La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 15, 19, 21, 27 et 29 ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;    Vu le projet de décision du Proviseur du Lycée Louis LAPICQUE ;    Après avoir entendu Monsieur Pierre BRACQUE en son rapport et Madame Charlotte-Marie PITRAT en ses observations ;
Considérant que le traitement mis en oeuvre par le Lycée Louis LAPICQUE a pour objet d'assurer la gestion administrative et pédagogique des élèves ;     SUR LA NATURE DES INFORMATIONS ENREGISTREES :     Considérant que le fichier constitué comporte les données administratives et pédagogiques nécessaires à cette gestion : Identités (nom et prénom de l'élève, nom du responsable, du père, de la mère, date et lieu de naissance de l'élève, sexe, nationalité) - Adresse - Moyen de locomotion - Situation familiale (situation des parents de l'élève, nombre d'enfants, année de naissance et scolarité des frères et soeurs) - Vie professionnelle du responsable légal (catégorie socio-professionnelle, employeur et numéro de téléphone) - Situation administrative (pupille, orphelin, autorisation et dispenses diverses) - Renseignements bancaires - Assurance - Médecin et établissement hospitalier à contacter en cas d'urgence - Scolarité (régime, redoublant ou triplant, nombre de parts de bourse, options, date d'entrée dans l'établissement, cursus depuis l'entrée en classe CM2) - Absences et retards - Notes mensuelles - Disciplines enseignées - Emploi du temps.    Considérant que lors de la collecte de ces informations, les réponses aux questions relatives à l'employeur des parents, à leur identité bancaire, au médecin ou à l'établissement hospitalier à contacter en cas d'urgence ont un caractère facultatif ;    Considérant que les informations prescrites par l'article 27 de la loi du 6 janvier 1978 sont portées à la connaissance des familles lorsque sont effectuées les formalités d'inscription ;    Considérant que la fiche de renseignements distribuée aux familles prévoit la collecte des numéros de sécurité sociale de l'élève et de son responsable légal ; qu'il est indiqué que ces numéros ne feront pas l'objet d'une saisie informatique et ne seront utilisés qu'en cas d'accident ;    Considérant que le caractère exceptionnel de cette utilisation du numéro INSEE n'en justifie pas la collecte systématique ; que celle-ci peut être faite de façon ponctuelle lorsque se produit un accident ;    Considérant que la collecte du numéro de Sécurité sociale n'est pas pertinente eu égard à la finalité de son utilisation ; demande que ce numéro ne soit pas collecté ;
SUR LES DESTINATAIRES DES INFORMATIONS :     Considérant que sont seuls destinataires des informations strictement nécessaires à l'accomplissement de leurs missions :    - l'administration de l'établissement ;    - les enseignants ;    - le personnel de santé ;    - le personnel de surveillance et d'éducation ;    - le personnel d'orientation ;    - les élèves et leurs responsables légaux.     SUR LA CONFIDENTIALITE ET LA SECURITE DES TRAITEMENTS :     Considérant que le recours à la télématique a pour but d'accroître la rapidité et l'efficacité de la gestion administrative et pédagogique du Lycée ;    Considérant que dans cette perspective, le logiciel utilisé permet :    - aux professeurs de saisir les notes des élèves sur Minitel depuis leur domicile ;    - au personnel de surveillance de saisir sur Minitel les informations relatives aux absences et retards ;    - aux élèves et à leurs représentants légaux d'avoir accès par Minitel, depuis leur domicile, à l'ensemble des informations nominatives les concernant détenues par l'établissement (contenu du dossier, notes, absences et retards) ;    Considérant que l'utilisation dans le système de gestion d'un établissement d'enseignement d'un réseau de transmission public et de terminaux de type Minitel, comporte des risques majeurs de divulgation d'informations nominatives et d'intrusion de personnes mal intentionnées dans le système, de nature à porter atteinte à la vie privée des personnes et à la fiabilité du système ;    Considérant dès lors, que conformément à l'article 29 de la loi du 6 janvier 1978, des mesures particulières doivent être prises afin de garantir la sécurité des traitements et la confidentialité des informations transmises ;    Considérant que les mesures prises par le Lycée Louis LAPICQUE ne paraissent pas suffisantes pour assurer cette sécurité et cette confidentialité ;    Demande qu'avant la mise en oeuvre du traitement lui soit communiqué un rapport comportant des propositions visant à en assurer convenablement la sécurité et la confidentialité ;
Ce rapport devra préciser :    - la nature des réseaux utilisés (réseau téléphonique commuté ou réseau TRANSPAC) ;    - les moyens de contrôle de l'accès aux données nominatives par une procédure d'identification et d'authentification des utilisateurs permettant notamment de distinguer les appels internes et les appels externes ;    - l'attribution de mots de passe d'au moins cinq caractères ;    - la mise en oeuvre d'une procédure d'invalidation en cas de tentative d'intrusion frauduleuse dans le système ;    - les modalités de l'indication systématique à l'utilisateur de la date et de l'heure de sa dernière connexion au serveur de façon à lui permettre de vérifier une éventuelle intrusion dans le système et de changer en conséquence de mot de passe ;    - l'attribution de clés d'accès distinctes lorsque plusieurs élèves ont le même responsable légal.
Emet sous les réserves précitées un avis favorable à la mise en oeuvre du traitement.    Décide de vérifier sur place, en application de l'article 21 de la loi du 6 janvier 1978, les dispositifs de sécurité appliqués après la mise en oeuvre du traitement.     Le Président : Jacques FAUVET
