La norme concernant les traitements automatisés de données à caractère personnel gérés par les collectivités et les organismes en charge d’un service scolaire, périscolaire, extrascolaire et de petite enfance, a été actualisée par la Cnil, dans le cadre de son programme de simplification des formalités préalables pour les collectivités locales. Cette délibération du 10 décembre 2015 est parue au JO du 28 juin dernier. Fiches pratiques et FAQ viennent en aide aux praticiens.
Gestion de services destinés aux enfants
Inscription, facturation et autres services autour de la scolarisation, du recensement, de la restauration, du transport, des sorties scolaires notamment, mais également autour de l’accueil de la petite enfance sont concernés. En revanche, ne sont pas couverts les écoles municipales de musique, le contrôle de l’assiduité scolaire par le maire, la gestion billettique des transports scolaires, les systèmes de biométrie pour l’accès à l’école ou encore les traitements de données relatifs aux personnes faisant l’objet d’un suivi par le maire dans le cadre de ses missions de prévention de la délinquance.
Encadrement des données collectées
La structure ne peut demander des justificatifs que lorsqu’ils sont « strictement nécessaires à la réalisation des finalités poursuivies par le traitement de données ». Ne peuvent être exigées des données sur les orientations religieuses notamment ou la nature d’un handicap. Les sélections « sans porc » ou « sans gluten » seront possibles et non « halal » ou « casher ». Selon la finalité de la collecte de données, ces dernières sont transmises à différents destinataires. Pour la gestion de la scolarisation des enfants, les seuls destinataires doivent être : le maire, les élus délégués à cette mission, les agents municipaux en charge des affaires scolaires, les directeurs d’établissement scolaire concernés, l’inspecteur de l’éducation nationale premier degré chargé de ladite circonscription, le recteur d’académie ou le directeur académique des services de l’éducation nationale, sur délégation du recteur, le président du conseil départemental ou les agents compétents, dans l’unique cadre des compétences organisation de consultations et actions de prévention médico-sociale en faveur des enfants de moins de six ans et établissement d’un bilan de santé pour les enfants âgés de trois à quatre ans.
Sécurité et conservation des données
Sur demande des parents, la mutualisation des données est possible pour permettre aux parents de fournir une seule fois les justificatifs. Une convention doit être établie entre les différentes prestations et le partage de données doit se limiter aux données relatives aux fiches identités et nécessaires pour l’inscription. Les données à caractère personnel et les pièces justificatives doivent être conservées uniquement « le temps nécessaire à la réalisation des finalités ayant présidé à leur collecte ». Les mesures de sécurisation des données peuvent être physiques et informatiques et doivent assurer la confidentialité des données personnelles.