur la nationalit Faisant partie de l tat civil cette donn e n est pas consid r e comme sensible Ainsi elle peut tre utilis e afin d tablir des statistiques par pays d origine des tudiants inscrits l universit 1 2 Utiliser les noms et les pr noms La CNIL estime que l analyse des noms et pr noms aux fins de classement dans des cat gories ethno raciales n est pas pertinente en raison du manque de fiabilit de cette m thode et du risque de stigmatisation qui pourrait en d couler En revanche elle consid re que le recours au pr nom ainsi que le cas ch ant au nom de famille pour d tecter d ventuelles pratiques discriminatoires dans le parcours universitaire l exclusion de tout classement
68. nts cher cheurs et personnels la mise disposition ou l acc s simplifi des ressources num riques qui leur sont r serv es par des entit s publiques ou priv es Il pourra s agir de l acc s des cours en ligne des services ou produits aux tarifs pr f rentiels pour des tudiants ou de la docu mentation num rique En ce qu elle permet de certifier des qualit s d termin es de telle ou telle personne Mme X est bien tudiante en licence de droit si cette information est requise pour acc der au service ou M Y est bien tudiant l universit U si cette information est suffisante le d ploiement d une f d ration d identit s s curise l acc s ces ressources Il simplifie galement l acc s ou la mise disposition de ces ressources dans la mesure o il sera possible de partager une application entre plusieurs partenaires sans devoir r enregistrer tous les nouveaux utilisateurs de cette application ou encore de contr ler la diffusion d informations concernant ses utilisateurs des partenaires ext rieurs D un point de vue plus technique lorsqu un utilisateur acc de une ressource avec son navi gateur web et seulement ce moment le fournisseur de cette ressource peut interroger le fournisseur d identit de l utilisateur pour obtenir des informations concernant celui ci Ces informations sont destin es r aliser le contr le de l acc s au service et ou le personnaliser en fo
69. occult s 1 2 Exceptions L universit ou l tablissement peut diter soit par l interm diaire de l autocommutateur qu il aura mis en place soit par l interm diaire de l op rateur aupr s duquel elle ou il est client e l int gralit des num ros de t l phone appel s ou le d tail des services de t l phonie utilis s dans les deux cas suivants gt dans le cas o un remboursement est demand aux employ s pour les services de t l pho nie utilis s titre priv lorsque le montant demand est contest par l employ auquel il se rapporte un relev justificatif complet des donn es relatives l utilisation des services de t l phonie comprenant l int gralit des num ros de t l phone appel s peut tre tabli des fins de preuves CPU AMUE CNIL 2009 Par ailleurs il est recommand de mettre en uvre les mesures techniques permettant de s curiser les postes postes avec code de d verrouillage et de pr identifier les appels caract re personnel gt dans le cas o l employeur constate une utilisation manifestement anormale au regard de l utilisation moyenne constat e des services de t l phonie au sein de l tablissement un relev justificatif complet des num ros de t l phone appel s ou des services de t l phonie utilis s peut tre tabli de fa on contradictoire avec l employ concern 2 D clarer aupr s de la CNIL Si le dispositif rentre dans le cadre de la norme
70. oit dans certains cas d acc der aux fichiers personnels d un salari enregistr s sur le disque dur de son poste de travail Elle pose le principe que d sormais la nature personnelle d un fichier ne suffit plus le soustraire un contr le de l employeur mais d finit troitement les conditions d un tel contr le Ainsi gt par principe l acc s l espace r serv l employ n cessite la pr vision d un tel acc s dans le r glement int rieur ainsi que l information pr alable du salari qui doit tre pr sent ou au moins tre pr venu gt par exception le contr le de l espace r serv est possible sans inscription au r glement int rieur et sans information pr alable en cas de risque ou d v nement particulier 1 Identifier ses messages personnels Il appartient l employ gt de classer syst matiquement le message dans un dossier personnel gt d indiquer dans l objet du message la mention personnel 2 Informer les personnes Il est recommand que la direction de l tablissement informe ses personnels au sujet gt de l existence de proc dures de contr les quant l utilisation de la messagerie lectronique cette information peut tre assur e par l envoi chaque agent d un courrier lectronique dans lequel doivent tre rappel es les mentions Informatique et Libert s Cette informa tion peut tre utilement compl t e par voie d affichage gt de
71. onction de Correspondant Informatique et Libert s CIL au sein de l enseignement sup rieur la CNIL et la CPU ont sign en 2007 une convention de partenariat A Le r le de conseil et d information De m me la CNIL conseille et renseigne les personnes et les organismes qui envisagent de mettre en uvre des fichiers informatiques que ce soit au t l phone par courrier ou par ses publications Elle s est dot e d un Service d Orientation et de Renseignement du Public SORP afin d apporter une r ponse rapide aux requ tes des particuliers comme des profession nels relative l application de la loi Lorsque de nouvelles technologies apparaissent la CNIL proc de des tudes labore en concertation avec les milieux concern s des recommandations le cas ch ant propose des mesures l gislatives Ces activit s peuvent galement tre men es avec ses homologues en particulier europ ens 1 Les textes cit s en r f rence la loi Informatique et Libert s normes simplifi es applicables d lib rations et guides sont disponi bles le site web de la CNIL http www cnil fr CPU AMUE CNIL 2009 15 Fiches th matiques E 16 EX L instruction des plaintes La CNIL re oit les plaintes concernant le non respect de la loi Selon la nature et l importance des manquements elle proc de au r glement des plaintes soit par voie amiable soit par la mise en uvre de son pouvoir de sanction soit en d non ant l
72. ons de la loi informatique et Libert s a cet gard deux missions principales gt informer les personnes concern es de leurs droits et les responsables de traitements de leurs obligations gt veiller ce que les traitements de donn es caract re personnel soient mis en uvre conform ment aux dispositions de la loi Informatique et Libert s Le contr le de la conformit la loi des projets de fichiers et traitements C est au titre de ses missions que la CNIL v rifie lors de l instruction des d clarations de fichiers qui lui sont adress es que les caract ristiques des traitements concern s sont bien conformes la loi et autorise la mise en uvre des traitements qui aux termes de la loi n cessitent une attention particuli re du fait de leur contenu de leur finalit ou de leur structure C est galement ce titre que la Commission peut simplifier les formalit s d claratives voire exon rer de d claration certains fichiers Afin de pr senter de mani re synth tique les diff rentes formalit s respecter en la mati re le Guide fait figurer en annexe 1 un mode d emploi d taillant les proc dures existantes La modification de la loi introduite en 2004 a galement pr vu une autre source de simplifica tion des formalit s pr alables d s lors qu un organisme a d sign un Correspondant Informatique et Libert s se reporter la fiche n 4 du guide Afin de promouvoir cette nouvelle f
73. oration entre le CIL le RSSI Responsable de la S curit des Syst mes d Information le CRI Centre de Ressources Informatiques et le service juridique de l tablissement Enfin pour s acquitter de sa t che le Correspondant Informatique et Libert s doit disposer de la libert d action et des moyens qui lui permettront de recommander des solutions organisa tionnelles ou techniques adapt es I doit pouvoir exercer pleinement ses missions en dehors de toute pression et jouer son r le aupr s du responsable du traitement gt Qui peut d signer un Correspondant Informatique et Libert s Il appartient au responsable du traitement d exercer un choix Ainsi dans le secteur public les collectivit s territoriales les administrations de l Etat les tablis sements publics etc peuvent faire le choix de d signer un correspondant Il en va de m me des PME des entreprises multinationales des associations La d signation d un correspondant est facultative et traduit l engagement du responsable du traitement respecter les dispositions l gales En pratique Pour toute information compl mentaire sur le correspondant sa d signation et ses missions consulter le dossier Correspondant ou le Guide du Correspondant Informatique et Libert s sur le site internet de la CNIL Vous pouvez galement contacter le service de la CNIL en charge des correspondants CPU AMUE CNIL 2009 19 Fiches th matiques E
74. ou dans le registre du CIL en l esp ce une dur e de 6 mois 1 an para t raisonnable et suffisante Les usagers doivent tre inform s des pr rogatives des administrateurs du r seau 4 D clarer la CNIL La mise en place d un contr le de la messagerie nombre de mails entrants et sortants par employ identification de l metteur et des destinataires des envois de mails taille des fichiers transmis en pi ces jointes outil d archivage des messages chang s constitue un traitement de donn es caract re personnel et doit par cons quence tre d clar la CNIL sauf en cas de d signation d un CIL A noter Acc s aux donn es informatiques en cas d absence d un employ L obligation de loyaut impose l employ absent de son poste de travail de com muniquer l employeur qui en fait la demande tout document n cessaire la pour suite de l activit de l tablissement Pour autant les modalit s d acc s de l employeur aux donn es stock es sur l environnement informatique d un employ absent messagerie fichiers supports de stockage devraient tre pr alablement d finies en concertation et diffus es aupr s de l ensemble des employ s suscepti bles d tre concern s via une charte par exemple EX Le contr le de l utilisation de l internet De quoi s agit il Une interdiction g n rale et absolue de toute utilisation d internet des fins autres que profes sionnelles ne para t
75. oumises la vid osurveillance sont autant d l ments devant notamment entrer en ligne de compte lors de l valuation du caract re proportionn du syst me CPU AMUE CNIL 2009 53 Fiches pratiques H 54 3 L obligation d information Il ne doit pas y avoir de surveillance l insu des personnes concern es savoir des enseignants des tudiants des personnels et des visiteurs L existence de syst me de vid osurveillance doit tre port e la connaissance de toute personne film e ou susceptible de l tre de fa on claire et permanente par exemple au moyen de panon ceaux appos s l entr e des locaux exemple fourni ci dessous Les instances repr sentatives du personnel doivent tre consult es avant toute mise en uvre d un syst me de vid osurveillance et pr cis ment inform es des fonctionnalit s envisag es 4 L laboration d un document de r f rence Il est recommand d tablir un document identifiant clairement les objectifs et les modalit s d utilisation du syst me de vid osurveillance les personnes habilit es et form es visionner les images la dur e maximale de conservation et les modalit s d exercice du droit d acc s aux images 5 Une visualisation des images restreinte aux seuls destinataires habilit s Les images enregistr es ne peuvent tre visionn es que par les seules personnes d ment habi lit es cet effet dans le cadre de leurs attributions respecti
76. pas r aliste dans une soci t de l information et de la communication et semble de plus disproportionn e au regard des textes applicables et de leur interpr tation par la jurisprudence Un usage raisonnable du personnel non susceptible d amoindrir les conditions d acc s profes sionnel au r seau ne mettant pas en cause la productivit est g n ralement et socialement admis par la plupart des entreprises ou administrations Que faire 1 R diger une charte d utilisation d internet au sein de l tablissement Celle ci peut notamment pr voir gt la mise en place de dispositifs de filtrage de sites non autoris s associ s au pare feu sites diffusant des produits caract re pornographiques p dophiles incitation la haine raciale r visionnistes etc comme une mesure de pr vention CPU AMUE CNIL 2009 gt aux fins de s curit l interdiction de t l charger des logiciels de se connecter un forum ou d utiliser le chat d acc der une bo te aux lettres personnelle par internet compte tenu des risques de virus 2 Informer les personnes Les modalit s d un tel contr le de l usage d internet doivent faire l objet d une consultation des instances repr sentatives du personnel et d une information des utilisateurs y compris lorsque le contr le est d pourvu d un caract re directement nominatif 3 D clarer aupr s de la CNIL Un contr le a posteriori des donn es de connexion
77. ploit es des fins commerciales ou politiques sauf indication explicite en sens contraire de la personne concern e En pratique Les associations d anciens l ves L universit ou l tablissement peut communiquer la liste de ses anciens dipl m s ces associations d s lors que les int ress s ont d une part t pr alablement infor m s de ladite transmission les concernant et ont d autre part eu la possibilit de s y opposer Par ailleurs l tablissement peut par voie d affichage et plus particuli rement lors de la publication des r sultats informer les dipl m s de l existence d associations d anciens l ves et des modalit s d inscription via par exemple le site web de l association 24 CPU AMUE CNIL 2009 Fichen 6 Diffusion des r sultats d examen et des notes sur internet sm De quoi s agit il Comme le pr cise une circulaire minist rielle les r sultats des examens sont port s la connais sance des tudiants par voie d affichage Traditionnellement cette proclamation des r sultats est r alis e par le biais d un affichage dans les locaux de l universit ou de l tablissement Cette publicit ne s applique pas aux notes obtenues qui sont communiqu es individuellement chaque tudiant Il est d sormais fr quent que les universit s permettent leurs tudiants d acc der leurs r sul tats d examen et leurs notes via internet En quoi mes libert s sont ell
78. r la gestion des personnels des enseignants chercheurs BEA La d claration normale Le r gime de droit commun est la d claration normale lorsque le fichier ne rel ve pas d une proc dure particuli re art 22 de la loi Informatique et Libert s Le traitement peut tre mis en uvre d s r ception du r c piss d livr par la CNIL Le r c piss atteste de l accomplissement des formalit s de d claration mais n exon re pas le responsable du traitement des autres obligations pr vues par la loi respect de la finalit du fichier s curit et confidentialit respect des droits des personnes EX La d claration simplifi e Certains des fichiers des tablissements de l enseignement sup rieur et de la recherche peuvent faire l objet de d clarations simplifi es EX Les formalit s particuli res Certains traitements des tablissements d enseignement peuvent relever d un r gime d autorisation ou de demande d avis I s agit de r gimes plus protecteurs qui s appliquent aux fichiers consid r s comme sensibles ou comportant des risques pour la vie priv e ou les libert s 1 Article 226 16 du code p nal Le fait y compris par n gligence de proc der ou de faire proc der des traitements de donn es caract re personnel sans qu aient t respect es les formalit s pr alables leur mise en uvre pr vues par la loi est puni de cinq ans d emprisonnement et de 300 000 d amende 2
79. res et de la restauration sur les lieux de travail gt l empreinte digitale exclusivement enregistr e sur un support individuel carte puce cl USB d tenu par la personne concern e pour contr ler l acc s aux locaux professionnels En pratique Comment d clarer Si le traitement est strictement conforme l une de ces autorisations uniques une simple d claration de conformit suffit Elle peut tre effectu e en ligne partir du site web de la CNIL Cette formalit est requise y compris si l tablissement a d si gn un Correspondant Informatique et Libert s Attention La norme simplifi e n 42 relative la gestion des contr les d acc s aux locaux des horaires et de la restauration n est pas applicable aux applications faisant appel un proc d de reconnaissance biom trique 2 Cette autorisation unique ne s applique pas aux dispositifs qui reposent sur l enregistrement de la donn e biom trique dans une base de donn es qu elle soit stock e sur le terminal de lecture comparaison ou sur un serveur 3 Voir le tableau synth tique figurant en annexe n 1 CPU AMUE CNIL 2009 JHA Dispositifs de vid osurveillance De quoi s agit il La vid osurveillance consiste placer des cam ras de surveillance dans un lieu public ou priv pour pr venir des actes de malveillance Elles peuvent tre fixes ou mobiles automatiques ou t l command es En quoi mes libert s sont e
80. roc de la mise jour de son registre des traitements gt soit la CNIL CPU AMUE CNIL 2009 49 Fiches pratiques a 50 CPU AMUE CNIL 2009 AE NS Utilisation de la biom trie De quoi s agit il Cette technique consiste appliquer des traitements informatiques aux caract ristiques physiques contours ou forme de la main ou du visage dessins de l iris empreinte digitale ou palmaire etc des personnes Elle est principalement utilis e pour renforcer la s curit des acc s des locaux En quoi mes libert s sont elles concern es Du fait des dangers potentiels li s l exploitation de ces caract ristiques physiques qui sont propres chaque tre humain et dont certaines empreintes digitales ADN peuvent tre collect es l insu des int ress s les traitements faisant appel un dispositif biom trique sont soumis par la loi un r gime d autorisation pr alable de la CNIL Que faire D une mani re g n rale il existe deux types de proc dures pour notifier la CNIL l utilisation d applications biom triques La d termination de la proc dure applicable est essentiellement fonction de la biom trie choisie ainsi que du contexte d utilisation 1 La proc dure d autorisation au cas par cas pour les dispositifs biom triques gt reposant sur un enregistrement de l empreinte digitale dans une base de donn es centrali s e ou dans le lecteur Ils doi
81. s agit il Dans certaines occasions les tablissements peuvent avoir besoin de consulter les tudiants par voie lectronique Cette consultation ne peut tre qualifi e d lection dans la mesure o elle ne conduit pas la d signation d une personne pour occuper une fonction au sein de l tablissement Elle est n an moins soumise au respect de la loi Informatique et Libert s notamment en mati re de mesures prises pour assurer la s curit et la confidentialit des donn es En effet ces mesures s imposent afin de garantir la validit de la consultation En quoi mes libert s sont elles concern es Les consultations par voie lectronique n cessitent l utilisation de donn es caract re person nel Il est essentiel de garantir le secret de l opinion mise ainsi que la s curit et l int grit des changes Que faire Afin de garantir la l gitimit des r sultats l organisation d une consultation par voie lectro nique doit respecter les m mes principes de s curit qu une lection par voie lectronique cf fiche n 22 Les personnes consult es doivent galement tre clairement inform es de la finalit et des modalit s d organisation de la consultation envisag e Cette consultation peut s appuyer sur les dispositifs d authentification de l ENT Espace Num rique de Travail Dans ce cas il est n cessaire que les m canismes mis en jeu s parent les donn es d authentification du
82. s et de la Vie Universitaire gt les statistiques n cessaires seront r alis es par des personnes habilit es utiliser de la base de gestion des tudiants gt une information sur l enqu te devra tre pr sent e r guli rement au fil de l eau jour nal de l tablissement pr sentation des r sultats lors des journ es scolarit des r unions d accueil des tudiants Se reporter l annexe 1 Mode d emploi comment d clarer qui pr cise les cas dans lesquels ces traitements rel vent du r gime de la d claration normale ou de la demande d autorisation CPU AMUE CNIL 2009 LE TUE tudes men es au sein de l enseignement sup rieur afin de mesurer la diversit des origines des tudiants et les pratiques discriminatoires De quoi s agit il Les universit s peuvent tre int ress es tudier la diversit des tudiants qu elles accueillent et notamment la diversit g ographique religieuse et sociale De m me ces tudes peuvent avoir pour objectif de constater le niveau d impact des origines sur les parcours des personnes inscrites dans l enseignement sup rieur afin d valuer la pr sence ventuelle de pratiques discri minatoires En quoi mes libert s sont elles concern es Ce type d tude peut entra ner la collecte et l exploitation des donn es dites sensibles savoir des donn es caract re personnel qui font appara tre directement ou i
83. s le cadre d une activit exclusivement personnelle CPU AMUE CNIL 2009 45 Fiches pratiques 7 LE Enregistrement et utilisation du num ro de s curit sociale De quoi s agit il Le NIR num ro d inscription au R pertoire National d Identification des Personnes Physiques RNIPP commun ment appel num ro de s curit sociale est un l ment d identification des personnes physiques La gestion du NIR est confi e l INSEE En quoi mes libert s sont concern es Le NIR n est pas un num ro comme les autres Il est particulier car il est gt signifiant il est compos d une cha ne de caract res qui permettent de d terminer le sexe le mois et l ann e de naissance et dans la majorit des cas le d partement et la commune de naissance en France ou l indication d une naissance l tranger gt unique et p renne un seul num ro est attribu chaque individu d s sa naissance La loi Informatique et Libert s a toujours soumis des exigences proc durales particuli res l utilisation du NIR ou ce qui a t consid r comme revenant au m me le recours au RNIPP En effet les craintes suscit es par la g n ralisation d un identifiant national et unique qui rendrait plus ais es les possibilit s de rapprochements de fichiers ont conduit le l gislateur encadrer strictement l utilisation de ce num ro Que faire Lorsqu un tablissement envisage l enregistre
84. s proc dures de surveillance et d archivage mises en uvre pour des raisons de s curit des syst mes d information ex encombrement du r seau gt de la dur e de conservation des donn es dans le cas de mesures d archivage gt de l existence et la date de la consultation pr alable des instances repr sentatives du personnel 3 Rappeler les pr rogatives et les obligations des administrateurs r seaux gt Pr rogatives acc s l ensemble des donn es y compris celles qui sont sur le disque dur du poste de travail pour pouvoir travailler efficacement utilisation de logiciels de t l main tenance d tection de pannes ou prise de contr le distance 2 COUR DE CASSATION Chambre sociale 17 mai 2005 Philippe X Soci t Cathnet Science N 03 40 017 arr t n 1089 Cassation 3 Les logiciels de t l maintenance ou de prise de main distance ne peuvent tre utilis s par l employeur des fins de contr le de l activit de ses personnels CPU AMUE CNIL 2009 41 Fiches pratiques a 42 gt Obligations l acc s aux donn es enregistr es par les employ s dont les correspondances personnelles ne peut tre justifi que dans le cas d un dysfonctionnement important obli gation de confidentialit rappeler dans leur contrat et dans la charte d utilisation des ressources informatiques Respect de la dur e de conservation des donn es indiqu e dans le dossier de d claration CNIL
85. s sont diffus es sur le site ede ne pas diffuser des donn es dites sensibles ex opinion politique qui n ont pas vocation tre diffus es partir d un site internet ouvert au public ede pr voir pour toute personne dont les donn es caract re personnel sont diffus es partir d un site web la facult de s opposer tout moment cette diffusion En ce qui concerne les sites web qui ne seraient pas cr s dans le cadre d une activit exclusi vement personnelle tel que par exemple le site institutionnel de l universit ils sont galement soumis aux dispositions de la loi Informatique et Libert s Ainsi par exemple gt lors de la collecte de donn es caract re personnel ex abonnement la lettre d information les personnes aupr s desquelles sont recueillies les informations doivent tre inform es de la finalit de cette collecte des destinataires ou cat gories de destinataires des donn es et de l existence d un droit d acc s de rectification et d opposition se reporter l annexe 1 pour un mod le de mention d information gt la diffusion de la photographie des tudiants et des personnels sur ce site est subordonn e au recueil du consentement des personnes concern es 1 Cf d lib ration n 2005 285 adopt e par la CNIL le 22 novembre 2005 portant recommandation sur la mise en uvre par des parti culiers de sites web diffusant ou collectant des donn es caract re personnel dan
86. se en place d un t l service de l administration lectronique il convient de joindre au dossier de formalit s d claratives un projet d acte r glementaire portant cr ation du traitement Il doit tre adapt et compl t en fonction des caract ristiques du traitement Projet OR seseans une 1 relatif l informatisation de pr ciser le service Vu la loi n 78 17 du 6 janvier 1978 relative l informatique aux fichiers et aux libert s modi fi e notamment ses articles 27 et 29 Vu l avis de la Commission Nationale de l Informatique et des Libert s en date du xxx Arr te ou d cide Article 1 il est cr par un traitement automatis de donn es caract re personnel d nomm dont l objet est de pr ciser la finalit Article 2 les cat gories de donn es caract re personnel enregistr es sont les suivantes Article 3 les destinataires ou cat gories de destinataires habilit s recevoir communication de ces donn es sont raison de leurs attributions respectives Article 4 le droit d acc s et de rectification pr vu par les articles 39 et suivants de la loi n 78 17 du 6 janvier 1978 s exerce aupr s du service Article 5 le cas ch ant le droit d opposition pr vu au titre de l article 38 de la loi du 6 janvier 1978
87. simplifi e n 47 adopt e par la CNIL relative l utilisation de services de t l phonie fixe et mobile sur les lieux de travail il peut tre d clar en ligne sous une forme simplifi e En cas de d signation d un CIL le responsable du traite ment est dispens de d claration aupr s de la CNIL A noter L utilisation de t l phones mobiles est galement concern e Attention Le cas particulier des salari s prot g s En aucun cas des informations concernant leurs activit s syndicales ou de repr sen tation du personnel ne peuvent tre collect es ce titre une ligne d connect e de l autocommutateur devra tre mise leur disposition CPU AMUE CNIL 2009 37 Fiches pratiques z LEE Mise en place des espaces num riques de 38 travail ENT De quoi s agit il Prolongements num riques de l universit les Espaces Num riques de Travail ENT sont des sites web portail permettant aux tudiants aux enseignants aux personnels administratifs et plus g n ralement tous les membres de la communaut de l enseignement sup rieur d acc der via un point d entr e unique et s curis un bouquet de services num riques gt Un acc s via internet de son domicile ou partir des points d acc s disponibles dans chaque tablissement gt Un acc s des contenus vocation p dagogique et ducative une diffusion d informations administratives ou relatives au fonctionne
88. sion d informations destination du cercle familial ou des proches la mise en ligne d un journal personnel blocs notes ou blog ou la pr sentation de sujets d int r t personnel loisirs sport culture diffusion d id es etc En quoi mes libert s sont elles concern es Du fait de sa mise en ligne sur le r seau internet un site web constitue un espace ouvert au public Aussi la diffusion de donn es caract re personnel sur ces sites est elle susceptible de porter atteinte la vie priv e des personnes d s lors qu elles n ont pas t pr alablement infor m es d une telle diffusion De plus l existence de moteurs de recherche de plus en plus performants multiplie les risques en mati re d atteinte la vie priv e En effet l utilisation des moteurs de recherche partir du nom d une personne permet d acc der l ensemble des pages web o est diffus ce nom possibilit de reconstituer une biographie virtuelle des personnes utilisation par des employeurs par exemple dans le cadre d une embauche Que faire La mise en ligne d un site web que celle ci soit effectu e dans un cadre priv ou profession nel doit s effectuer dans le respect d un certain nombre de r gles Un site web ne doit pas tre consid r comme une zone de non droit Ainsi par exemple la diffusion de propos diffamatoires d injures ou propos racistes sur un site peut tre p nalement sanctionn e Des sanctions
89. ssier de demande d avis aupr s de la CNIL subsiste quand bien m me un Correspondant Informatique et Libert s a t d sign et doit intervenir 2 mois minimum avant la mise en place effective du vote B Lorsque le dispositif de vote lectronique est strictement destination des personnels de l tablissement il rel ve alors du r gime de la d claration normale 2 En r f rence l article 27 I1 4 de la loi Informatique et Libert s 3 D cret n 2004 1326 du 3 d cembre 2004 relatif au vote par voie lectronique pour l lection des repr sentants des usagers aux conseils des EPCSCP tablissement Public Caract re Scientifique Culturel et Professionnel 4 Le dossier de demande d avis doit comporter l annexe relative la s curit et le projet d acte r glementaire cf mod le en annexe 3 du Guide 5 Arr t du 29 mai 2008 fixant les modalit s d lection au conseil d administration du Centre national de la recherche scientifique CPU AMUE CNIL 2009 En pratique Si l tablissement a d sign un Correspondant Informatique et Libert s ce dernier proc dera la mise jour du registre des traitements Sinon une d claration devra tre effectu e aupr s de la CNIL pr cisant le nom du prestataire s lectionn ainsi que le descriptif technique pr cis du vote de l envoi des identifiants et mots de passe jusqu au d pouillement de l urne suffisamment longtemps avant la mise en uvre
90. stent la propri t de l tablissement Les donn es contenues dans ces supports et documents sont strictement couvertes par le secret professionnel article 226 13 du code p nal Conform ment l article 34 de la loi n 78 17 du 6 janvier 1978 modifi e relative l informatique aux fichiers et aux libert s la soci t ssseessneesnee s engage prendre toutes pr cau tions utiles afin de pr server la s curit des informations et notamment d emp cher qu elles ne soient d form es endommag es ou communiqu es des personnes non autoris es La soci t a s engage donc respecter de fa on absolue les obligations suivantes et les faire respecter par son personnel c est dire notamment gt ne prendre aucune copie des documents et supports d informations confi s par la soci t 22 00 et utilis s par la soci t l exception de celles n ces saires pour les besoins de l ex cution de sa prestation objet du pr sent contrat gt ne pas utiliser les documents et informations trait s des fins autres que celles sp cifi es au pr sent contrat gt ne pas divulguer ces documents ou informations d autres personnes qu il s agisse de personnes priv es ou publiques physiques ou morales gt prendre toutes mesures permettant d viter toute utilisation d tourn e ou frau duleuse des fichiers informatiques en cours d ex cution du contrat gt prendre toutes me
91. sup rieur offrant un acc s Internet leurs tudiants sont soumis aux dispositions de l article L 34 1 du code des postes et des communications lectroniques Selon cet article les personnes dont l activit est d offrir un acc s des ser vices de communication au public en ligne ont l obligation de conserver les donn es de connexion des personnes utilisatrices de leurs services En tout tat de cause il convient de rappeler que cette disposition n impose pas d identifier les tudiants par la tenue par exemple d un fichier des utilisateurs Par ailleurs afin de faciliter le travail de mise en uvre d une politique de gestion des traces au sein des tablissements d enseignement sup rieur le Comit de R seaux des Universit s a labor sur la base de travaux du CNRS un document Politique type de gestion des journaux informatiques CPU AMUE CNIL 2009 Que faire C est la jurisprudence qui a d fini les conditions dans lesquelles un employeur peut contr ler l utilisation de la messagerie professionnelle de ses employ s Ainsi un arr t de la Cour de cassation de 2001 a consacr le droit des salari s au respect de l intimit de leur vie priv e avec une interdiction pour l employeur de prendre connaissance du contenu des correspondances qui rel veraient de la vie priv e des personnes via la messagerie lectronique professionnelle Toutefois en 2005 la Cour de cassation a reconnu l employeur le dr
92. sures notamment de s curit mat rielle pour assurer la conser vation des documents et informations trait s tout au long de la dur e du pr sent contrat et en fin de contrat gt proc der la destruction de tous fichiers manuels ou informatis s stockant les informations saisies ou gt restituer int gralement les supports d informations selon les modalit s pr vues au pr sent contrat ce titre galement la soci t ne pourra sous traiter l ex cution des prestations une autre soci t ni proc der une cession de march Les supports d informations qui lui seront remis devront tre trait s sur le territoire fran ais m tropolitain L tablissement se r serve le droit de proc der toute v rification qui lui para trait utile pour constater le respect des obligations pr cit es par la soci t 000110 Il est rappel que en cas de non respect des dispositions pr cit es la responsabilit du titulaire peut galement tre engag e sur la base des dispositions des articles 226 17 et 226 5 du code p nal L tablissement pourra prononcer la r siliation imm diate du contrat sans indem nit en faveur du titulaire en cas de violation du secret professionnel ou de non respect des dispositions pr cit es CPU AMUE CNIL 2009 73 TETE Mod le de projet d acte r glementaire 74 En cas de demande d avis aupr s de la CNIL ex pour la mi
93. t par le fournisseur d identit qui collecte les donn es personnelles que par le fournisseur de service susceptible de les traiter ePour le fournisseur d identit savoir l universit ou l tablissement de l enseignement sup rieur il appartiendra de d terminer si la diffusion de donn es caract re personnel rel ve de la gestion administrative et p dagogique des tudiants Dans l affirmative il convient de proc der la modification de la d claration de son fichier de gestion administrative et p dagogique des tudiants Si l acc s la ressource num rique n entre pas dans ce cadre par exemple l acc s des services commerciaux en ligne desti n s aux tudiants et qu ils souscrivent titre personnel l tablissement devra proc der une d claration de ce traitement Dans tous les cas de figure l tablissement est exon r de ces formalit s d s lors qu il a d sign un Correspondant Informatique et Libert s e Pour le fournisseur de ressources savoir l entit qui va mettre disposition des ressources num riques ex diteur priv de logiciels tablissement public g rant une plate forme d enseignement distance diteur priv de p riodiques num riques les d marches accomplir aupr s de la CNIL seront fonction de leur statut juridique o s il s agit d un organisme public le traitement sera soumis demande d avis aupr s de la CNIL t l service de l administration lectronique
94. teurs sont des standards t l phoniques permettant d orienter l ensemble des appels t l phoniques entrants et sortants Ils enregistrent ainsi les num ros d appels compo s s o re us par les personnels ainsi que la date heure de d but de fin et la dur e de la communication Ils sont notamment utilis s pour gt g rer les co ts de communication laboration de statistiques sur les dur es moyennes d appel et sur leur r partition g ographique gt permettre le cas ch ant la facturation des appels personnels pass s depuis le poste profes sionnel En quoi mes libert s sont elles concern es L usage personnel du t l phone est possible condition qu une telle utilisation demeure raison nable et ne soit pas pr judiciable l employeur Il est ainsi l gitime qu un employeur s assure du caract re non abusif de cette utilisation Ce contr le doit toutefois s op rer dans des condi tions propres garantir le respect de la vie priv e et des libert s des personnels sur leur lieu de travail En effet un autocommutateur permet la collecte syst matique de donn es relatives l identification de l appelant Que faire 1 Encadrer l utilisation des relev s justificatifs des num ros de t l phone appel s ou des services de t l phonie utilis s 1 1 Principe Lorsque des relev s justificatifs des num ros de t l phone appel s sont tablis les quatre derniers chiffres de ces num ros sont
95. tit du responsable du traite ment en l esp ce l universit XX ou l tablissement XX font l objet d un traite ment informatique destin assurer la gestion administrative et p dagogique des tudiants tablir des statistiques par le Minist re de l ducation nationale et le rectorat et permettre des enqu tes sur les conditions de vie des tudiants par l Observatoire de la vie tudiante Les organismes de s curit sociale et les mutuelles tudiantes ainsi que le CROUS sont galement destinataires d informations n cessaires l accomplissement de leurs missions Conform ment la loi Informatique et Libert s vous b n ficiez d un droit d acc s et de rectifica tion aux informations qui vous concernent Si vous souhaitez exercer ce droit et obtenir communication des informations vous concernant veuillez vous adresser D E E T Pr ciser le service charg du droit d acc s en principe il doit pouvoir s exercer aupr s du responsable d tablissement dans lequel l tudiant est inscrit 1 ne pas faire figurer si le traitement pr sente un caract re obligatoire CPU AMUE CNIL 2009 71 72 2 ne pas faire figurer si le traitement pr sente un caract re obligatoire CPU AMUE CNIL 2009 affich e Les supports informatiques fournis par l tablissement et tous documents de quelque nature qu ils soient r sultant de leur traitement par la soci t 000110000 re
96. toris e CPU AMUE CNIL 2009 57 Fiches pratiques z LEE Tenue de listes de contacts pour un colloque scienti 58 fique organis par une Unit Mixte de Recherche gt De quoi s agit il Une Unit Mixte de Recherche UMR souhaite organiser un colloque scientifique Pour ce faire une proc dure d inscription en ligne et ou hors ligne est pr vue afin d organiser cette mani festation Un fichier comportant des informations personnelles sur les participants ce colloque est ainsi cr au sein de l UMR En quoi mes libert s sont elles concern es Ce cas aborde la question de la d termination du responsable du traitement dans le cadre de la mixit de certaines unit s des universit s La difficult identifier pr cis ment ce responsa ble fait courir un risque de non respect des formalit s par l un et l autre des tablissements ce qui nuirait tant aux tablissements qu au respect des droits des participants d claration exer cice du droits d acc s de rectification et d opposition notamment en cas de cession des donn es des partenaires du colloque Que faire Le responsable du traitement est le directeur de l UMR organisatrice du colloque Cependant le Directeur en question peut relever administrativement de l organisme de recherche ou de l universit personnel chercheur ou enseignant chercheur Ainsi se pose la question de la personne morale qui devra proc der l
97. ues men es au sein des ces universit s et tablissements CPU AMUE CNIL 2009 3 D clarer aupr s de la CNIL Si le traitement est susceptible de faire appara tre les origines suppos es ou r elles des tudiants ou leur confession de fa on directement ou indirectement nominative il est n cessaire de proc der une d claration de ce traitement la CNIL Se reporter l annexe 1 Mode d emploi comment d clarer qui pr cise les cas dans lesquels ces traitements rel vent du r gime de la d claration normale ou de la demande d autorisation Si les enqu tes sont anonymes celles ci ne sont pas soumises la loi Informatique et Libert s et n ont pas tre d clar es la CNIL En pratique Pour en savoir plus consulter le rapport du 15 mai 2007 de la CNIL Mesure de la diversit et protection des donn es personnelles ainsi que Les dix recommanda tions de la CNIL CPU AMUE CNIL 2009 31 Fiches pratiques a LE Mise disposition ou acc s des ressources 32 num riques via des dispositifs de f d ration d identit s A noter Cette fiche s adresse plus particuli rement au service informatique de l universit ou de l tablissement De quoi s agit il Certains tablissements de l enseignement sup rieur ou universit s ont choisi d utiliser des m canismes dits de f d ration d identit s afin d assurer aupr s de leurs tudia
98. une place centrale dans le d veloppement ma tris des nouvelles technologies de l information et de la communication Cette fonction existe d j chez plusieurs de nos voisins europ ens Allemagne Pays Bas Su de Luxembourg gt Pourquoi d signer un Correspondant Informatique et Libert s La fonction de correspondant r pond un double objectif e Elle emporte un all gement consid rable des formalit s aupr s de la CNIL Sa d signa tion permet en effet d tre exon r de l obligation de d claration pr alable des traite ments ordinaires et courants Seuls les traitements identifi s comme sensibles dans la loi demeurent soumis autorisations et continuent faire l objet de formalit s e Le Correspondant Informatique et Libert s apporte une aide pr cieuse au pr sident d universit ou directeur d tablissement Il contribue une meilleure application de la loi et r duit ainsi les risques juridiques pesant sur l organisme concern Il a un r le de conseil de veille et d alerte en mati re de d ploiement des projets informatiques au sein de l organisme Il joue galement un r le essentiel dans la formation et la sensibilisa tion des personnels de l tablissement aux principes Informatique et Libert s gt Quelles sont les comp tences requises pour tre Correspondant Informatique et Libert s Le CIL peut tre un employ de l tablissement o une personne externe comme par exem ple un consu
99. ur ce sujet consulter le Guide pratique pour les employeurs sur le site internet de la CNIL EM Le contr le de l utilisation de la messagerie lectronique professionnelle gt De quoi s agit il L utilisation de la messagerie lectronique professionnelle pour envoyer o recevoir dans des proportions raisonnables des messages caract re personnel correspond un usage g n ra lement et socialement admis Il est possible de l interdire mais m me dans un tel cas la nature d une correspondance priv e est prot g e par le secret des correspondances dans le respect de la loi et de l tat actuel de la jurisprudence En quoi mes libert s sont elles concern es La surveillance des courriers d un agent par sa direction doit respecter les principes issus du droit la vie priv e m me dans le cadre de la vie professionnelle En effet la mise en uvre d outils de contr le doit s op rer dans le respect du principe consacr l article 8 de la Convention europ enne des droits de l homme selon lequel Le salari a droit m me au temps et lieu de travail au respect de l intimit de sa vie priv e 1 Ce contr le est notamment r alis partir de la conservation de donn es techniques appel es donn es de connexion ou donn es relatives au trafic ex adresses URL visit es adresse IP On sait qu il se pose la question de savoir si les universit s et les tablisse ments de l enseignement
100. vent tre justifi s par l existence d un fort imp ratif de s curit Exemple Le contr le de l acc s aux locaux sensibles o sont conserv s les sujets nationaux d examens et de concours gt Reposant sur des caract ristiques biom triques telles que le visage l iris ou la voix En pratique Comment d clarer Les tablissements y compris ceux ayant d sign un Correspondant Informatique et Libert s doivent adresser la CNIL une demande d autorisation constitu e d un for mulaire de d claration normale d ment rempli accompagn e des annexes S curit s disponibles sur le site de la CNIL e tout l ment justifiant la mise en place d un dispositif biom trique e toute documentation technique relative au dispositif utilis 1 Elle repose plus pr cis ment sur le traitement du gabarit de la caract ristique physique concern e Ce gabarit constitue un iden tifiant unique calcul sur la base des points propres la caract ristique physique utilis e Ce n est donc pas une image photogra phie de la donn e qui est trait e mais sa retranscription au format num rique gr ce un algorithme formule math matique CPU AMUE CNIL 2009 51 Fiches pratiques a 52 2 La proc dure d engagement de conformit une autorisation unique adopt e par la CNIL pour les dispositifs biom triques reposant sur gt le contour de la main pour contr ler l acc s et la gestion des horai
101. ves par exemple le responsable de la s curit de l organisme Ces personnes devraient tre particuli rement form es et avoir t sensibilis es aux r gles encadrant la mise en uvre d un syst me de vid osurveillance 6 Une dur e de conservation des images limit e Sauf enqu te ou information judiciaire la dur e de conservation des images enregistr es l aide d un dispositif de vid osurveillance ne devrait pas exc der quelques jours et les enregis trements doivent tre d truits par la suite Cette dur e ne peut en tout tat de cause s tendre au del d un mois 7 La n cessit d accomplir certaines formalit s pr alables Un syst me de vid osurveillance num rique mis en place dans les enceintes et locaux affect s titre principal l tablissement ne peut tre install que s il a pr alablement fait l objet d une d claration aupr s de la CNIL Celle ci pr cisera notamment les justifications particuli res qui ont conduit l installation d un dispositif de vid osurveillance Le traitement est toutefois dispens de d claration en cas de d signation d un Correspondant Informatique et Libert s CPU AMUE CNIL 2009 Attention L installation d un syst me de vid osurveillance sur la voie publique ou dans un lieu ouvert au public est subordonn e l obtention d une autorisation pr fectorale Attention Si le syst me pr vu devait s accompagner d un dispositif de reconnaissance

Guide informatique et libertés pour l`Enseignement supérieur

Contents

Download Pdf Manuals

Related Search

Related Contents

Guide informatique et libert&eacute;s pour l`Enseignement sup&eacute;rieur

Contents

Download Pdf Manuals

Related Search

Related Contents

Guide informatique et libertés pour l`Enseignement supérieur