Il est créé au ministère de l'éducation nationale un traitement de données à caractère personnel dénommé « gestionnaire d'accès aux ressources » (GAR) ayant pour objet de permettre l'accès des élèves et des enseignants à leurs ressources numériques et services associés via un espace numérique de travail (ENT) ou un équipement mobile.
Le GAR permet la communication des données strictement nécessaires aux distributeurs et éditeurs de ressources numériques pour l'éducation, ci-après désignés fournisseurs de ressources.

Ce traitement peut être mis en œuvre dans les écoles, les établissements publics locaux d'enseignement (EPLE) et les établissements d'enseignement privé sous contrat.

Ce traitement a pour finalité de permettre :

- La validation par le ministère des demandes de données strictement nécessaires au fonctionnement du service par les fournisseurs de ressources ;
- La transmission aux fournisseurs de ressources des données strictement nécessaires aux accès des élèves et des enseignants à ces ressources et à leur utilisation en fonction des droits qui leur sont ouverts ;
- Le suivi statistique des accès aux ressources numériques pour l'analyse de la qualité de service délivrée et le suivi de l'utilisation de ces ressources.

Les catégories de données à caractère personnel faisant l'objet du présent traitement sont précisées à l'annexe du présent arrêté.

Les données à caractère personnel mentionnées à l'annexe du présent arrêté sont conservées pour les durées suivantes :
S'agissant des élèves :

- Les données relatives à la scolarité et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée du cycle scolaire ;
- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT de rattachement sont conservées pour la durée de présence de l'élève dans l'établissement scolaire.

S'agissant des enseignants :

- Les données relatives aux formations et matières enseignées, à l'appartenance à des divisions ou groupes d'élèves et d'enseignants et aux ressources affectées sont conservées pour la durée de l'année scolaire ou, au besoin, pour la durée du cycle scolaire ;
- Les données d'identité et les données d'identification de l'utilisateur et du projet ENT de rattachement sont conservées pour la durée de présence de l'enseignant dans l'établissement.

S'agissant des responsables d'affectation des ressources :

- Les données sont conservées pour la durée de l'année scolaire.

S'agissant des fournisseurs de ressources, des exploitants ENT et des porteurs de projets :

- Les données sont conservées pour la durée du contrat les liant au ministère.

Les données de connexion (logs et adresse IP, traces des accès, consultations, créations et modifications de données) sont conservées pour une durée de six mois.

Peuvent être destinataires des données à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :
1° Les fournisseurs de ressources ;
2° Les collectivités territoriales et académies (porteurs de projet ENT) et les exploitants ENT ;
3° Les chefs d'établissement et les directeurs académiques des services de l'éducation nationale (DASEN) ou les personnes déléguées par ces derniers pour gérer l'affectation des ressources aux élèves et aux enseignants.

Pour la mise en œuvre de ce traitement, le ministère a recours à des opérateurs techniques qui, en qualité de sous-traitants, assurent les fonctions suivantes, sous le contrôle de la direction du numérique pour l'éducation :

- la gestion technique du GAR ;
- le développement de la solution logicielle ;
- l'hébergement de la solution logicielle ;
- l'exploitation et la maintenance de la solution logicielle ;
- le support technique du dispositif en relation avec les fonctions supports des autres utilisateurs du GAR (exploitants ENT et distributeurs de ressources).

Tout prestataire qui, dans l'exercice de ces fonctions, est amené à traiter ou à héberger des données à caractère personnel s'engage contractuellement avec le responsable du traitement à respecter les mesures de confidentialité et de sécurité conformément aux dispositions de l'article 35 de la loi du 6 janvier 1978 susvisée.

Les fournisseurs de ressources s'engagent contractuellement à respecter les mesures de sécurité requises dans le cadre de l'utilisation du GAR, précisées dans un référentiel technique et fonctionnel.

Les droits d'opposition pour motif légitime, d'accès et de rectification des personnes à l'égard des traitements des données à caractère personnel, prévus par les articles 38 à 40 de la loi du 6 janvier 1978 susvisée, s'exercent par voie électronique à l'adresse dne-gar@education.gouv.fr ou par courrier postal auprès de la direction du numérique pour l'éducation, 110, rue de Grenelle, 75007 Paris.

Le présent arrêté fait l'objet d'un affichage dans les écoles, les établissements publics locaux d'enseignement et les établissements d'enseignement privé sous contrat concernés.
Il est également consultable sur la page d'accueil du site internet relatif au gestionnaire d'accès aux ressources ou fait l'objet d'une mention sur la page d'accueil de l'ENT.

Le directeur du numérique pour l'éducation est chargé de l'exécution du présent arrêté qui sera publié au Journal officiel de la République française.