Hélène Josso Bouchard Correspondant Informatique et Libertés de l académie d Aix-Marseille Courriel : cil@ac-aix-marseille.fr Téléphone :

Transcription

1 INFORMATIQUE ET LIBERTES DANS LE PREMIER DEGRÉ -ERIP- 6 JANVIER 2011 Hélène Josso Bouchard Correspondant Informatique et Libertés de l académie d Aix-Marseille Courriel : cil@ac-aix-marseille.fr Téléphone :

2 Présentation : La Loi Informatique et Libertés La Loi Informatique et Libertés Les Mots clés de la loi Informatique et Libertés Les 5 règles d or de la protection des données Infractions et sanctions Le Correspondant Informatique et Liberté L arrêté Arrêté du 20 octobre 2008 Base élèves premier degré Conseil d état 19 juillet 2010 Les déclarations Dispenses Les fichiers papier Que déclarer Points de vigilance Hébergement Sous-traitance Information, échange

3 LA LOI INFORMATIQUE ET LIBERTÉS

4 La loi Informatique et Libertés La loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dite «informatique et libertés» L informatique doit être au service de chaque citoyen. ( ) Elle ne doit porter atteinte ni à l identité humaine, ni aux droits de l homme, ni à la vie privée, ni aux libertés individuelles ou publiques. (extrait Article 1) Une autorité indépendante chargée de son application : la CNIL Commission Nationale de l Informatique et des Libertés. Une refonte totale : loi du 6 août 2004 Transposition de la directive européenne Adaptation de la loi aux évolutions technologiques et aux nouveaux enjeux (ex : biométrie) Création du statut de Correspondant Informatique et Libertés

5 Mots-clés de la loi informatique et libertés Quatre définitions au sens de la loi Informatique et Libertés : Donnée à caractère personnel Fichier Traitement Responsable de traitement

6 Mots-clés de la loi informatique et libertés Donnée à caractère personnel donnée à caractère personnel

7 Mots-clés de la loi informatique et libertés Donnée à caractère personnel donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée directement ou indirectement par référence à un numéro d'identification ou à plusieurs éléments qui lui sont propres par croisement d informations impersonnelles Prendre en compte l ensemble des moyens dont dispose ou auxquels peut avoir accès une autre personne

8 Mots-clés de la loi informatique et libertés Fichier Un fichier de données à caractère personnel est tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés

9 Mots-clés de la loi informatique et libertés Traitement Un traitement de données à caractère personnel est toute opération ou ensemble d'opérations portant sur des données à caractère personnel quel que soit le procédé utilisé notamment : collecte organisation enregistrement conservation consultation utilisation modification extraction communication interconnexion rapprochement verrouillage effacement destruction

10 Mots-clés de la loi informatique et libertés Responsable de traitement Le responsable d un traitement de données à caractère personnel est l entité qui définit détermine les finalités et les moyens de ce traitement. Dans le primaire : le directeur, l IEN, le maire?

11 Les 5 règles d or de la protection des données Le respect de : La finalité du traitement La pertinence des données La conservation limitée des données L obligation de sécurité Les droits des personnes

12 Les 5 règles d or de la protection des données 1. Finalité du traitement Une finalité déterminée, explicite et légitime Le détournement de finalité est pénalement sanctionné ex: utilisation des fichiers administratifs à des fins de prospection politique ou commerciale

13 Les 5 règles d or de la protection des données 2. Pertinence des données données adéquates, pertinentes et non excessives au regard de la finalité poursuivie Interdiction de collecter les données sensibles qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l appartenance syndicale ainsi que les données relatives à la santé ou à la vie sexuelle Interdiction de traiter les infractions, condamnations, mesures de sûreté

14 Les 5 règles d or de la protection des données 3. Conservation limitée des données La durée de conservation doit être définie au regard de la finalité au-delà les données : ne peuvent être conservées qu à des fins historiques, statistiques ou scientifiques doivent être effacées, ou archivées dans les conditions définies par la loi du 3 janvier 1979 sur les archives (tri)

15 Les 5 règles d or de la protection des données 4. Obligation de sécurité respect de l intégrité et de la confidentialité des données : empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès le responsable du traitement doit prendre toutes les précautions utiles pour préserver la sécurité Aussi en cas de sous-traitance Les mesures de sécurité physique et logique doivent être adaptées à la nature des données et aux risques présentés par le traitement ex: chiffrement des données sur internet

16 Les 5 règles d or de la protection des données 5. Respect des droits des personnes droit à l information les personnes doivent être informées : finalité du traitement caractère obligatoire ou facultatif identité du responsable du traitement destinataires des données leurs droits (d accès, de rectification, d opposition) des transferts de données vers des pays hors UE droit d opposition droit de s opposer, pour des motifs légitimes, au traitement de ses données sauf si le traitement répond à une obligation légale droit de s opposer, sans frais, à l utilisation de ses données à des fins de prospection commerciale droit d accès et de rectification Toute personne peut gratuitement sur simple demande avoir accès à l intégralité des informations la concernant et les rectifier ou les compléter Pour les fichiers intéressant la sûreté, la défense ou la sécurité publique le droit d accès est indirect

17 Infractions quels risques?

18 Sanctions : 5 ans d emprisonnement et euros d amende non respect des formalités préalables conservation des données au-delà de la durée prévue détournement de finalité non mise en œuvre les mesures de sécurité prescrites divulgation de données (ayant effet de porter atteinte à la considération ou à l'intimité) à la connaissance d'un tiers non autorisé utilisation sans autorisation du RNI imprudence ou négligence Jusqu à 5 ans d emprisonnement et d amende 3 ans Non respect de l information préalable des personnes Non réponse à un droit d accès Refus de délivrer à l intéressé une copie de ses données Non respect du droit de rectification contravention de cinquième classe 1500

19 Le CIL : Correspondant Informatique et Libertés Assure de manière indépendante le respect des obligations prévues dans la loi Informatique et Liberté Dresse la liste des traitements (allégement des formalités) et tient cette liste à jour à partir des informations communiquées par le responsable des traitements nécessité d organiser la remontée d information La liste peut être consultée à tout moment par toute personne Une copie peut être demandée nécessaire transparence des traitements Doit être consulté avant la mise en œuvre de tout nouveau traitement

20 L ARRÊTÉ

21 Arrêté du 20 octobre 2008 : BE1D pilotage et gestion des élèves du premier degré Les parents doivent être informés de l'existence de "Base élèves premier degré" par note d'information ou affichage dans l'école, et lorsqu'ils remplissent la fiche de renseignements Les parents peuvent demander au directeur d école de vérifier les informations les concernant, eux et leurs enfants.

22 Arrêté du 20 octobre 2008 : BE1D destinataires des données : Le directeur, l IEN de circonscription et l Inspecteur d Académie Le maire et les agents municipaux désignés Le principal du CLG d affectation des élèves entrant en 6ème les parents d'élèves pour les données relatives à leur enfant Service statistique rectorat que de données strictement anonymes NOUVEAUX DESTINATAIRES DECLARATION

23 Conseil d'etat n juillet 2010 annule l'arrêté : en tant qu'il interdit expressément la possibilité pour les personnes concernées de s'opposer, pour des motifs légitimes, à l'enregistrement de données personnelles les concernant au sein de Base élèves 1er degré. en tant qu'il met en oeuvre un fichier qui permet le rapprochement et la mise en relation de données avec d'autres fichiers, sans que cette modalité d'exploitation du traitement Base élèves 1er degré ait été mentionnée dans la déclaration adressée par le ministre à la C.N.I.L., ainsi que dans cette mesure le refus de l'abroger.

24 DÉCLARATIONS

25 Dispense de déclaration Dispense n 7 : traitements constitués à des fins d'information ou de communication externe constitution et l'exploitation d'un fichier d'adresses, statistiques de fréquentation site. nom, prénoms, adresse, tel, mail adresse professionnelle, qualité ou fonction, titres et distinctions ; centres d'intérêts, sauf sensibles données de connexion (date, heure, adresse Internet Protocole de l'ordinateur du visiteur, page consultée) à des seules fins statistiques d'estimation de la fréquentation du site.

26 Les fichiers papiers et la loi La loi s applique aux «fichiers manuels» (fiches, listes, dossiers structurés par un système de classement ou d indexation) mais pas de déclarations (sauf sensibles).

27 Quel régime déclaratif Demande d autorisation Données sensibles, génétiques N Sécu, Appréciations difficultés sociales Traitement susceptibles d exclure d un droit, prestation Interconnexion fichiers avec finalités distinctes Transfert horsue Demande d avis les téléservices de l administration électronique Utilisation de données biométriques ( empreintes digitales, contour de la main, iris de l œil, etc.) ; Conformité à un acte Unique ou Réglementaire Autorisation unique AU-009 reconnaissance du contour de la main pour l'accès au restaurant scolaire Arrêté du 30 novembre 2006 RU-003 ENT dans établissement de l éducation nationale Autres cas Déclaration Normale Inscription au registre

28 Que déclarer Tout traitement de données à caractère personnel hors dispense n 7 ENR, ENT Gestion informatisée des prêts de livres Gestion des contrôles d accès aux locaux Vidéosurveillance

29 Où déclarer sur oasi : espace Informatique et Libertés Liste des registres publics Vision établissement Liste de mes registres Traitements dont vous êtes le responsable de traitement Traitements dont vous n'êtes pas le responsable de traitement mais que vous avez déclarés Interface de saisine du cil Aspects législatifs Modèles d informations à télécharger

30 POINTS DE VIGILANCE

31 Hébergement Sous-traitance Données élèves, Où est-on dans le monde?

32 Hébergement Sous-traitance Données élèves, Où est-on dans le monde?

33 Hébergement Sous-traitance Données élèves, Quelle sécurité? Ma responsabilité? Où est-on dans le monde?

34 Hébergement Sous-traitance Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité Cette exigence ne vous décharge pas de l obligation de veiller au respect de ces mesures. Établir une convention mentionnant les obligations du sous-traitant en matière de protection de la sécurité et de la confidentialité des données Le fait que le sous-traitant ne peut agir que sur instruction du responsable du traitement

35 Information, échange L attention doit être portée sur l information des personnes La sécurisation des échanges de données doit être pris en compte notamment dans les phases de mises en place

36 Merci Pour toute information complémentaire : cil@ac-aix-marseille.fr sources principales : CNIL Légifrance