Conseil d'État
N° 317182 323441
Publié au recueil Lebon
Lecture du lundi 19 juillet 2010
26-07-01-02-02 : Droits civils et individuels- Protection des données à caractère personnel- Questions générales- Conditions de légalité du traitement- Données adéquates, pertinentes et non excessives-
Données pertinentes (art. 6 de la loi du 6 janvier 1978) - 1) Notion - 2) Application en l'espèce.
1) Pour l'application de l'article 6 de la loi n° 78-17 du 6 janvier 1978, les données pertinentes au regard de la finalité d'un traitement automatisé de données à caractère personnel sont celles qui sont en adéquation avec la finalité du traitement et qui sont proportionnées à cette finalité. 2) En l'espèce, les données enregistrées dans la "Base élèves 1er degré", relatives à l'identification de l'élève, de ses responsables légaux et des autres personnes à contacter en cas d'urgence ou autorisées à le prendre en charge à la sortie de l'école, ainsi qu'à la gestion des établissements, de la scolarité des élèves et de leurs activités para scolaires et péri-scolaires, sont en adéquation avec la finalité du traitement, qui est la gestion de l'enseignement scolaire de premier cycle, et sont proportionnées à cette finalité.
26-07-02-01 : Droits civils et individuels- Protection des données à caractère personnel- Questions propres à certaines catégories de données- Données sensibles (art- de la loi du janvier )-
Données relatives à la santé - Catégorie de classe d'intégration scolaire (CLIS) - Inclusion - Structure de soins accueillant des élèves - Exclusion (1).
La mention exacte, dans la "Base élèves 1er degré", de la catégorie de classe d'intégration scolaire (CLIS) dont relève l'élève, identifiée par l'un des quatre chiffres codant le type de handicap ou de déficience de l'élève, ce qui permet d'identifier la nature de l'affection ou du handicap dont il souffre, est une donnée relative à la santé au sens de l'article 8 de la loi n° 78-17 du 6 janvier 1978. Tel n'est pas le cas, en revanche, de la structure de soins qui l'accueille, celle-ci ne permettant que dans de très rares cas, où sa dénomination est explicite, d'identifier directement la pathologie de l'élève.
26-07-03-02 : Droits civils et individuels- Protection des données à caractère personnel- Formalités préalables à la mise en oeuvre des traitements- Traitements donnant lieu à déclaration-
1) Mise en oeuvre d'un traitement soumis à déclaration avant la délivrance du récépissé par la CNIL - Illégalité en tant qu'elle porte sur la période antérieure à la délivrance du récépissé - Caractère expérimental du fichier - Absence en l'espèce - 2) Obligation pour le déclarant de prendre l'engagement que le traitement satisfait aux exigences de la loi (I de l'art. 23 de la loi du 6 janvier 1978) - Absence de souscription de l'engagement - Absence d'irrégularité substantielle en l'espèce, eu égard aux échanges intervenus entre le ministère de l'éducation national et la CNIL (2) - 3) Obligation pour le responsable de traitement de mentionner dans la déclaration toutes formes de rapprochements et de mises en relation avec d'autres traitements (art. 30) - Absence de cette mention en l'espèce - Irrégularité substantielle - Existence.
1) Le I de l'article 23 de la loi n° 78-17 du 6 janvier 1978 prescrit au responsable d'un traitement de données à caractère personnel soumis à déclaration d'y faire figurer l'engagement que le traitement satisfait aux exigences de la loi. L'absence de cette mention dans la déclaration adressée par l'Etat à la Commission nationale de l'informatique et des libertés (CNIL) au titre de la "Base élèves 1er degré", pour regrettable qu'elle soit, n'a pas, compte tenu des échanges entretenus entre le ministère de l'éducation nationale et la CNIL, entaché d'une irrégularité substantielle la procédure de déclaration. 2) Un traitement de données à caractère personnel soumis à l'obligation de déclaration ne peut être légalement mis en oeuvre avant la délivrance du récépissé de la déclaration par la CNIL. Le caractère expérimental du traitement, à supposer qu'il permette de ne pas attendre la délivrance du récépissé, n'est pas établi en l'espèce. Annulation de la décision de mise en oeuvre de ce traitement en tant qu'elle porte sur la période antérieure à la délivrance du récépissé. 3) L'obligation de mentionner, dans la déclaration du traitement, l'existence de mises en relation ou de rapprochements avec d'autres fichiers, prévue à l'article 30 de la loi du 6 janvier 1978, est prescrite à peine d'irrégularité. Annulation de la décision de mise en oeuvre du traitement en tant qu'il permet le rapprochement et la mise en relation de données avec d'autres fichiers, sans que cette modalité d'exploitation ait été mentionnée dans la déclaration.
26-07-03-03-01 : Droits civils et individuels- Protection des données à caractère personnel- Formalités préalables à la mise en oeuvre des traitements- Traitements soumis à autorisation- Autorisation de la Commission nationale de l'informatique et des libertés (CNIL)-
Traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents (5° de l'art. 25 de la loi du 6 janvier 1978) - 1) Interconnexion - Notion - 2) Application en l'espèce.
1) Une interconnexion doit être regardée comme l'objet même d'un traitement qui permet d'accéder à, d'exploiter, et de traiter automatiquement les données collectées pour un autre traitement et enregistrées dans le fichier qui en est issu. La mise en relation de fichiers qui se limite à des données dont le recueil a été déclaré pour chacun d'eux et qui n'élargit pas le champ de collecte de l'un ou de l'autre de ces traitements automatisés ne constitue pas une interconnexion. 2) Le fichier "Base élèves 1er degré" n'est pas interconnecté, mais seulement mis en relation, avec la "Base nationale des identifiants des élèves" du ministère de l'éducation nationale et les traitements mis en oeuvre par les maires en vertu de l'article L. 131-6 du code de l'éducation afin de procéder au recensement des enfants soumis à l'obligation scolaire. En effet, ces traitements portent sur des données dont la collecte était prévue dans chacun des fichiers.
26-07-05-01 : Droits civils et individuels- Protection des données à caractère personnel- Droits des personnes concernées- Droit d'opposition-
1) Exception - Obligation légale ou mention expresse de l'acte autorisant le traitement (dernier alinéa de l'art. 38 de la loi du 6 janvier 1978) - Portée - 2) Autorisation ne relevant pas de cette exception mais excluant tout exercice du droit d'opposition - Illégalité dans cette mesure.
1) Les dispositions du dernier alinéa de l'article 38 de la loi n° 78-17 du 6 janvier 1978, qui permettent de déroger à la règle selon laquelle toute personne physique justifiant d'un motif légitime a le droit de s'opposer à ce que des données la concernant fassent l'objet d'un traitement, ne s'appliquent qu'aux traitements automatisés de données autorisés par un acte réglementaire pris après avis de la Commission nationale de l'informatique et des libertés (CNIL) en application des articles 26 et 27 de cette loi. 2) L'arrêté autorisant la mise en oeuvre d'un traitement en application de l'article 22 de cette loi ne relève pas de cette exception, de sorte que les personnes qui en font l'objet bénéficient du droit d'opposition prévu par le premier alinéa de l'article 38 de la même loi. Illégalité de l'arrêté en tant qu'il exclut toute possibilité d'exercice de ce droit d'opposition.
(1) Cf., du même jour, Fristot et Mme Charpy, n° 334014, à publier au Recueil. (2) Comp., pour la règle selon laquelle l'absence de cet engagement dans la déclaration permet à la CNIL de refuser la délivrance du récépissé, Section, 6 janvier 1997, Caisse d'épargne Rhône-Alpes-Lyon, n° 159129, p. 7.
N° 317182 323441
Publié au recueil Lebon
Lecture du lundi 19 juillet 2010
26-07-01-02-02 : Droits civils et individuels- Protection des données à caractère personnel- Questions générales- Conditions de légalité du traitement- Données adéquates, pertinentes et non excessives-
Données pertinentes (art. 6 de la loi du 6 janvier 1978) - 1) Notion - 2) Application en l'espèce.
1) Pour l'application de l'article 6 de la loi n° 78-17 du 6 janvier 1978, les données pertinentes au regard de la finalité d'un traitement automatisé de données à caractère personnel sont celles qui sont en adéquation avec la finalité du traitement et qui sont proportionnées à cette finalité. 2) En l'espèce, les données enregistrées dans la "Base élèves 1er degré", relatives à l'identification de l'élève, de ses responsables légaux et des autres personnes à contacter en cas d'urgence ou autorisées à le prendre en charge à la sortie de l'école, ainsi qu'à la gestion des établissements, de la scolarité des élèves et de leurs activités para scolaires et péri-scolaires, sont en adéquation avec la finalité du traitement, qui est la gestion de l'enseignement scolaire de premier cycle, et sont proportionnées à cette finalité.
26-07-02-01 : Droits civils et individuels- Protection des données à caractère personnel- Questions propres à certaines catégories de données- Données sensibles (art- de la loi du janvier )-
Données relatives à la santé - Catégorie de classe d'intégration scolaire (CLIS) - Inclusion - Structure de soins accueillant des élèves - Exclusion (1).
La mention exacte, dans la "Base élèves 1er degré", de la catégorie de classe d'intégration scolaire (CLIS) dont relève l'élève, identifiée par l'un des quatre chiffres codant le type de handicap ou de déficience de l'élève, ce qui permet d'identifier la nature de l'affection ou du handicap dont il souffre, est une donnée relative à la santé au sens de l'article 8 de la loi n° 78-17 du 6 janvier 1978. Tel n'est pas le cas, en revanche, de la structure de soins qui l'accueille, celle-ci ne permettant que dans de très rares cas, où sa dénomination est explicite, d'identifier directement la pathologie de l'élève.
26-07-03-02 : Droits civils et individuels- Protection des données à caractère personnel- Formalités préalables à la mise en oeuvre des traitements- Traitements donnant lieu à déclaration-
1) Mise en oeuvre d'un traitement soumis à déclaration avant la délivrance du récépissé par la CNIL - Illégalité en tant qu'elle porte sur la période antérieure à la délivrance du récépissé - Caractère expérimental du fichier - Absence en l'espèce - 2) Obligation pour le déclarant de prendre l'engagement que le traitement satisfait aux exigences de la loi (I de l'art. 23 de la loi du 6 janvier 1978) - Absence de souscription de l'engagement - Absence d'irrégularité substantielle en l'espèce, eu égard aux échanges intervenus entre le ministère de l'éducation national et la CNIL (2) - 3) Obligation pour le responsable de traitement de mentionner dans la déclaration toutes formes de rapprochements et de mises en relation avec d'autres traitements (art. 30) - Absence de cette mention en l'espèce - Irrégularité substantielle - Existence.
1) Le I de l'article 23 de la loi n° 78-17 du 6 janvier 1978 prescrit au responsable d'un traitement de données à caractère personnel soumis à déclaration d'y faire figurer l'engagement que le traitement satisfait aux exigences de la loi. L'absence de cette mention dans la déclaration adressée par l'Etat à la Commission nationale de l'informatique et des libertés (CNIL) au titre de la "Base élèves 1er degré", pour regrettable qu'elle soit, n'a pas, compte tenu des échanges entretenus entre le ministère de l'éducation nationale et la CNIL, entaché d'une irrégularité substantielle la procédure de déclaration. 2) Un traitement de données à caractère personnel soumis à l'obligation de déclaration ne peut être légalement mis en oeuvre avant la délivrance du récépissé de la déclaration par la CNIL. Le caractère expérimental du traitement, à supposer qu'il permette de ne pas attendre la délivrance du récépissé, n'est pas établi en l'espèce. Annulation de la décision de mise en oeuvre de ce traitement en tant qu'elle porte sur la période antérieure à la délivrance du récépissé. 3) L'obligation de mentionner, dans la déclaration du traitement, l'existence de mises en relation ou de rapprochements avec d'autres fichiers, prévue à l'article 30 de la loi du 6 janvier 1978, est prescrite à peine d'irrégularité. Annulation de la décision de mise en oeuvre du traitement en tant qu'il permet le rapprochement et la mise en relation de données avec d'autres fichiers, sans que cette modalité d'exploitation ait été mentionnée dans la déclaration.
26-07-03-03-01 : Droits civils et individuels- Protection des données à caractère personnel- Formalités préalables à la mise en oeuvre des traitements- Traitements soumis à autorisation- Autorisation de la Commission nationale de l'informatique et des libertés (CNIL)-
Traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents (5° de l'art. 25 de la loi du 6 janvier 1978) - 1) Interconnexion - Notion - 2) Application en l'espèce.
1) Une interconnexion doit être regardée comme l'objet même d'un traitement qui permet d'accéder à, d'exploiter, et de traiter automatiquement les données collectées pour un autre traitement et enregistrées dans le fichier qui en est issu. La mise en relation de fichiers qui se limite à des données dont le recueil a été déclaré pour chacun d'eux et qui n'élargit pas le champ de collecte de l'un ou de l'autre de ces traitements automatisés ne constitue pas une interconnexion. 2) Le fichier "Base élèves 1er degré" n'est pas interconnecté, mais seulement mis en relation, avec la "Base nationale des identifiants des élèves" du ministère de l'éducation nationale et les traitements mis en oeuvre par les maires en vertu de l'article L. 131-6 du code de l'éducation afin de procéder au recensement des enfants soumis à l'obligation scolaire. En effet, ces traitements portent sur des données dont la collecte était prévue dans chacun des fichiers.
26-07-05-01 : Droits civils et individuels- Protection des données à caractère personnel- Droits des personnes concernées- Droit d'opposition-
1) Exception - Obligation légale ou mention expresse de l'acte autorisant le traitement (dernier alinéa de l'art. 38 de la loi du 6 janvier 1978) - Portée - 2) Autorisation ne relevant pas de cette exception mais excluant tout exercice du droit d'opposition - Illégalité dans cette mesure.
1) Les dispositions du dernier alinéa de l'article 38 de la loi n° 78-17 du 6 janvier 1978, qui permettent de déroger à la règle selon laquelle toute personne physique justifiant d'un motif légitime a le droit de s'opposer à ce que des données la concernant fassent l'objet d'un traitement, ne s'appliquent qu'aux traitements automatisés de données autorisés par un acte réglementaire pris après avis de la Commission nationale de l'informatique et des libertés (CNIL) en application des articles 26 et 27 de cette loi. 2) L'arrêté autorisant la mise en oeuvre d'un traitement en application de l'article 22 de cette loi ne relève pas de cette exception, de sorte que les personnes qui en font l'objet bénéficient du droit d'opposition prévu par le premier alinéa de l'article 38 de la même loi. Illégalité de l'arrêté en tant qu'il exclut toute possibilité d'exercice de ce droit d'opposition.
(1) Cf., du même jour, Fristot et Mme Charpy, n° 334014, à publier au Recueil. (2) Comp., pour la règle selon laquelle l'absence de cet engagement dans la déclaration permet à la CNIL de refuser la délivrance du récépissé, Section, 6 janvier 1997, Caisse d'épargne Rhône-Alpes-Lyon, n° 159129, p. 7.