Arrêté du 18 décembre 2017 relatif à la mise en œuvre par le ministère de l'éducation nationale d'un traitement de données à caractère personnel dénommé « gestionnaire d'accès aux ressources » (GAR)

JORF n°0299 du 23 décembre 2017
texte n° 54




Arrêté du 18 décembre 2017 relatif à la mise en œuvre par le ministère de l'éducation nationale d'un traitement de données à caractère personnel dénommé « gestionnaire d'accès aux ressources » (GAR)

NOR: MENN1729109A
ELI: https://www.legifrance.gouv.fr/eli/arrete/2017/12/18/MENN1729109A/jo/texte


Le ministre de l'éducation nationale,
Vu le code de l'éducation, notamment son article L. 131-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 23 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le récépissé de déclaration n° 2083597 de la Commission nationale de l'informatique et des libertés en date du 24 juillet 2017,
Arrête :


Il est créé au ministère de l'éducation nationale un traitement de données à caractère personnel dénommé « gestionnaire d'accès aux ressources » (GAR) ayant pour objet de permettre l'accès des élèves et des enseignants à leurs ressources numériques et services associés via un espace numérique de travail (ENT) ou un équipement mobile.
Le GAR permet la communication des données strictement nécessaires aux distributeurs et éditeurs de ressources numériques pour l'éducation, ci-après désignés fournisseurs de ressources.


Ce traitement peut être mis en œuvre dans les écoles, les établissements publics locaux d'enseignement (EPLE) et les établissements d'enseignement privé sous contrat.


Ce traitement a pour finalité de permettre :


- La validation par le ministère des demandes de données strictement nécessaires au fonctionnement du service par les fournisseurs de ressources ;
- La transmission aux fournisseurs de ressources des données strictement nécessaires aux accès des élèves et des enseignants à ces ressources et à leur utilisation en fonction des droits qui leur sont ouverts ;
- Le suivi statistique des accès aux ressources numériques pour l'analyse de la qualité de service délivrée et le suivi de l'utilisation de ces ressources.


Les catégories de données à caractère personnel faisant l'objet du présent traitement sont précisées à l'annexe du présent arrêté.


Les données à caractère personnel mentionnées à l'annexe du présent arrêté sont conservées pour les durées suivantes :
S'agissant des élèves :


- Les données relatives à la scolarité et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée du cycle scolaire ;
- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT de rattachement sont conservées pour la durée de présence de l'élève dans l'établissement scolaire.


S'agissant des enseignants :


- Les données relatives aux formations et matières enseignées, à l'appartenance à des divisions ou groupes d'élèves et d'enseignants et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée du cycle scolaire ;
- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT de rattachement sont conservées pour la durée de présence de l'enseignant dans l'établissement.


S'agissant des responsables d'affectation des ressources :


- Les données sont conservées pour la durée de l'année scolaire.


S'agissant des fournisseurs de ressources, des exploitants ENT et des porteurs de projets :


- Les données sont conservées pour la durée du contrat les liant au ministère.


Les données de connexion (logs et adresse IP, traces des accès, consultations, créations et modifications de données) sont conservées pour une durée de six mois.


Peuvent être destinataires des données à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :
1° Les fournisseurs de ressources ;
2° Les collectivités territoriales et académies (porteurs de projet ENT) et les exploitants ENT ;
3° Les chefs d'établissement et les directeurs académiques des services de l'éducation nationale (DASEN) ou les personnes déléguées par ces derniers pour gérer l'affectation des ressources aux élèves et aux enseignants.


Pour la mise en œuvre de ce traitement, le ministère a recours à des opérateurs techniques qui, en qualité de sous-traitants, assurent les fonctions suivantes, sous le contrôle de la direction du numérique pour l'éducation :


- la gestion technique du GAR ;
- le développement de la solution logicielle ;
- l'hébergement de la solution logicielle ;
- l'exploitation et la maintenance de la solution logicielle ;
- le support technique du dispositif en relation avec les fonctions supports des autres utilisateurs du GAR (exploitants ENT et distributeurs de ressources).


Tout prestataire qui, dans l'exercice de ces fonctions, est amené à traiter ou à héberger des données à caractère personnel s'engage contractuellement avec le responsable du traitement à respecter les mesures de confidentialité et de sécurité conformément aux dispositions de l'article 35 de la loi du 6 janvier 1978 susvisée.


Les fournisseurs de ressources s'engagent contractuellement à respecter les mesures de sécurité requises dans le cadre de l'utilisation du GAR, précisées dans un référentiel technique et fonctionnel.


Les droits d'opposition pour motif légitime, d'accès et de rectification des personnes à l'égard des traitements des données à caractère personnel, prévus par les articles 38 à 40 de la loi du 6 janvier 1978 susvisée, s'exercent par voie électronique à l'adresse dne-gar@education.gouv.fr ou par courrier postal auprès de la direction du numérique pour l'éducation, 110, rue de Grenelle, 75007 Paris.


Le présent arrêté fait l'objet d'un affichage dans les écoles, les établissements publics locaux d'enseignement et les établissements d'enseignement privé sous contrat concernés.
Il est également consultable sur la page d'accueil du site internet relatif au gestionnaire d'accès aux ressources ou fait l'objet d'une mention sur la page d'accueil de l'ENT.


Le directeur du numérique pour l'éducation est chargé de l'exécution du présent arrêté qui sera publié au Journal officiel de la République française.

  • Annexe


    ANNEXE
    LISTE DES DONNÉES À CARACTÈRE PERSONNEL FAISANT L'OBJET DU TRAITEMENT « GAR »


    1° Données relatives aux élèves :


    - civilité ;
    - noms et prénoms ;
    - date de naissance ;
    - identifiant utilisateur ;
    - identifiant du projet ENT de rattachement ;
    - identifiant opaque ;
    - données relatives à la scolarité (établissement scolaire, division, classe, division et groupes auxquels ils sont rattachés, formation et enseignements suivis) ;
    - ressources affectées ;
    - données de connexion (logs et adresses IP).


    2° Données relatives aux enseignants :


    - civilité
    - noms et prénoms ;
    - date de naissance
    - identifiant utilisateur ;
    - identifiant du projet ENT de rattachement ;
    - identifiant opaque ;
    - établissement (s) scolaire (s) d'exercice des fonctions ;
    - formations et matières enseignées ;
    - divisions et groupes auxquels ils sont rattachés ;
    - ressources affectées ;
    - données de connexion (logs et adresses IP).


    3° Données relatives aux responsables d'affectation des ressources (chef d'établissement, directeur académique des services de l'éducation nationale-DASEN ou les personnes déléguées par ce dernier) :


    - civilité ;
    - noms et prénoms ;
    - identifiant utilisateur ;
    - identifiant du projet ENT de rattachement ;
    - adresse mail ;
    - listes des établissements pour lesquels ils réalisent des affectations (code établissements) ;
    - données de connexion (logs et adresses IP).


    4° Données relatives aux fournisseurs de ressources :


    - civilité, nom et prénom du ou des responsable (s) de la structure ;
    - identifiants de connexion : adresse mail et mot de passe ;
    - données concernant la structure (libellé, identifiant, numéro de téléphone, nom et prénom du contact technique, adresse mél. du contact technique, téléphone du contact technique) ;
    - données de connexion (logs et adresses IP).


    5° Données relatives aux exploitants ENT et porteurs de projets (collectivités et académies) :


    - civilité, nom et prénom du ou des responsable (s) ;
    - identifiants de connexion : adresse mél. et mot de passe ;
    - données concernant la structure (libellé, identifiant, numéro de téléphone, nom et prénom du contact technique, adresse mél. du contact technique, téléphone du contact technique) ;
    - données concernant le projet ENT (identifiant et libellé) ;
    - libellé et identifiant de la plate-forme d'hébergement du projet ENT ;
    - données de connexion (logs et adresses IP).


Fait le 18 décembre 2017.


Jean-Michel Blanquer