François. Je ne suis pas sûr que d'écrire comme ça à chaud sur des sujets complexes, soit toujours efficace.

Déjà en étant formé au droit du sujet et y travaillant régulièrement pour essayer de comprendre, j'arrive à m'y perdre…

Du coup le commentaire va être un peu long...

L'agacement de la CNIL ne date pas d’hier. Il n'a rien à voir avec la position de clarification du Ministère de ces derniers jours elle date de début 2015, quand la CNIL s'est aperçue qu'aucun des déploiements réalisées dans le cadre du Plan numérique, notamment le déploiement des tablettes et autres équipements individuels mobiles, n’avait fait l’objet d’aucune démarche auprès d’elle….

En effet, pour être compatibles avec la loi française elle même conforme au droit européen, les différents services constitutifs des nouveaux écosystèmes numériques pour enseigner et apprendre dans les nuages (MxM, services applicatifs et applications nécessitant un compte pour fonctionner : Dropbox, Evernote et Skitch, Edmodo, Remind, Adobe, Office 365, Google Apps. for Education, Book Creator, Geogebra, Scratch, … mais également Ies systèmes d’exploitation (iOS, Android et Windows depuis la version 8.1 traitent massivement des données à caractère personnel), les services d’activation des matériels, des licences ou encore les magasins d’applications) doivent (au moins) respecter les points suivants :

• le traitement des données à caractère personnel doit respecter la loi du 6 janvier 1978 (informatique et liberté) et faire l’objet de déclaration adéquate ou de demandes d’avis auprès de la CNIL suivant la nature du traitement ou être inscrit au registre du CIL, désigné par le responsable de traitement,  lorsqu’il existe ;

• les contrats et leurs avenants validés par  un acheteur public (école, collège, lycée publics, Université, collectivité) doivent être rédigés en français ;

• les contrats proposés à un acheteur public doivent prévoir, en cas de contentieux, la compétence d’un tribunal français, lequel ne peut être que le tribunal administratif (ce qui est permis par l’application des clauses de contrat type exigés par la CNIL en cas d’export hors UE et pays de confiance) ;

• la publicité visible ou destinée aux élèves est interdite (neutralité commerciale du service public de l’éducation rappelé à maintes reprises) ;

• la nature des données collectées ainsi que leur durée de conservation doit être strictement proportionnelle aux finalités du traitement réalisé ;

• et enfin les usagers doivent être informés du cadre juridique des traitements réalisés et disposer, auprès du signataire du contrat de sous traitance, d’un contact permettant de connaître voir de corriger les informations collectées

Tous ces services ne bénéficiant pas du régime prévu par l’arrêté du 30 novembre 2006 limité aux ENT strictement conformes au SDET et à ses annexes, ils ne peuvent bénéficier de la possibilité de réaliser une déclaration simplifiée. Ils sont donc dans le régime général qui contraint à procéder aux démarches adaptées. Ce régime n’interdit rien a priori, mais “alourdit” quelque peu les démarches à réaliser par le responsable du traitement (chef d’établissement pour le secondaire et DASEN pour le premier degré), auprès des services de la CNIL puisque TOUS les traitements font l’objet de démarches. Quand je dis TOUS cela signifie que pour chaque utilisation d’une nouvelle application traitant des données à caractère personnel, une démarche doit être entreprise AVANT la mise en place de l’application ou du service pour être en stricte  conformité avec les exigences de la loi Informatique et Libertés

Découvrant l’étendue du chantier issu du Plan numérique la CNIL a donc demandé au Ministère de travailler de concert pour “régulariser” la situation et préparer l’avenir. Rien d’anormal... Chantier en cours, je crois, depuis plusieurs mois.

Pour autant, je ne crois pas qu’elle ait refusé à ce jour aucun traitement.

Même s’agissant de l’utilisation de Windows 10, pour lequel elle s’est quelque peu énervée en juillet dernier :  https://huit.re/CNIL-vs-Microsoft.

Il est utile de noter qu’aucune réponse n’a été apportée par Microsoft ni aucune modification de ce communiqué créé par la CNIL suite à cette mise en demeure. Je ne connais pas de collectivités ou d’administration ayant à ce jour procédé à des démarches auprès de la CNIL pour utiliser Windows 10 ou même les autres OS alors même que la CNIL a procédé à cette mise en demeure depuis maintenant plus de 10 mois.

Indépendamment de ce contexte, , la personne qui a rédigé le communiqué de la CNIL a commis 2 erreurs me semble t-il  :

• selon la loi  de 1978 les “données scolaires” ne sont pas des données sensibles. Mais la loi peut changer… D’une part les données scolaires ne sont définies dans aucun texte et d’autre part il est inexact d’associer sur le plan juridique le terme “sensible” au terme “données scolaires”. Cela laisse penser que la loi a changé les catégories de données sensibles ce qui n’est évidemment pas le cas. Il est important cependant de retenir que la notion de “données scolaires” est définie et protégée par la loi mais c’est aux Etats-Unis d’Amérique https://ed.gov/policy/gen/guid/fpco/ferpa/index.html et nous ne disposons pas en France d’un tel texte législatif...

• l'export de données hors UE est autorisée sans restriction si les conditions juridiques sont remplies ce qui est le cas avec Apple (Clauses de contrat type européennes nécessitant donc une autorisation d’export de la part de la CNIL), Google et Microsoft (Clauses de contrat type européennes et adhésion au Privacy Shield impliquant une mise en oeuvre immédiate sans l’attente d’une autorisation de la CNIL). Si les conditions exigées par l‘Europe et par la CNIL sont remplies, il n’y a alors aucune raison juridique d’exclure l’export de données hors d’Europe vers des pays de confiance. La CNIL elle même est extrêmement précise sur ce point : https://www.cnil.fr/fr/transferer-des-donnees-hors-de-lue
  Pour un exemple et concernant Google, la position officielle du G29 qui réunit l'ensemble des CNIL des pays membres de l'UE est claire sur la conformité de l’export lors de l’utilisation de services professionnels : https://cloud.google.com/files/2016-12-30_Common_Opinion_for_G-Suite.pdf

• La CNIL peut elle exiger d’appliquer des règles plus exigeantes que celle imposées par l’application stricte des textes en vigueur ? C’est une question importante qui vaut sans doute le coup d’être posée.