(Demande d’autorisation n° 1770156)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Unité mixte de recherche Pacte 5194 de l’Institut d’études politiques de Grenoble d’une demande d’autorisation concernant la mise en œuvre de traitements automatisés de données à caractère personnel nécessaires à la réalisation de l’enquête ISRD3 pour la France ayant pour objet d’étudier les phénomènes de délinquance et les comportements délictueux de la population adolescente ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe LEMOINE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Commission nationale de l’informatique et des libertés est saisie par l’Unité mixte de recherche Pacte 5194 de l’Institut d’études politiques (IEP) de Grenoble.
L’IEP de Grenoble est un établissement à caractère administratif qui occupe une place de premier plan dans le champ de la recherche en sciences politique, administrative et sociale. Le laboratoire sur lequel il s’appuie est l’une des plus importantes unités de recherche française.
Sur la finalité
Le programme de recherche européen et international (ISRD3), co-financé par l’Agence Nationale de la Recherche (ANR) et le  Conseil Supérieur de la Formation et de la Recherche Stratégiques (CSFRS), vise à mieux connaître et expliquer les comportements délinquants ou délictueux de la population adolescente.
L’enquête ISRD3 pour la France constitue le « volet France » de l’enquête internationale de victimisation et de délinquance auto-déclarée. Elle vise à mieux connaître et expliquer les comportements délinquants ou délictueux de la population adolescente dans les zones urbaines en France ainsi qu’à comparer la situation de la France avec celles d’autres pays européens.
L’enquête, réalisée en milieu scolaire, concernera les adolescents de classes de la cinquième à la troisième, scolarisés en collèges publics et privés sous contrats d’association, localisés dans le périmètre de deux agglomérations, Marseille et Aix en Provence. Afin de constituer un échantillon représentatif, toutes les écoles au sein de cette zone géographique seront sollicitées et un nombre limité de classes dans les niveaux souhaités sera sélectionné par tirage au sort, dans chaque école.
La présentation et l’encadrement de l’enquête dans les différents établissements seront confiés à des enquêteurs qualifiés formés par l’équipe de l’unité mixte de recherche (UMR) de l’IEP de Grenoble. Ces enquêteurs sont soumis au respect des obligations imposées par le cahier des charges de l’UMR dans le cadre de la réalisation de cette enquête.
Chaque élève accède à un questionnaire d’enquête à partir d’un ordinateur mis à sa disposition dans les classes concernées.
La Commission relève que le consentement explicite des chefs d’établissement et des parents et élèves devra être recueilli avant l’enquête par le biais d’un document à remplir individuellement. Lors de la collecte, les enquêteurs rappelleront également le caractère facultatif des réponses ainsi que les finalités de l’enquête. Le caractère volontaire et facultatif de participation à cette enquête est aussi indiqué sur la première page du questionnaire qui apparaît sur l’écran de l’ordinateur.
La Commission considère que cette finalité est déterminée, explicite et légitime et que le consentement des différents participants est libre et éclairé.
Par ailleurs, l’enquête comporte un volet « victimisation », lequel repose sur la collecte de données relatives aux infractions, condamnations et mesures de sûreté. Ce module se veut complémentaire des enquêtes de victimisation existantes, qui ne portent pas, de manière spécifique, sur la population des jeunes.  La Commission relève que l’IEP de Grenoble participe au service public de la recherche et de l’enseignement supérieur et est, à cet égard, habilité à traiter de telles données, conformément aux dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Il y a donc lieu de faire application des dispositions prévues à l’article 25-I-3° de ladite loi, qui soumettent à la procédure de l’autorisation par la Commission les traitements portant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données traitées concernent des informations relatives :
La Commission relève que les données collectées ne sont pas nominatives. À ce titre, aucune adresse n’est collectée et les données relatives au quartier (habitation et école) seront codées sur la base des numéros IRIS (Ilots Regroupés pour des Indicateurs Statistiques) de l’Institut national de la statistique et des études économiques (INSEE), de sorte que les élèves seront affectés à une zone de résidence et non à un domicile.
à l’état civil des enquêtés : sexe, âge, pays de naissance (également celui des parents et grands-parents), commune et quartier d’habitation, commune et quartier de localisation de l’établissement ;
à la vie personnelle et familiale : composition de la famille, qualité des relations avec les parents, type de logement ;
à la vie professionnelle : niveau d’études, situation professionnelle et source de revenus des parents ;
aux événements vécus au sein de la famille avec différents niveaux de gravité (divorce, conflits, violences, maladie, décès).
S’agissant de la collecte du pays de naissance des parents et grands-parents, le choix est laissé aux enquêtés de ne pas répondre. Cette donnée permet d’établir un lien entre les différentes origines et les sentiments de discrimination.
Des données relatives à des infractions peuvent également être collectées. Elles permettront de savoir si l’enquêté a déjà été victime d’agressions, d’insultes ou encore de menaces. Certaines questions portent sur la fréquence des contacts avec la police.
L’enquête comporte enfin trois questions relatives à la religion et à la fréquence des pratiques religieuses. En effet, les différentes études menées au niveau européen et international ont démontré que la pratique religieuse était susceptible d’orienter les comportements des individus et de produire des effets sur leur représentation des phénomènes de délinquance.  À ce titre, la religion peut constituer l’un des éléments à prendre en compte au titre des facteurs qui témoignent de la propension à commettre des délits.
La Commission relève que la collecte de l’ensemble de ces données est nécessaire aux finalités de l’étude, dans la mesure où l’analyse de ces données permettra, d’une part, une étude précise, approfondie et rigoureuse des phénomènes de délinquance et des comportements délictueux de la population adolescente en France et, d’autre part, l’étude spécifique  des victimes de délits au sein de la population adolescente.
La Commission considère dès lors que les données collectées sont nécessaires, pertinentes et non excessives compte tenu des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Les destinataires des données sont les chercheurs de l’Unité mixte de recherche PACTE (UMR PACTE Politiques Publiques, Action Politique, Territoires, CNRS-IEP Grenoble). Ces personnes sont soumises aux obligations de réserve et de propriété intellectuelle figurant dans le contrat de travail du CNRS et devront signer un engagement de confidentialité propre à la réalisation de cette enquête.
Par ailleurs, la Commission relève que ces données seront également transmises aux partenaires européens de l’IEP de Grenoble, afin de pouvoir comparer les résultats obtenus dans les différents pays, à savoir :
Elle prend acte que la transmission de ces informations aux différents partenaires européens s’effectuera sans que les élèves ayant répondu à l’enquête ne puissent être identifiés et à la seule fin de pouvoir comparer les résultats obtenus à l’échelle européenne.
VU, Department of Public Administration, VU Amsterdam ;
SCCJ, Department of Sociology and School of Criminology And Criminal Justice, Northeastern University ;
ICPR, Institute for Criminal Policy Research, School of Law, Birbeck ;
ICS, Institute of Criminal Sciences, Faculty of Law, University of Hamburg.
Sur l’information et le droit d’accès
La Commission prend acte qu’une information sera délivrée aux parents et élèves volontaires.
Outre le fait que le chef d’établissement puisse accepter ou non que l’enquête soit menée dans son établissement, le droit d’opposition au traitement des données s’exerce dans les conditions suivantes :
La Commission relève par ailleurs que l’élève :
par les parents qui doivent remplir un formulaire de consentement préalable à ce que leur enfant participe ou non à l’enquête ;
par l’élève qui doit remplir un formulaire de consentement préalable quant à sa participation à l’enquête.
est libre de ne pas se présenter le jour de l’enquête ;
peut être présent en classe le jour de l’enquête mais ne pas renseigner le questionnaire ;
peut commencer à remplir le questionnaire et s’arrêter à tout moment ;
peut faire le choix de ne pas valider ses réponses et quitter l’application sans les enregistrer.
Elle prend acte que l’élève peut ne pas renseigner le questionnaire dans sa totalité et notamment ne pas répondre aux questions qui seraient susceptibles d’occasionner, chez lui, une quelconque gêne. Elle demande à ce que cette possibilité figure expressément sur le formulaire de recueil des consentements remis aux élèves, à leurs parents ainsi que sur la première page du questionnaire.
par les parents qui doivent remplir un formulaire de consentement préalable à ce que leur enfant participe ou non à l’enquête ;
par l’élève qui doit remplir un formulaire de consentement préalable quant à sa participation à l’enquête.
est libre de ne pas se présenter le jour de l’enquête ;
peut être présent en classe le jour de l’enquête mais ne pas renseigner le questionnaire ;
peut commencer à remplir le questionnaire et s’arrêter à tout moment ;
peut faire le choix de ne pas valider ses réponses et quitter l’application sans les enregistrer.
La Commission observe que les noms et prénoms de l’élève ne figurent à aucun moment dans le questionnaire. Cependant, l’anonymisation totale et irréversible des données collectées ne sera effective qu’après que les données collectées auront été traitées sous la forme de moyennes ou de médianes, converties sous la forme d’un code correspondant à la profession et à la catégorie socioprofessionnelle (PCS) établi selon la nomenclature INSEE à chiffre 1 ou sous toute autre forme permettant de parvenir à un résultat identique. Elle relève que cette anonymisation interviendra sous un délai de trois mois, incluant le temps de la collecte. Durant ce laps de temps, les données collectées présentent toujours un caractère indirectement identifiant et ce, bien que l’Unité Mixte de Recherche n’utilise pas de clé d’identification du répondant. À cet égard, elle demande à ce que les différents formulaires remis aux élèves et à leurs parents ainsi que la première page du questionnaire soient modifiés sur ce point.
Les élèves pourront exercer leurs droits directement auprès du responsable de traitement durant la phase de remplissage du questionnaire d’enquête.
Sous ces conditions, la Commission considère que l’information délivrée aux élèves et à leurs parents est conforme aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Le recueil des données issues des réponses à l’enquête est effectué à travers une plateforme d’enquête sécurisée SphinxOnline. Le traitement et l’analyse de ces données sont effectués par des logiciels dédiés au traitement statistique.
La sécurité des données est assurée lors de la collecte par engagement contractuel avec la plateforme d’enquête. Durant le traitement, la sécurité des locaux est assurée par accès restreint aux locaux et par gardiennage.
Les interventions de maintenance sont enregistrées dans une main-courante.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Le contrôle d’accès logique s’effectue par un mot de passe de huit caractères minimum pour les comptes utilisateurs et de dix caractères minimum pour les comptes administrateurs. Ces mots de passe sont composés de caractères de types différents parmi les majuscules, minuscules, les chiffres et les caractères spécifiques et sont renouvelés tous les deux mois.
Le responsable de traitement s’assure que la confidentialité des données à caractère personnel collectées est garantie au moyen de mesures adéquates de chiffrement des données et que seul un nombre restreint de personnes habilitées y ont accès.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le questionnaire sur lequel repose l’enquête de l’IEP fera l’objet d’un test auprès d’un échantillon d’élèves et ce, afin de vérifier la compréhension des questions par les élèves et d’évaluer le temps nécessaire pour le compléter. Ce test sera réalisé auprès d’un nombre restreint de classes et selon des modalités strictement identiques à celles mises en œuvre dans le cadre de la réalisation de l’enquête. Les données collectées lors de cette phase seront détruites et les classes sollicitées exclues de l’enquête finale.
Autorise, conformément à la présente délibération, l’Unité mixte de recherche Pacte 5194 de l’Institut d’études politiques de Grenoble à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
