Traitement de gestion de la scolarité des étudiants mis à disposition par l’Amue : une nouvelle décision relative à l’application Apogée publiée au BOESR

La décision du 27 mars 2013 relative au traitement de la gestion de la scolarité des étudiants (RU-013), rendue nécessaire par les récentes évolutions d’Apogée, est publiée au BOESR après avis de la Commission nationale de l’informatique et des libertés

Les modifications apportées par cette nouvelle décision (qui se substitue à la décision du 10 décembre 2009, publiée au BOESR n°4 en date du 10 février 2010) concernent les finalités de l’application, les catégories de données à caractère personnel, la durée de conservation de ces données, les destinataires des informations traitées, le droit d’information des personnes concernées et  les règles d’authentification et de traçabilité des données.

On peut en particulier relever les nouveautés suivantes :

• dans les finalités de l’application : la constitution de la carte d’étudiant multiservices, la mise à disposition des espaces numériques de travail (ENT), l’organisation des élections statutaires ;
• dans les données à caractère personnel concernant l’étudiant: la photographie (sous réserve de recueillir le consentement exprès des étudiants pour son utilisation), les activités périscolaires (notamment les pratiques sportives et culturelles). S’agissant des notes, la décision rappelle qu’outre les intéressés et les services gestionnaires, seuls les enseignants concernés sont habilités à les connaître ;
• la durée de conservation des données, prenant en compte les délais de conservation au regard des règles d’archivage : soit 3 ans en base active et 7 ans en base intermédiaire ;
• sont ajoutées aux destinataires des informations traitées : le corps professoral susceptible d’accéder aux informations relatives à la saisie des notes, le CEREQ, la Trésorerie Générale, l’Agence bibliographique de l’enseignement supérieur (ABES), les agents spécialement habilités de l’Admission post-bac (APB), les organismes publics ou privés partenaires de l’établissement uniquement dans le cadre de structures interuniversitaires, de conventions de formation ou d’accueil de stagiaires. Il est rappelé que les prestataires des plateformes d’enseignement en ligne ne peuvent être destinataires d’aucune donnée à caractère personnel ;

Sont précisées :

• les caractéristiques du droit d’information de la personne auprès de laquelle sont recueillies les données et les moyens par lesquels cette information lui est délivrée ; les conditions du droit de rectification. A noter que le transfert de données ou de dossiers à l’étranger dans le cadre de la mobilité internationale des étudiants est soumis au recueil du consentement exprès de l’intéressé ;

• les règles d’authentification et de traçabilité des données, ainsi que celles relatives aux exigences de sécurité et de réduction des risques.

La mise en œuvre du traitement décrit dans cette décision fait l’objet d’un engagement de conformité par chaque établissement public d’enseignement supérieur ou de recherche.

Si le traitement est conforme au cadre modifié du RU-013 et que l’établissement avait déjà effectué un engagement de conformité, il n’est pas nécessaire d’en effectuer un nouveau.
En revanche, tout autre traitement de données à caractère personnel non prévu par le RU-013 doit faire l’objet d’une formalité préalable distincte et appropriée.

A consulter :

Décision du 27 mars 2013 (NOR : ESRS1300135S), publiée au BOESR n° 21 du 23 mai 2013

Délibération CNIL n° 2012-434 du 6 décembre 2012 portant avis sur un projet de décision relative au traitement de gestion de la scolarité des étudiants mis à disposition par l’Amue (Demande d’avis n° 1624521)