PROJET D ACTE RÉGLEMENTAIRE Sur décision du bureau du Conseil d administration relative à l informatisation de l université de Rennes1, Vu la loi n 78-17 du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés, modifiée par les lois n 88-227 du 11 mars 1988, n 92-1336 du 16 décembre 1992, et n 94-548 du 1er juillet 1994, Vu le décret n 78-774 du 17 juillet 1978 modifié par les décrets n 78-1223 du 28 décembre 1978, 79-421 du 30 mai 1979, 80-1030 du 18 décembre 1980, et 91-336 du 4 avril 1991, Vu la loi n 84-52 du 26 janvier 1984 sur l enseignement supérieur modifiée, notamment ses articles 27 et 59, Vu l avis favorable de la Commission Nationale de l Informatique et des Libertés en date du, ARTICLE 1ER : Il est créé à l université de Rennes 1 un traitement automatisé d informations nominatives dont l objet est la mise en place : - d annuaires des étudiants et personnels (enseignants, chercheurs, personnels IATOS) de l établissement, - de sites Web permettant notamment aux utilisateurs d accéder aux publications universitaires et aux pages individuelles professionnelles mises en place par les utilisateurs, - d une messagerie électronique. - 1 -
ARTICLE 2 : Les catégories d informations nominatives enregistrées sont les suivantes : - identité professionnelle (nom, prénom, numéros de téléphone et de télécopie, numéro d étudiant interne à l établissement, adresse, adresse électronique, civilité) - vie professionnelle (établissement, service, fonction, localisation, publications, formation, expérience et domaines professionnels, catalogue et contenu des publications, adresse des pages individuelles professionnelles) les informations seront conservées jusqu'au départ de l'établissement de la personne excepté les données relatives aux publications qui seront conservées à des fins documentaires. ARTICLE 3 : Les informations sont diffusées aux utilisateurs du réseau Internet, qui est un réseau international, sauf demande explicite de la part des étudiants ou personnels de non-diffusion des informations les concernant. ARTICLE 4 : Le droit d accès prévu par l article 34 de la loi n 78-17 du 6 janvier 1978 s exerce auprès du Centre de Ressources Informatiques (CRI) de l Université de Rennes 1. ARTICLE 5 : Le président de l Université de Rennes 1 est chargé de l exécution de la présente délibération qui sera: - diffusée sur le bulletin d information interne de l établissement, - affichée sur les panneaux accessibles aux étudiants et personnels. Fait à Rennes le 19/06/98 Signature du représentant légal de l université de Rennes1-2 -
ANNEXE 5 SERVICE CHARGÉ DE LA MISE EN ŒUVRE DU TRAITEMENT Les matériels utilisés sont implantés dans les locaux attribués par le Président l établissement sous la responsabilité ès qualité du directeur du CRI, à l adresse suivante : de Université de Rennes 1 Centre de Ressources Informatiques Campus de Beaulieu Avenue de Général Leclerc 35042 Rennes Cedex - 3 -
ANNEXE 7 FINALITÉS PRINCIPALES DU TRAITEMENT Le traitement a pour finalité de permettre la mise en service : - d annuaires des étudiants et des personnels de l établissement, - de sites WEB permettant notamment aux utilisateurs d accéder aux informations universitaires, aux publications universitaires, aux pages individuelles professionnelles mises en place par les utilisateurs, - d une messagerie électronique. - 4 -
ANNEXE 8 MESURES PRISES POUR FACILITER L EXERCICE DU DROIT D ACCÈS 1. EXERCICE DU DROIT D ACCÈS ET DE RECTIFICATION Le droit d accès pourra être exercé de l une des manières suivantes : - soit par consultation directe sur un écran, - soit, pour les étudiants, auprès des services de scolarité, du CRI ou des UFR, - soit, pour les personnels, auprès du service du personnel ou du CRI, par courrier électronique ou postal, sur place ou par édition d une fiche individuelle reprenant l ensemble des éléments, édition réalisée par une personne du service. Les délais de prise en compte des droits d accès et/ou de rectification seront les plus brefs possibles, compatibles avec les délais de transmission du courrier et avec la disponibilité de la ou les personnes habilitées à intervenir sur le contenu du fichier. 2. INFORMATION DES PERSONNES 2.1 INFORMATION INTERNE À L UNIVERSITÉ La décision de création du traitement (cf. le projet d acte réglementaire) sera : - publiée dans le bulletin d information interne de l établissement, - affichée sur les panneaux accessibles aux étudiants et personnels. Les annuaires étant des annuaires professionnels, ils sont constitués d après les différents documents fournis par les différents services de l université. Tous les étudiants et personnels seront ainsi répertoriés sauf ceux qui se seront expressément opposés par courrier postal adressé au service concerné (scolarité, service du personnel, CRI, UFR). - En ce qui concerne les personnels, un questionnaire est transmis à chaque agent avec une note d information lui demandant de préciser s il autorise l établissement à donner accès à ses informations «annuaire» à des personnes externes à l université, selon la forme suivante : «Vos références annuaire annotées sont a priori accessibles aux établissements extérieurs à l université. Si vous ne le souhaitez pas vous devez le demander explicitement (visa CNIL N numéro de la demande présente, après accord)» - En ce qui concerne les étudiants, chacun d eux reçoit une note d information au moment de son inscription lui demandant de préciser s il autorise l établissement à donner accès à - 5 -
ses informations «annuaire» à des personnes externes à l université, selon la forme suivante : «En même temps qu'il vous est attribué une adresse électronique (dès votre inscription) vous êtes répertorié dans un annuaire accessible par tous vos correspondant potentiels. Toutefois, en conformité avec les recommandations de la CNIL, vous pouvez demander à ne plus apparaître dans cet annuaire (liste rouge) en adressant un courrier à : M. Le directeur du CRI Université de Rennes1 Campus de Beaulieu 35042 Rennes Cedex en précisant bien vos coordonnées (numéro d'étudiant, nom, prénom, date de naissance, UFR).» En outre, une charte déontologique est diffusée à tout utilisateur du réseau de l'établissement, étudiants et personnels de l université : par cette charte, les utilisateurs sont informés de la finalité de l utilisation d Internet, et s'engagent à ne l utiliser qu à des fins liées à l enseignement, à la recherche ou à leurs activités au sein de l université. Ils s'engagent également à ne pas enfreindre les législations et dispositions pénales relatives notamment au droit d auteur, à la fraude informatique, à la loi Informatique et libertés, à la protection de la personne humaine, à l intimité et au respect de la vie privée. Toute utilisation contraire à ces dispositions engagera la responsabilité personnelle de l utilisateur. Une copie de chacune de ces deux chartes déontologiques diffusées figure en annexe (la charte pour les personnels est actuellement en cours de discussion au sein de la Commission des Standards et de la Cohérence de l université). 2.2 INFORMATION DES UTILISATEURS Au surplus, les règles à respecter seront rappelées à toute personne se connectant au serveur Web de l université. Les termes de la clause apparaissant à l écran seront les suivants : «En accédant à ce service, vous êtes informé que l utilisation du réseau Internet nécessite le respect d un ensemble de législations que vous vous engagez à ne pas enfreindre, et relatives notamment au droit d auteur, à la fraude informatique, à la loi Informatique et libertés, à la protection de la personne humaine, ainsi qu à l intimité et au respect de la vie privée». - 6 -
ANNEXE 10 TRANSMISSIONS D INFORMATIONS ENTRE LE TERRITOIRE FRANÇAIS ET L ÉTRANGER Les informations sont diffusées sur le réseau Internet, qui est un réseau international. La note d information diffusée aux personnes concernées les informe de cette diffusion internationale, qui est l objet même de la mise en place de cet outil de communication, et leur donnent la possibilité de s y opposer. - 7 -
ANNEXE 12-1 FONCTIONS DU TRAITEMENT FONCTION 1 : MISE EN PLACE D UN ANNUAIRE Informations de base : - nom, prénom, - numéro d étudiant interne à l établissement, - numéros de téléphone et de télécopie, adresse, adresse électronique, adresse des pages professionnelles individuelles, - civilité (Monsieur, Madame, Mademoiselle), - photographie, - établissement, service, fonction, localisation (bâtiment, étage, pièce), - publications, - formation, - expérience et domaines professionnels, - mots clés caractérisant l objet du service et permettant une recherche de documents. Raisonnements programmés : - saisie, - modification, - sélection, - impression, - suppression. Résultats : - diffusion et consultation. - 8 -
FONCTION 2 : MISE EN PLACE D UN SITE WEB ET D UNE MESSAGERIE ÉLECTRONIQUE Informations de base : - toutes informations relevant de la vie de l'établissement, - index des publications avec indication de leur auteur, - index des pages individuelles professionnelles, - mots clés caractérisant l objet du service et permettant une recherche de documents, - passerelles permettant l accès aux autres services proposés (annuaire, messagerie et listes de diffusion). Raisonnements programmés : - saisie, - modification, - sélection, - impression, - suppression. Résultats : - diffusion et consultation. EXPLOITATION DES DONNÉES Deux niveaux d exploitation des données sont à considérer : 1. Le niveau interne à l établissement ; dans ce cas il n est pas envisagé de gérer des notions de listes rouges, les annuaires étant un élément essentiel au bon fonctionnement de l établissement. Seul le personnel de l établissement pourra accéder à ces informations. 2. Le niveau externe à l établissement ; dans ce cas il est géré les notions de listes rouges, chaque personne référencée pouvant indiquer expressément l interdiction de diffusion à l extérieur de l établissement des informations d annuaire la concernant. - 9 -
ANNEXE 12-2 CARACTÉRISTIQUES TECHNIQUES DU TRAITEMENT NIVEAU INTERNE : - Matériel utilisé : les matériels du parc de l établissement, - Système : celui du matériel (Unix, Windows, Windows NT, MacOS,... ), - Gestionnaire de données : (par exemple, base ORACLE, SQL, celui en utilisation dans l établissement), - Réseau : réseau informatique de l université, - Terminaux : tous types : - Compatible PC, - Macintosh, - terminal passif, - terminal X, NC, - station de travail, - minitel, - NIVEAU EXTERNE : Idem ci-dessus avec filtrage des personnes ayant demandé leur inscription sur liste rouge. - 10 -
ANNEXE 13 DISPOSITIONS PRÉVUES POUR ASSURER LA SÉCURITÉ DES TRAITEMENTS ET DES INFORMATIONS - les différents ordinateurs centraux sont situés dans des locaux protégés dont l accès est restreint au personnel autorisé, - le matériel est protégé des coupures de courant par un onduleur, - les données sont sauvegardées régulièrement et les sauvegardes sont stockées dans une armoire ignifuge, - l accès à la mise à jour est subordonné à la fourniture d un code d accès, complété par un mot de passe personnel qui lui est associé, chacun d une longueur minimale de six caractères. Les accès en mise à jour sont journalisés (fichier log), - les règles de sécurité informatique sont connues de l ensemble des personnes ayant accès aux équipements informatiques, - des filtrages sont mis en place afin d empêcher qu à l occasion de la consultation par la voie du réseau Internet, un accès soit possible aux autres traitements de données nominatives informatisées gérées par l université. - 11 -
ANNEXE 14 CATÉGORIES D INFORMATIONS TRAITÉES ET LEURS DESTINATAIRES CATÉGORIES D INFORMATIONS IDENTITÉ AUTRES INFORMATIONS INFORMATIONS ENTRANT DANS CETTE CATÉGORIE - nom, prénom, - numéros de téléphone et de télécopie, adresse, adresse électronique, - civilité (Monsieur, Madame, Mademoiselle), - numéro d étudiant, - photographie. - établissement, service, fonction, localisation (bâtiment, étage, pièce), - publications, - formation, - expérience et domaines professionnels, - catalogue et contenu des publications, - catalogue et contenu des pages personnelles, - listes de diffusion. ORIGINE DE L INFOR- MATION l intéressé DESTINA- TAIRES les utilisateurs d Internet DURÉE DE CONSERVATION DE L INFORMA- TION NOMINATIVES SUR SUPPORT INFORMATIQUE jusqu à la modification des informations fournies par l intéressé ou d'un changement de statut idem idem idem - 12 -
ANNEXE 16 INTERCONNEXIONS, MISES EN RELATION, RAPPROCHEMENTS, CESSIONS Une partie des données sont issues de la base de données de gestion du personnel (agrément CNIL N 251601 pour la gestion actuelle, et N s 574619 et 574620 pour la gestion future) et de la base de données de gestion des étudiants (agrément CNIL N 376092). - 13 -
- 14 -