La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981  pour la protection des personnes à l'égard du traitement automatisé des  données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code de l'action sociale et de familles, notamment ses articles L. 214-1, L. 227-4 et R. 227-1 ;
Vu le  code de l'éducation,  notamment ses articles L. 131-6, L. 212-1 à L. 212-9, L. 212-15, L.  213-2, L. 213-11, L. 213-12, L. 216-11, R. 131-3, R. 213-3 à R. 213-16  et D. 351-5 ;
Vu le  code de la santé publique, notamment ses articles L. 2112-2, L. 2324-1, L. 3111-2 et R. 2324-17 ;
Vu le  code des transports, notamment son article L. 3111-7 ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 24-I ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 20 février 2003 relatif au suivi sanitaire des mineurs mentionnés à l' article L. 227-4 du code de l'action sociale et des familles ;
Vu la circulaire n° 99-136 du 21 septembre 1999 modifiée relative à  l'organisation des sorties scolaires dans les écoles maternelles et  élémentaires ;
Vu la circulaire n° 2003-135 du 8 septembre 2003 relative à  l'accueil en collectivité des enfants et adolescents atteints de  troubles de la santé évoluant sur une longue période ;
Vu la circulaire n° 2005-001 du 5 janvier 2005 relative aux séjours  scolaires courts et classes de découverte dans le premier degré ;
Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport,  et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses  observations,
Formule les observations suivantes :
Les collectivités territoriales mettent en œuvre de nombreux  traitements automatisés de données à caractère personnel dans le cadre  de la gestion des affaires scolaires, périscolaires, extrascolaires et  de la petite enfance. La Commission nationale de l'informatique et des  libertés a ainsi encadré, par délibérations n° 85-02 du 15 janvier 1985  modifiée et n° 91-038 du 28 mai 1991, les traitements que ces  collectivités mettent en œuvre.
L'évolution des cadres législatifs et réglementaires applicables à  ces secteurs ainsi que les nouveaux besoins des responsables des  traitements mis en œuvre dans ce cadre ont rendu obsolètes cet  encadrement. La commission a dès lors considéré qu'une fusion et une  mise à jour était nécessaire, afin d'offrir une mesure de simplification  des formalités préalables plus adaptée à la pratique.
En application de l'article 24-I de la loi du 6 janvier 1978  modifiée, la commission est habilitée à établir des normes destinées à  simplifier l'obligation de déclaration des traitements les plus courants  dont la mise en œuvre, dans des conditions régulières, n'est pas  susceptible de porter atteinte à la vie privée ou aux libertés.
La commission estime que les traitements mis en œuvre par les  collectivités territoriales et les personnes morales gérant un service  public en matière d'affaires scolaires, périscolaires, extrascolaires et  de petite enfance, sont de ceux qui peuvent, sous certaines conditions,  relever de cette définition.


Finalités des traitements :
Seuls peuvent bénéficier de la procédure de la déclaration  simplifiée de conformité à la présente norme les traitements mis en  œuvre par les collectivités territoriales et les personnes morales de  droit public et de droit privé gérant un service public pour tout ou  partie des finalités suivantes : la préinscription, l'inscription, le  suivi et la facturation des services en matière d'affaires scolaires,  périscolaires, extrascolaires et de petite enfance.
Les services concernés sont les suivants :
- la scolarisation en école maternelle et élémentaire ;
- le recensement des enfants soumis à l'obligation scolaire, conformément à l' article R. 131-3 du code de l'éducation ;
- la restauration scolaire et extrascolaire ;
- les transports scolaires, au sens de l' article L. 3111-7 du code des transports, et les transports de substitution pour les élèves présentant un handicap, au sens de l' article R. 213-13 du code de l'éducation ;
- les accueils et activités périscolaires et extrascolaires ;
- les accueils collectifs de mineurs, au sens des articles  L. 227-4 et  R. 227-1 du code de l'action sociale et des familles ;
- la participation à l'organisation matérielle et financière des  sorties scolaires, séjours scolaires courts et classes de découvertes  dans le premier degré, au sens des circulaires n° 99-136 du 21 septembre  1999 modifiée et n° 2005-001 du 5 janvier 2005 susvisées ;
- l'accueil de la petite enfance au sein des établissements et  services d'accueil des enfants de moins de six ans, au sens des articles   L. 2324-1 et  R. 2324-17 du code de la santé publique.
Les traitements peuvent également poursuivre une finalité  statistique, dans les conditions prévues par l'article 6-2° de la loi du  6 janvier 1978 modifiée.

Données traitées :
Conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée,  des données à caractère personnel ne peuvent être collectées que si  elles sont adéquates, pertinentes et non excessives au regard de la  finalité précisément poursuivie par le responsable de traitement. Ce  dernier doit ainsi être en mesure de justifier du caractère nécessaire  des données à caractère personnel effectivement collectées.
Lors de la collecte, le responsable de traitement doit clairement  distinguer les données obligatoirement renseignées des données  facultatives.
Pour atteindre les finalités mentionnées à l'article 2 de la  présente norme, un responsable de traitement peut collecter et traiter,  les données suivantes, y compris sous la forme de pièces justificatives :
1. Des données relatives aux représentants légaux de l'enfant portant sur :
a) Leur identité et leurs coordonnées :

- nom d'usage ;
- prénom(s) ;
- date et lieu de naissance ;
- profession ou catégorie socioprofessionnelle ;
- adresse, numéros de téléphone, adresse électronique ;
- photographie ;
- identifiant au sein du système informatique, à l'exclusion du  numéro d'inscription au répertoire national d'identification des  personnes physiques (RNIPP), également dit NIR ou numéro de sécurité  sociale ;
b) Leurs droits sur le mineur :
- titre justifiant de l'autorité parentale ;
- mention de la perte de l'autorité parentale, à l'exclusion de  toute donnée relative à une infraction, une condamnation ou une mesure  de sûreté ;
c) Les informations nécessaires à l'administration des services visés par la présente norme simplifiée :
- afin de faciliter le regroupement des enfants d'une famille dans  un même établissement scolaire ou au sein d'un même service mis en œuvre  par le responsable de traitement, le nombre d'enfants de la fratrie,  leurs nom et prénom ;
- une attestation d'assurance, dans le respect de la réglementation en vigueur ;
- les données permettant d'effectuer le paiement (identification postale ou bancaire),
- afin de justifier de l'application d'une tarification particulière  ou lorsque les prestations sont soumises à condition de ressources :
- le revenu imposable ;
- le numéro d'allocataire à la Caisse des allocations familiales ;
- le quotient familial déterminé par la Caisse nationale des allocations familiales (CNAF) ;
- la composition de la famille et la situation des personnes à charge ;
- la nature des prestations ou aides sociales dont les représentants légaux bénéficient ;
- les données relatives aux procédures de recouvrement amiable ou judiciaire des créances relatives aux services en cause ;
d) Leurs autorisations relatives :
- aux interventions chirurgicales d'urgence ;
- à la prise et/ou la diffusion de photographies ;
- à des sorties ou activités spécifiques, accompagnées des données relatives aux équipements qu'elles rendent nécessaires ;
2. Des données relatives aux enfants portant sur :
a) Leur identité et leurs coordonnées :

- prénoms ;

- date et lieu de naissance ;
- photographie ;
- adresse ;
b) Le ou les services fréquentés :
- pour l'établissement des listes scolaires, l'école fréquentée, les dates d'entrée et de sortie de cette école, la classe ;
- pour le contrôle de l'obligation scolaire, la date de la déclaration annuelle d'instruction dans la famille ;
- pour les préinscriptions et inscriptions dans un établissement ou  service d'accueil des enfants de moins de six ans, la date d'entrée  souhaitée, la nature et le noms des structures souhaitées et, le cas  échéant, la structure d'accueil fréquentée, les dates d'entrée et de  sortie de la structure ;
- activités périscolaires et extrascolaires auxquelles il est  inscrit, les dates d'inscription et de cessation de la participation à  celles-ci ;
- dates de présence ou d'absence aux services donnant lieu à une facturation dépendant de celles-ci ;
c) Leur état et leurs besoins spécifiques :
- renseignements relatifs à l'état vaccinal obligatoire à jour de l'enfant (date et nature des vaccins) ;
- de manière facultative, les renseignements relatifs à l'état  vaccinal conseillé mais non obligatoire à jour de l'enfant (date et  nature des vaccins) ;
- régime alimentaire, à l'exclusion de toute information faisant  apparaître directement ou indirectement des données visées à l'article  8-I de la loi du 6 janvier 1978 modifiée ;
- à l'exclusion de toute information relative à la nature du handicap ou des pathologies :
- la présence d'un handicap nécessitant une prise en charge  particulière ou une adaptation des conditions d'accueil et les mesures  de prise en charge ou d'adaptation retenues ;
- la mise en place d'un plan d'accueil individualisé (PAI), au sens de la circulaire n° 2003-135 du 8 septembre 2003 susvisée ;
- la mise en place d'un projet personnalisé de scolarisation (PPS), au sens de l' article D. 351-5 du code de l'éducation ;
- sous réserve de recueillir le consentement exprès des  représentants légaux au traitement de données relatives à la santé du  mineur, conformément à l'article 8-II-1° de la loi du 6 janvier 1978  susvisée :
- de manière facultative, les allergies ou pathologies nécessitant  une prise en charge particulière ou une adaptation des conditions  d'accueil que les représentants légaux de l'enfant souhaiteraient porter  à la connaissance du personnel encadrant et qui ne sont pas de nature à  justifier la mise en place d'un PAI ;
- pour l'admission d'un mineur en centre de vacances, en centre de  loisirs sans hébergement et en placement de vacances, une fiche de suivi  sanitaire, recueillie et conservée selon les modalités prévues par les  dispositions législatives et réglementaires en vigueur ;
d) Une éventuelle demande de dérogation scolaire :
- école de scolarisation souhaitée et commune de celle-ci si elle  diffère de celle auprès de laquelle la demande de dérogation est  formulée ;
- motif de la demande ;
- documents justifiant et motivant la demande de dérogation ;
- décision de l'administration ;
3. Des données relatives aux personnes autorisées à venir chercher le mineur ou à prévenir en cas d'urgence :

- prénoms ;
- photographie ;
- lien avec le mineur ;
- numéros de téléphone.
Afin d'alimenter d'autres traitements ou d'enrichir leurs propres  données, les traitements faisant l'objet de la présente norme simplifiée  peuvent être mis en relation avec des traitements utiles au regard des  finalités prévues à l'article 1er, et pour les seules données  strictement pertinentes.

Durées de conservation :
Conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée,  des données à caractère personnel ne peuvent être conservées que le  temps strictement nécessaire à l'accomplissement de la finalité pour  laquelle elles ont été collectées.
Les données à caractère personnel collectées pour les finalités  visées à l'article 1er de la présente norme simplifiée et les pièces  justificatives y afférentes ne doivent ainsi pas être conservées, en  base active, au-delà de la durée de :
- la scolarisation de l'élève dans une école de la commune ;
- l'année scolaire pour le contrôle de l'obligation légale de scolarisation ;
- l'inscription de l'enfant à une activité périscolaire,  extrascolaire, à la restauration scolaire ou extrascolaire, à un  transport scolaire ;
- l'inscription de l'enfant dans un établissement ou service d'accueil des enfants de moins de six ans ;
- l'instruction du dossier pour les préinscriptions à une structure ou une activité à laquelle il n'a pas été donné suite ;
- ou, pour les services payants, de celle nécessaire au recouvrement des sommes dues.
A l'issue de cette durée, peuvent seules être conservées au sein  d'une base d'archives intermédiaires, dans le respect de la  réglementation applicable notamment en matière de sécurité des données à  caractère personnel et de gestion des archives, les données strictement  pertinentes au regard d'une ou plusieurs des finalités suivantes :
- probatoire, en cas de contentieux, les données pouvant être  conservées tant que les délais d'exercice des voies de recours  ordinaires et extraordinaires ne sont pas épuisés ;
- probatoire, en cas de contrôle par des organismes habilités du respect, par le responsable de traitement, de ses obligations,
- réouverture et remise à jour du dossier d'un usager, sans qu'une telle conservation ne puisse excéder une durée de douze mois.
Les données ainsi archivées ne peuvent être consultées que de  manière ponctuelle et motivée, par les personnels individuellement et  dûment habilités.
A l'expiration de ces périodes, les données sont supprimées de  manière sécurisée ou archivées à titre définitif, dans des conditions  définies en conformité avec les dispositions du  code du patrimoine relatives aux obligations d'archivage des informations du secteur public.

Destinataires des informations :
Les données collectées ne peuvent être traitées ultérieurement de  manière incompatible avec les finalités du traitement, en application de  l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Le responsable de traitement doit donc veiller à ce que les  destinataires habilités accèdent aux seules données adéquates,  pertinentes et non excessives au regard des finalités nécessitant la  communication de ces données.
Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires des données traitées :
1. En ce qui concerne l'inscription et la gestion de la scolarisation des enfants :
- le maire, les élus ayant reçu une délégation en ce sens et les  agents municipaux en charge des affaires scolaires ou de services  disposant de compétences déléguées en la matière de la commune de  résidence de l'enfant et de la commune où est scolarisé l'enfant, si  celle-ci diffère de la première ;
- les directeurs d'établissement scolaire pour ce qui concerne les élèves affectés dans leur établissement ;
- l'inspecteur de l'éducation nationale (IEN) 1er degré chargé de  circonscription, pour ce qui concerne les seuls élèves scolarisés dans  la circonscription dont il a la charge ;
- le recteur d'académie ou le directeur académique des services de  l'éducation nationale (DASEN) agissant sur délégation du recteur ;
- le président du conseil départemental ou les agents disposant de  compétences déléguées en la matière, dans le seul cadre de sa mission  d'organisation des consultations et des actions de prévention  médico-sociale en faveur des enfants de moins de six ans ainsi que  l'établissement d'un bilan de santé pour les enfants âgés de trois à  quatre ans, notamment en école maternelle, au sens de l' article L. 2112-2 du code de la santé publique ;
2. En ce qui concerne le contrôle de l'obligation scolaire :
- les conseillers municipaux ;
- les délégués départementaux de l'éducation nationale ;
- les assistants de service social ;
- les membres de l'enseignement ;
- les agents de l'autorité compétente de l'Etat en matière d'éducation au sens des  articles L. 131-5 à L. 131-10 du code de l'éducation ;
- l'inspecteur d'académie, directeur des services départementaux de l'éducation nationale ou son délégué ;
3. En ce qui concerne l'inscription et la gestion des services autres que la scolarisation :
- les personnels du responsable de traitement, dans la limite de leurs attributions respectives ;
- les personnels des prestataires de services ou associations  auxquels le responsable de traitement peut faire appel pour organiser et  gérer ces services ;
- spécifiquement pour les services d'accueil de la petite enfance,  les personnels de direction de ces structures et les professionnels de  santé attachés à l'établissement, pour ce qui concerne l'état vaccinal  et les données de santé relatifs à l'enfant ;
4. En ce qui concerne la facturation des différents services payants :
- les personnels des organismes concernés chargés des opérations administratives et comptables ;
- les services du comptable public ou des établissements bancaires  financiers ou postaux concernés par les opérations de mise en  recouvrement ;
- les services de l'Etat habilités à exercer un contrôle en la matière ;
- les officiers publics ou ministériels ;
5. En ce qui concerne l'ensemble des finalités prévues par la  présente norme simplifiée, les caisses d'allocations familiales (CAF) et  la CNAF, à des seules fins statistiques ou de recherche scientifique.

Droits des personnes :
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée,  les représentants légaux des enfants concernés par les services visés à  l'article 2 doivent être informés, préalablement à la mise en œuvre du  traitement, de l'identité du responsable de traitement ou de son  représentant, de la finalité poursuivie par le traitement, du caractère  obligatoire ou facultatif de chaque donnée, des destinataires ou  catégories de destinataires des données, de l'existence et des modalités  d'exercice des droits d'opposition pour motif légitime, d'accès aux  données les concernant et de rectification.
Cette information peut être délivrée par des mentions figurant sur  les formulaires de recueil des données ou par tout autre moyen que le  responsable de traitement jugerait plus adapté.
Les droits d'opposition pour motif légitime, d'accès et de  rectification définis au chapitre V de la loi du 6 janvier 1978 modifiée  s'exercent directement auprès du ou des services que le responsable de  traitement doit impérativement désigner.

Politique de confidentialité, de sécurité et de traçabilité :
Le responsable du traitement doit prendre toutes les précautions  utiles au regard des risques présentés par son traitement pour préserver  la sécurité des données à caractère personnel visées à l'article 3 et,  notamment au moment de leur collecte, durant leur transmission et leur  conservation, empêcher qu'elles soient déformées, endommagées ou que des  tiers non autorisés y aient accès.
Pour atteindre cet objectif, le responsable de traitement peut en  particulier réaliser une étude d'impact sur la vie privée permettant de  définir les mesures les plus adaptées au contexte en présence.
Les accès individuels aux données doivent s'effectuer par un  identifiant et un mot de passe spécifiques à chaque personne, respectant  les recommandations de la commission et régulièrement renouvelé, ou par  tout autre moyen d'accès garantissant au moins le même niveau de  sécurité.
Une politique de gestion des habilitations, régulièrement mise à  jour, doit être mise en œuvre pour garantir que les personnes habilitées  n'ont accès qu'aux seules données effectivement nécessaires à la  réalisation de leurs missions. En ce sens, le responsable de traitement  doit définir, formaliser et gérer une procédure permettant de garantir  la bonne mise à jour des habilitations.
Toute transmission de données à caractère personnel via un canal de  communication non sécurisé, par exemple internet, doit s'accompagner de  mesures adéquates permettant de garantir la confidentialité des données  échangées, telles qu'un chiffrement des données. Les moyens utilisés  doivent être conformes à l'état de l'art et, le cas échéant, respecter  les recommandations de la commission.
Les accès à l'application doivent faire l'objet d'une traçabilité,  dont l'intégrité est assurée, afin de permettre la détection  d'éventuelles tentatives d'accès frauduleux ou illégitimes, en incluant  un horodatage, l'identifiant de l'utilisateur ainsi que l'identification  des données concernées, et ceci pour les accès en consultation,  modification ou suppression. Les données de journalisation doivent être  conservées pendant une durée de six mois et faire l'objet d'une revue  régulière visant à identifier tout incident de sécurité.
L'usage d'outils ou de logiciels développés par des tiers dans le  cadre de la mise en œuvre d'un traitement de données à caractère  personnel reste sous la responsabilité du responsable de traitement, qui  doit notamment vérifier que ces outils ou logiciels respectent les  obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
En cas de recours aux services d'un sous-traitant, que ce dernier ne  peut agir que sur instruction du responsable de traitement, lequel  n'est pas dispensé de son obligation de veiller au respect des mesures  de sécurité qui lui sont imposées par l'article 34 de la loi du 6  janvier 1978 modifiée. Le sous-traitant doit par ailleurs présenter des  garanties suffisantes pour assurer la mise en œuvre des mesures de  sécurité et le contrat établi entre les parties doit comporter  l'indication des obligations incombant au sous-traitant en matière de  sécurité des données à caractère personnel.
La commission rappelle enfin que l'obligation de garantir la  sécurité des données à caractère personnel nécessite la mise à jour des  mesures de sécurité au regard de la réévaluation régulière des risques.

Formalités préalables :
La mise en œuvre des traitements mentionnés aux articles 1er et 2  est subordonnée à l'envoi préalable à la Commission nationale de  l'informatique et des libertés, en application du dernier alinéa de  l'article 24-I de la loi du 6 janvier 1978 susvisée, d'une déclaration  faisant référence à la présente norme simplifiée. Cette déclaration dite  de  conformité à une norme simplifiée  peut s'effectuer par  téléprocédure sur le site internet de la CNIL.
Toutefois, cette déclaration ne couvre pas la mise en œuvre de  téléservices de l'administration électronique liés aux traitements  mentionnés à l'article 1er, qui restent soumis à l'accomplissement des  formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978  susvisée.
Les traitements dont les finalités sont celles définies à l'article  1er mais qui ne sont pas conformes aux dispositions de la présente  délibération doivent faire l'objet d'une déclaration normale, d'une  inscription à la liste des traitements établie par le correspondant à la  protection des données à caractère personnel (CIL), si l'organisme en  dispose d'un, ou, le cas échéant, d'une demande d'autorisation.

Abrogation :
La délibération n° 85-02 du 15 janvier 1985 modifiée relative aux  traitements automatisés d'information nominative mis en œuvre par les  communes, concernant la gestion des élèves inscrits dans les écoles  maternelles et élémentaires et la délibération n° 91-038 du 28 mai 1991  concernant les traitements automatisés d'informations nominatives  relatifs aux différents services offerts par les collectivités  territoriales sont abrogées.

Publication :
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
