Mise en place du RGPD et tenue du registre des traitements : comment ça se passe chez vous ?

Il apparaît que oui. En fait, il y a une liste concernant les archives, sur laquelle figure ce qui doit être conservé, quand (parfois c'est toutes les x années), pour combien de temps. Les relevés de notes hors examen c'est un an.
Le RGPD oblige dès lors qu'on fait une liste - id est un traitement de données - de prévoir d'entrée la durée de vie de cette liste.

VicomteDeValmont a écrit:Quelques éléments ici: https://www.nextinpact.com/news/106945-apres-sombre-etat-lieux-leducation-nationale-veut-rattraper-train-rgpd.htm

Je dois être stupide, je n'ai rien compris !

Le rapport des IGEN de février dernier: http://cache.media.education.gouv.fr/file/2018/69/2/IGEN-IGAENR-Rapport-2018-016-Donnees-numeriques-caractere-personnel-education-nationale-def_986692.pdf

Il est notamment intéressant de lire les préconisations:

"Préconisation n° 1 : Former rapidement les enseignants et les chefs d’encadrement sur l’utilisation
des données scolaires numériques dans des situations pédagogiques et administratives avec une
attention particulière aux traitements susceptibles d’engendrer un risque élevé pour les droits et
libertés des personnes physiques dans le sens de l’article 9 du RGPD.

Préconisation n° 2 : Interdire, soit par circulaire auprès des chefs d’établissement et des enseignants
soit en intégrant cette interdiction dans un code de conduite, les services numériques qui opèrent
des traitements sur les données scolaires autres que ceux nécessaires à des utilisations pédagogiques
ou administratives.

Préconisation n° 3 : Rédiger au niveau national et diffuser largement des documents d’information
sur la protection accrue apportée par le RGPD et les modifications de la loi informatique et libertés,
adaptés aux différents publics : chefs d’établissement, enseignants, parents, élèves.

Préconisation n° 4 : compléter par amendement à la loi informatique et liberté en révision l’article
38 de la loi d’orientation et de refondation de l’École (formation à l’utilisation des outils numériques)
par former « aux dimensions éthiques, sociales et économiques de l’utilisation des données
numériques, en particulier celles à caractère personnel ».

Préconisation n° 5 : Éditer au niveau national des documents précisant la nature des données
collectées et des traitements effectués, qui seraient distribués aux publics concernés : professeurs,
parents, élèves. Ces documents devront être rédigés dans un langage adapté à leur public et
facilement modifiables par les responsables de traitement locaux.

Préconisation n° 6 : Proposer que dans le champ scolaire, le responsable de traitement diligente
systématiquement des études d’impact sur le traitement des données scolaires qui pourraient être
portées par les DPD présents dans les administrations déconcentrées. Il est aussi demandé dans un
second temps qu’il puisse être proposé un code de conduite pour le traitement des données
scolaires.

Préconisation n° 7 : Faire spécifier dans les contrats passés entre les établissements scolaires et les
éditeurs de logiciels de vie scolaire, d’emploi du temps ou d’ENT, que les données doivent être
stockées par les hébergeurs sous forme cryptée, les responsables de traitement étant seuls habilités
à posséder la clef de décryptage.

Préconisation n° 8 : Établir une cartographie détaillée de l’ensemble des flux de données scolaires
circulant dans l’éducation nationale, dans les collectivités territoriales, les entreprises privées et les
associations en précisant leurs relations, la nature des données transmises et leur cryptage éventuel.
Il s’agira en particulier de veiller à ce que les données personnelles issues de bases de données
gérées par le ministère transmises à des tiers soient systématiquement cryptées.

Préconisation n° 9 : Positionner auprès de la secrétaire générale du ministère de l’éducation
nationale un poste de DPD à temps complet. Dans l’attente de cette nomination, mettre en place dès
aujourd’hui, un groupe projet chargé de la mise en œuvre du RGPD.

Préconisation n° 10 : Demander aux recteurs de nommer à leur côté un DPD sur emploi fonctionnel
d’ici la prochaine rentrée scolaire, pour au moins les 12 régions académiques.

Préconisation n° 11 : Créer au sein du ministère de l’éducation nationale, un comité d’éthique et
d’expertise sur l’intérêt public de l’utilisation de données scolaires qui serait composé de membre de
la communauté éducative d’horizons très divers.

Préconisation n° 12 : Inclure une clause d’explicitation des principes sur lesquels reposent les
algorithmes utilisés dans les traitements de données à caractère personnel dans les contrats passés
avec les développeurs privés.

Préconisation n° 13 : Confier au ministère de l’économie une expertise approfondie, au regard du
droit national et européen, sur la passation des marchés entre les EPLE et les sociétés éditant les
logiciels de vie scolaire les plus utilisés.

Préconisation n° 14 : Exiger une certification ANSSI de premier niveau au moins pour tous les
contractants hébergeant des données scolaires à caractère personnel.

Préconisation n° 15 : Demander aux entreprises contractant avec des établissements de l’éducation
nationale la liste des prestataires auxquels elles font appel pour la mise en œuvre de leurs services.
Clarifier les engagements contractuels vis-à-vis de l’utilisation des données scolaires par ces soustraitants.

Préconisation n° 16 : Faire en sorte que l’État se repositionne vis-à-vis des prestataires de certains
services numériques clés, administratifs et pédagogiques, afin de pouvoir exercer sa souveraineté en
matière d’éducation.

Préconisation n° 17 : Intégrer l’éducation nationale dans le domaine des secteurs d'activité
industriels stratégiques soumis à une autorisation préalable du gouvernement français en cas
d'investissements étrangers."

Merci, je vais prendre le temps pour le lire ...

Bon, on va arrêter de travailler. Ça sera plus simple !
Plus sérieusement, il faudrait déclarer sur le registre non seulement les données sur Internet mais aussi n'importe quel bout de papier où l'on note les noms des élèves ?

Considère cela : tu reçois des feuilles avec nom prénom date de naissance etc. de tes élèves. Peux-tu simplement les mettre ensuite au papier à recycler ? A la poubelle normale ? Alors n'importe qui peut tomber dessus et les lire...

henriette a écrit:Considère cela : tu reçois des feuilles avec nom prénom date de naissance etc. de tes élèves. Peux-tu simplement les mettre ensuite au papier à recycler ? A la poubelle normale ? Alors n'importe qui peut tomber dessus et les lire...

Ceci n'est pas nouveau. Mais de là à tout déclarer...
Comme d'habitude on tombe dans l'excès. Comme les fameuses règles sur le photocopiage que personne ne respecte.
Déclarer les services en ligne sur lesquels des données figurent, ok. Les papiers, :decu:

Pronote est d'ailleurs source d'inquiétude dans le rapport:

"5.2.1. Une gestion de la vie scolaire des lycées et des collèges publics hors du contrôle de l’État

La grande majorité des établissements scolaires français a choisi des logiciels de vie scolaire
développés par des entreprises privées. Une des sociétés occupe une part de marché nettement
supérieure aux autres (voisine de 80 %) ce qui lui donne une position de quasi-monopole. Afin
d’exploiter leurs services, un certain nombre de données personnelles des élèves et des enseignants
sont transmises à ces sociétés. Les établissements ont parfois le choix entre un stockage des données
dans l’établissement ou sur les serveurs des entreprises (en général mieux sécurisés que ceux des
établissements).
Il ne s’agit pas d’une externalisation ordinaire d’un service, mais d’une véritable délégation de
service public qui ne dit pas son nom, sans aucune interaction avec l’administration centrale du
ministère, chaque établissement contractualisant directement avec ces sociétés, conséquence de
trente ans d’histoire qu’il sera maintenant difficile de faire évoluer.

La question se pose de la requalification éventuelle des marchés passés avec chaque EPLE pour ces
logiciels de vie scolaire : chacun est certes sous le seuil des marchés publics nécessitant une mise en
concurrence, mais de très nombreux établissements publics étant concernés, on peut s’interroger
sur le fait que la qualification de marché fractionné ne s’applique pas. De plus, ces marchés sont
reconduits annuellement sur une très longue période (éventualité du dépassement dans ce cas du
seuil des marchés publics). Les montants annuels globaux représentant l’acquisition de ces produits
(de l’ordre d 25 M€) nécessitent une expertise juridique approfondie au regard du droit européen et
national de la commande publique. Il convient probablement d’interroger sur ces sujets, au-delà de
la mission des achats du ministère, les services de Bercy.
Cette situation pose par ailleurs de nombreux problèmes de sécurité et de pérennité des données,
d’encadrement des traitements et de continuité du service public en particulier lors de la mise en
œuvre d’une réforme qui nécessite une évolution des fonctionnalités de ces logiciels."

Pour les papiers, je pense qu'il faut surtout prévoir comment on détruit quoi : que faut-il broyer, que peut-on jeter ou recycler.
Mais il est clair qu'on tombe d'un extrême dans l'autre.
(Et tout ça à l'heure de la création controversée par l'Etat du super méga fichier qui va tous nous ficher...)

J'ai eu une information en tant que directrice... Tout recueil de données  ( jusqu'à la liste de classe papier) doit être recensé dans un premier temps. C'est un surcroît de travail pour moi inimaginable. En revanche réfléchir et être plus conscient des données que l'on transporte par les clefs usb, les disque durs, les clouds les différents ordinateurs sur lesquels on travaille est important. J'ai trois ordinateurs dont deux de travail, deux clefs usb et deux disques durs. A moi de m'organiser pour ne pas multiplier les fichiers.

VicomteDeValmont a écrit:Pronote est d'ailleurs source d'inquiétude dans le rapport"

Je relance ce fil car nous n'aurions plus le droit d'écrire le nom des élèves dans une discussion pronote, à moins d'en informer la famille. Quelqu'un peut-il me confirmer ça ? Si c'est vrai, quel délai avons-nous pour informer la famille qui nous avons évoqué le cas de leur enfant via pronote ?
Dans mon établissement, les discussions pronote permettent des échanges d'informations (de l'infirmière pour préciser une pathologie et sa prise en charge, des CPE pour évoquer une situation d'élève, un prochain rendez-vous avec la famille ..., des profs pour demander de transmettre une info à un élève ou donner une info sur un élève, nous informer d'une sortie avec la liste d'élèves correspondante ...). Si nos droits sont restreints, les discussions pronote n'auront plus beaucoup d’intérêt.

Première nouvelle ! Sous quelle forme as-tu eu cette information ?
Question annexe : les discussions Pronote sont-elles archivées et accessibles d'une année sur l'autre ?

Ça devient n'importe quoi. Encore une .onnerie idéologique qui nous plombe. Comme si nous allions marchander ces données à l'instar des GAFA.

Pendant ce temps, le fisc se dote sans vergogne de programmes informatiques capables de ramasser toutes nos données (réseaux sociaux, sites de vente et de services, données bancaires) afin de nous tracer jusqu'au moindre centime. Et on nous em.erde pour nommer tel ou tel.

La RGPD et ce qu'on peut faire ou pas sur Pronote, perso je n'y comprends absolument rien, comme les trois quarts de mes collègues, donc je wait and see.
Le fait de ne pas pouvoir échanger avec un collègue n'a pas de sens, sauf à considérer comme problématique le fait que la conversation ne soit pas détruite immédiatement ("ce message s'auto-détruira..."), et soit accessible à d'autres... ce qui n'est pas le cas.

Concernant Pronote, je ne demanderais qu'à pouvoir effectivement utiliser un logiciel fourni par notre employeur. D'ailleurs il existe. Il faudrait juste qu'il montre le dixième de sa performance.
L'Etat a délaissé le champ de ses applications, externalise le travail en employant des sociétés privées pour monter des fiascos comme Sirhen (300 millions d'euros dépensés en pure perte) ou l'accident industriel du LSU (qui n'offre toujours pas d'accès aux familles, et ne permet toujours pas d'accéder aux années antérieures, alors que c'était précisément sa fonction). C'est un pur scandale.

henriette a écrit:Première nouvelle ! Sous quelle forme as-tu eu cette information ?
Question annexe : les discussions Pronote sont-elles archivées et accessibles d'une année sur l'autre ?

Info CPE, confirmée par l'adjoint.
Les discussions sont archivés par nos soins si nous le souhaitons. Je ne sais pas si nous sommes nombreux à le faire. Grâce à ta question j'ai constaté que j'avais encore accès à "mes" archives d'il y a 2 ans.

Pogonophile a écrit:Concernant Pronote, je ne demanderais qu'à pouvoir effectivement utiliser un logiciel fourni par notre employeur. D'ailleurs il existe. Il faudrait juste qu'il montre le dixième de sa performance.

Je suis certain que si notre employeur mettait les moyens qui sont donnés à pronote à un logiciel fourni nous aurions un super logiciel mais il ne le fait pas…
En effet combien reçoit index education de la part des établissements ? Un établissement de 50 profs qui a pronote hébergé va payer 1 000 €/an comme c’est souvent couplé avec EDT on arrive à 2 000 €/an.
Sur le site d'index education ils parlent de plus de 10 000 établissements cela fait entre 10 et 20 millions par an et je pense que c’est une estimation basse.

Pogonophile a écrit:L'Etat a délaissé le champ de ses applications, externalise le travail en employant des sociétés privées pour monter des fiascos comme Sirhen (300 millions d'euros dépensés en pure perte) .

Je suis d’accord avec cela mais moins avec la suite :

Pogonophile a écrit: l'accident industriel du LSU (qui n'offre toujours pas d'accès aux familles, et ne permet toujours pas d'accéder aux années antérieures, alors que c'était précisément sa fonction) .

Dans notre académie nous avons via les téléservices aux LSU et en tant que parents je vois les bulletins de CM2 de mon enfant ainsi que la 6e et la 5e

Alors c'est variable selon les académies, et bien inquiétants...
Enfin, l'utilité de la chose reste peu évidente.

https://www.societe.com/societe/index-education-384351599.html

Présentation de la société INDEX EDUCATION

INDEX EDUCATION, société par actions simplifiée à associé unique est en activité depuis 27 ans.
Implantée à MARSEILLE 13 (13013), elle est spécialisée dans le secteur d'activité de l'edition de logiciels applicatifs. Son effectif est compris entre 100 et 199 salariés.

Sur l'année 2017 elle réalise un chiffre d'affaires de 16 947 000,00 €.

Le total du bilan a augmenté de 23,36 % entre 2016 et 2017.

Societe.com recense 7 établissements et le dernier événement notable de cette entreprise date du 17-01-2018.

Index Education Developpement est président de la société INDEX EDUCATION.

Le fondateur: https://www.scorefact.com/nomination-olivier-calderon/

(Notons cet intéressant article de 2011 http://streisand.trollab.org/reflets.info/PRONOTE-des_millions_de_donnees_personnelles_d_%C3%A9tudiants_exposees.html ).

pogonophile a écrit:La RGPD et ce qu'on peut faire ou pas sur Pronote, perso je n'y comprends absolument rien, comme les trois quarts de mes collègues, donc je wait and see.
Le fait de ne pas pouvoir échanger avec un collègue n'a pas de sens, sauf à considérer comme problématique le fait que la conversation ne soit pas détruite immédiatement ("ce message s'auto-détruira..."), et soit accessible à d'autres... ce qui n'est pas le cas.

Il y a conflit entre le RGPD et le secret des communications, conflit qui sera peut-être tranché par la jurisprudence. En attendant, répondre à toute demande en ce sens que ces messages sont couverts par le secret des communications et donc pas concernés par le RGPD me semble suffisant.

Si le RGPD devait l'emporter, cela interdirait toute communication par mail au sujet de quiconque, ce qui semble problématique.