Conformément à l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, la CNIL a été saisie par le ministère de l'éducation nationale, de la jeunesse et de la vie associative (MENJVA) d'une demande d'avis relative à la mise à disposition des chefs d'établissements d'un téléservice destiné aux élèves et à leurs responsables légaux afin de consulter à distance le livret personnel de compétences (LPC) de l'élève concerné.
Ce téléservice, dénommé « Téléservice-LPC », permettra aux élèves et aux responsables légaux de l'enfant de consulter à distance le relevé de validation des compétences acquises par les enfants, telles qu'enregistrées dans le livret personnel de compétences.
Il se présentera sous la forme d'un nouveau module de consultation à distance de l'application de gestion des « SCONET livret personnel de compétences » (ou « SCONET LPC »), qui permet, au niveau de l'établissement scolaire, la saisie des acquis des élèves dans le traitement de gestion administrative, pédagogique et financière SCOLARITE.
Conformément aux articles D. 311-6 et D. 311-7 du code de l'éducation et à l'arrêté du 14 juin 2010, la mise en œuvre du livret personnel de compétences (LPC) est devenue obligatoire pour l'ensemble des élèves du second degré afin de permettre « à l'élève, à ses représentants légaux ou représentants légaux et aux enseignants de suivre la validation progressive des connaissances et compétences du socle commun » de l'élève (art. D. 311-6 du code de l'éducation) tout au long de sa scolarité dans le second degré.
La validation de ces compétences est effectuée en trois paliers : à la fin du CE1 (palier 1), à la fin du CM2 (palier 2) et en fin de 3e (palier 3). Depuis la session 2011, la validation de ces compétences est exigée pour l'obtention du diplôme national du brevet (DNB).
Le téléservice-LPC s'inscrit dans le cadre de l'offre des téléservices SCONET développés par le MENJVA (notes et absences). Il vise à faciliter un suivi régulier, par les responsables légaux, des compétences validées par l'élève.
La commission a pris acte que l'usage de ce téléservice reste entièrement facultatif. Tout d'abord, les conseils d'administration des différents établissements du second degré restent libres de ne pas recourir à ce téléservice. En outre, les parents d'élèves de l'établissement qui auraient fait le choix de mettre ce téléservice à disposition conservent la faculté de ne pas activer leur compte et de ne pas recourir à ce téléservice.
Ce téléservice s'inscrit dans le cadre de l'offre des téléservices SCONET que le MENJVA propose aux élèves et aux responsables légaux de l'enfant, s'agissant de la consultation des notes à distance (demande d'avis n° 1409718 du 27 janvier 2010 sur le traitement SCONOTES).
La commission reste particulièrement attentive à ce que la dématérialisation des contenus mis à disposition des responsables légaux en vue de les informer de la scolarité de leurs enfants ne s'accompagne pas d'une suppression concomitante des contenus « papier ».
La mise en œuvre du téléservice-LPC :
L'ouverture d'un compte :
La création du compte de l'élève est effectuée par l'élève à partir du code d'activation qui lui sera transmis par l'établissement lors d'une réunion d'information organisée sous la responsabilité d'un enseignant ou d'une personne de l'équipe éducative de l'établissement.
La création du compte des responsables légaux sera effectuée conformément à la procédure suivante :
― un code d'activation sera adressé au représentant légal de l'élève par courrier ou par courriel, afin de lui permettre de se connecter au téléservice ;
― le représentant légal pourra librement choisir d'activer ce service ou non ;
― dans le cas d'une absence d'utilisation du code d'activation transmis, pendant un délai de trois mois, ce code d'activation sera détruit ;
― dans le cas d'une activation du compte, le représentant légal créera un compte personnel en définissant un mot de passe personnel associé à ce compte ;
― les données relatives au livret personnel de compétences seront rendues accessibles à distance via ce téléservice.
Le refus des parents de recourir au Téléservice-LPC pourra être recueilli par courrier ou par courriel. Ce refus concernera tous les enfants dont il a la responsabilité.
Conformément à ce qu'avait recommandé la CNIL dans le cadre de la demande d'avis relative au téléservice SCONOTES, le MENJVA confirme qu'aucune création de compte de l'élève n'aura lieu avant le recueil du consentement des parents d'élèves.
La fermeture d'un compte :
Lorsque l'élève quitte l'établissement, la fermeture du compte a lieu, par défaut, en fin d'année scolaire ou bien après réception d'une demande expresse des responsables légaux de l'enfant en ce sens, par courrier ou par courriel.
Lors des changements de classe, d'école ou de collège, le livret est transmis à l'équipe pédagogique qui accueille l'enfant.
Sur la finalité du téléservice :
Le téléservice-LPC a pour objet de mettre à disposition des élèves et des responsables légaux des enfants scolarisés du second degré, un téléservice leur permettant de consulter à distance le livret de compétences de leurs enfants.
Il s'agit donc, pour les élèves et leurs responsables légaux, de pouvoir suivre la progression scolaire enregistrée dans les différents apprentissages du second degré afin de connaître les acquis des enfants dans les 7 champs de compétences identifiés dans le livret personnel de l'élève, à savoir :
1. La maîtrise de la langue française ;
2. La pratique d'une langue vivante étrangère ;
3. Les principaux éléments de mathématiques et de culture scientifique et technologique ;
4. La maîtrise des techniques usuelles de l'information et de la communication ;
5. La culture humaniste ;
6. Les compétences sociales et civiques ;
7. L'autonomie et l'initiative.
Le téléservice-LPC ne se substitue pas aux modalités usuelles et réglementaires de suivi de la validation des acquis des élèves et n'a notamment pas pour objectif de « remplacer » les moyens de communication traditionnellement utilisés par les établissements (notamment les courriers postaux ou électroniques).
Sur les données traitées :
Les catégories de données traitées sont des données d'identification, collectées auprès de l'élève et des responsables légaux, et des données scolaires relatives au socle de connaissance à acquérir par l'élève, saisies par les enseignants de l'établissement concerné, de la 6e à la 3e.
En premier lieu, les informations relatives à l'identification des élèves sont les suivantes :
« ― nom et prénom ;
― bilan des acquis relatif au socle commun (compétences et items) ;
― identifiant, choisi par l'élève lors de la première connexion, permettant l'accès au téléservice ;
― mot de passe, choisi par l'élève lors de la première connexion, permettant l'accès au téléservice » (art. 2 du projet d'arrêté).
La commission prend acte que le numéro d'identification académique des élèves du second degré (n° INE-BEA) ne sera pas saisi dans l'application.
Comme dans le cadre du traitement LPC, les acquis de l'élève sont renseignés à l'exclusion de toute note, appréciation ou commentaire des professeurs.
Sur ce point, la commission rappelle qu'elle devrait être saisie sur la base de nouvelles formalités préalables en cas de modification de la version actuelle du téléservice, particulièrement si le téléservice-LPC devait être enrichi de boites de dialogues parents-enseignants ou de commentaires permettant un suivi plus personnalisé de l'élève.
En deuxième lieu, les informations relatives à l'identification des responsables légaux sont les suivantes :
« ― nom et prénom ;
― identifiant, choisi par le responsable légal lors de la première connexion, permettant l'accès au téléservice ;
― mot de passe, choisi par le responsable légal lors de la première connexion, permettant l'accès au téléservice » » (art. 2 du projet d'arrêté).
En dernier lieu, les informations relatives aux acquis de l'élève relatifs au socle de compétences à acquérir sont les suivantes :
― niveau de scolarisation ;
― division dans laquelle l'élève est scolarisé ;
― langues vivantes étudiées ;
― options suivies.
L'alimentation du traitement sera effectuée :
― concernant les données d'identification des élèves : par le biais des données fournies directement par l'élève et des données traitées dans SCONET ;
― concernant les données d'identification des responsables légaux : par les données fournies directement par les responsables légaux ;
― concernant les données de connexion des élèves et des responsables : par les codes d'activation cryptés mis à disposition par le MENJVA, puis les mots de passe et login choisis par l'usager ;
― concernant les informations relatives aux acquis des élèves : par une saisie directe de ces informations par les enseignants de l'établissement.
Sur les destinataires :
La commission prend acte que les destinataires des données traitées sont exclusivement les responsables légaux de l'élève et l'élève.
Chaque destinataire des données disposera d'un compte personnel et sera donc identifié personnellement. Ainsi, chaque responsable légal concerné disposera d'un identifiant de connexion personnel et distinct.
Sur la durée de conservation :
La durée de conservation des données traitées sera celle de la mise à disposition du téléservice dans le second degré, c'est-à-dire, à ce jour, de la 6e à la 3e.
Sur la sécurité :
Etant un module du traitement SCONET et du traitement livret personnel de compétences, les garanties de sécurité appliquées au téléservice-LPC résultent des conditions de sécurité décrites dans les deux traitements précités, déclarés en 1993 et 2010.
Toutefois, la commission appelle l'attention du MENJVA sur les points suivants :
En premier lieu, la commission rappelle l'importance de définir des mesures de sécurité physique adéquates pour l'accès aux équipements hébergeant SCONET et le téléservice.
Le code d'activation responsable (CAR) permet au responsable légal de créer un seul compte pour plusieurs enfants, même si ces enfants fréquentent des établissements différents de la même académie.
En deuxième lieu, la commission rappelle qu'elle recommande des mots de passe de huit caractères minimum comprenant plusieurs types de caractères. Ces mots de passe ne doivent pas être accessibles aux administrateurs.
En troisième lieu, la commission relève que le MENJVA a confirmé qu'aucun transfert de données hors UE n'aura lieu et qu'aucune externalisation du stockage ne sera effectuée.
En quatrième lieu, la commission souligne l'importance d'une traçabilité pour la création de comptes et pour les connexions à l'application. La commission considère notamment qu'une traçabilité des identifiants des utilisateurs administrateurs du service devrait être prévue. De plus, les personnes dont les accès sont tracés ne devraient pas avoir accès aux traces elles-mêmes. Enfin, la commission recommande une analyse automatique des traces pour y détecter les anomalies.
En dernier lieu, le téléservice-LPC a été conçu pour répondre aux exigences du Référentiel général de sécurité (RGS) défini dans l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.
La Commission prend acte que le MENJVA a engagé la mise en conformité aux exigences de ce référentiel et réalisera avant le lancement du service une homologation de sécurité.
Sur les droits des personnes :
Téléservice-LPC est un module de scolarité. Les droits des personnes au regard des articles 32, 39 et 40 de la loi modifiée seront donc portés à la connaissance des responsables légaux au moment du recueil des données relatives à l'identité de l'élève en début d'année scolaire, lors de son inscription dans l'établissement concerné.
Des mentions légales relatives à la mise en œuvre du droit d'accès seront également portées sur les formulaires de collecte des données et les courriers personnalisés adressés aux responsables légaux pour leur communiquer les codes d'activation de leurs comptes.
La commission prend acte que le téléservice-LPC est un service facultatif et que le droit d'opposition ne fait donc l'objet d'aucune mention spécifique dans le projet d'arrêté.
Néanmoins, dans le respect des droits des parents d'élèves ne souhaitant pas recourir à ce téléservice, la commission recommande que, par défaut, dans le traitement SCONET, la case « publiable TS » (signifiant l'activation du téléservice) soit décochée.
Autres recommandations de la CNIL :
Le téléservice-LPC s'inscrit dans le cadre du développement de l'offre de téléservices scolaires dans le second degré (notes, absences, livret personnel de compétences).
A ce titre, la commission insiste sur la nécessité, pour le MENJVA, d'informer chaque établissement utilisant ce téléservice de son obligation de continuer à mettre à disposition des responsables légaux qui ne seraient pas en capacité d'accéder au téléservice proposé ou qui ne souhaiteraient pas l'utiliser un autre moyen d'accès aux données traitées dans le téléservice (appels téléphoniques, envoi d'un courrier postal ou d'un courriel).
Ainsi, une demande écrite en ce sens devra pouvoir être adressée à l'établissement par les responsables légaux de l'élève sur le carnet de correspondance de l'élève.
Sur la mise en place d'un bilan :
La commission demande au MENJVA de lui adresser, dans un délai de deux ans, un bilan sur la mise en œuvre du téléservice-LPC, afin :
― d'indiquer quelles mesures alternatives seront mises à la disposition des responsables légaux ne souhaitant pas utiliser le téléservice-LPC pour être informés, de manière régulière, de la validation des acquis de leurs enfants ;
― de dresser un tableau récapitulatif des mesures prises par le MENJVA dans le cadre de l'homologation RGS du téléservice ;
― de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits, et particulièrement les personnes ne souhaitant pas bénéficier de ce téléservice ;
― de réaliser une mesure d'audience des consultations du téléservice.