Délibération nº 2005-233 du 18 octobre 2005 portant autorisation unique de mise en oeuvre par le Centre national des oeuvres universitaires et scolaires d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des aides ponctuelles allouées aux étudiants dans le cadre de l'action sociale et le suivi statistique de l'activité de services sociaux des centres régionaux des oeuvres universitaires et scolaires (demande d'autorisation nº 1068134).

La Commission nationale de l'informatique et des libertés,

Vu la convention nº 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;

Vu la demande d'autorisation unique présentée par le Centre national des oeuvres universitaires et scolaires d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des aides ponctuelles allouées aux étudiants dans le cadre de l'action sociale et le suivi statistique de l'activité de services sociaux des centres régionaux des oeuvres universitaires ;

Après avoir entendu Mme Anne Debet, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations,

Formule les observations suivantes :

Le Centre national des oeuvres universitaires et scolaires, établissement public national, a saisi la CNIL d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des aides ponctuelles allouées aux étudiants dans le cadre de l'action sociale et le suivi statistique de l'activité de services sociaux des centres régionaux des oeuvres universitaires et scolaires (CROUS). L'application ainsi mise en place est dénommée SAGA.

Cette application est implantée sur un serveur national qui regroupera en une base unique les données saisies par tous les centres régionaux des oeuvres universitaires et scolaires. Les espaces de travail ouverts à chaque CROUS au sein de cette base ne seront accessibles qu'au seul centre régional concerné.

L'informatisation des services sociaux des CROUS vise à assurer un meilleur suivi social par l'ensemble de assistantes sociales d'un centre, à aider à l'élaboration de politiques sociales en faveur des étudiants, à assurer un meilleur suivi financier et à aider à l'élaboration des politiques budgétaires.

L'application informatique est destinée à assurer à la fois le suivi social de l'étudiant à partir des entretiens effectués, des aides sollicitées, la gestion administrative et financière des aides sociales et le traitement statistique.

La commission considère qu'il y a lieu de faire application des dispositions de l'article 25 (7°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données comportant des appréciations sur les difficultés sociales des personnes.

Dans la mesure où chaque centre régional des oeuvres universitaires et sociales est doté de la personnalité juridique, il lui appartiendra d'effectuer à la CNIL un engagement de conformité à ladite autorisation conformément aux dispositions de l'article 25-III.

Les catégories de données à caractère personnel enregistrées seront relatives aux nom, prénom, date et lieu de naissance de l'étudiant, à sa nationalité et au département de résidence de la famille, à la situation familiale de l'étudiant, à son cursus universitaire, aux aides institutionnelles accordées, au budget de l'étudiant et, le cas échéant, aux problèmes de logement. Une information sur le handicap constaté est également enregistrée. Les données seront conservées cinq ans afin d'accompagner l'étudiant durant sa scolarité.

Les seules informations collectées et traitées susceptibles de comporter des appréciations sur les difficultés sociales des personnes seront limitées à l'indication de l'existence de difficultés familiales et à la constatation d'un handicap.

Chaque utilisateur de l'application SAGA disposera, en fonction de ses habilitations, d'un identifiant et d'un mot de passe personnel sous la responsabilité d'un administrateur régional. Ainsi, seuls les assistants sociaux auront accès à toutes les informations contenues dans le dossier étudiant.

La base nationale bénéficie d'un niveau de sécurité important et tous les échanges entre la base nationale et les bases régionales utiliseront le réseau internet sécurisé (protocole SSL).

Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du directeur du CROUS concerné. Une affiche d'information sera diffusée à cet effet dans les différents centres.

Les destinataires des informations seront, pour l'exercice de leurs missions et en fonction des habilitations de chacun, le secrétariat du service social, les assistants sociaux, le directeur du CROUS et le service comptable. Toute autre transmission de données s'effectuera dans des conditions de nature à garantir l'anonymat complet des étudiants,

Autorise, dans ces conditions, le Centre national des oeuvres universitaires et scolaires à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des aides ponctuelles allouées aux étudiants dans le cadre de l'action sociale et le suivi statistique de l'activité de services sociaux des centres régionaux des oeuvres universitaires et scolaires (CROUS). Chaque CROUS devra effectuer auprès de la CNIL un engagement de conformité audit traitement conformément aux dispositions de l'article 25-III de la loi du 6 janvier 1978 modifiée.

Pour la commission :

Le président, A. Türk