Étiquette : Vos contributions

En matière de libertés individuelles, le système d’information développé par le ministère de l’éducation nationale n’est sans doute  pas le plus dangereux de tous ceux mis en place en France ces dernières années. Cependant, parce qu’il porte sur l’ensemble de la population en âge scolaire, qu’il s’agit très majoritairement de mineurs, que la technologie utilisée (identifiant national unique, bases et entrepôts de données, interopérabilité, …) offre toutes les possibilités d’exploitation d’une masse considérable de données incontestablement personnelles et souvent sensibles, cela nous incite à l’examiner avec la plus grande attention.

Son examen n’est pas achevé, mais nous estimons disposer de suffisamment d’informations pour pouvoir mettre en évidence un certain nombre des risques inhérents à un tel système pour les droits et libertés des jeunes. Cela devrait nous aider à réfléchir à l’orientation des actions à entreprendre, ce qui constitue l’objectif principal de ce document (pages 8 à 16).

Auparavant, nous rappellerons succinctement les caractéristiques essentielles du système d’information actuel (pages 1 à 5) et les risques qu’il porte (pages 6 à 8).

                                                                                   François Nadiras, Claude Poulain[1]

 

Les contours du système en cours d’installation

Une volonté affichée de « mettre les TIC au service du système éducatif »

Autour de l’année 1995, le ministère de l’éducation nationale a décidé de « profiter pleinement des opportunités offertes par les technologies de traitement de l’information et des communications ». L’objectif était d’enregistrer toutes les informations relatives à la scolarité, à la gestion administrative, aux établissements, au personnel et au budget, dans des bases de données accessibles via des micro ordinateurs connectés. Outre le « zéro papier » (dit aussi « dématérialisation ») que l’on retrouve dans tous les services publics ou privés de grande taille, le ministère de l’éducation nationale[2] (MEN dans le reste du texte) avait l’ambition d’aller beaucoup plus loin en intégrant le recours à l’informatique dans l’activité d’apprentissage elle-même : exercices et  ressources pédagogiques, e-learning, coaching par messagerie, environnement numérique de travail, etc[3]. Nous nous cantonnons ici au seul système d’information sur les élèves[4].

Le référencement individuel de chaque élève

Dès son entrée dans le système éducatif, et pendant tout le temps qu’il  y passera sont enregistrés : les données d’état civil – nom, prénoms, date et lieu de naissance –, un Identifiant National Elève (INE), ainsi que les noms et adresses des parents (responsables légaux). Chacun des 13 millions d’élèves, apprentis ou étudiants inscrits dans un établissement d’enseignement, qu’il soit public ou privé, dépendant de l’éducation nationale[5], de l’enseignement supérieur[6], du ministère de l’agriculture[7], de celui de la santé[8] ou du travail[9], sera donc répertorié individuellement. Ce socle d’information est initialisé lors de la première inscription de l’élève, le plus souvent en maternelle ou en primaire, via une application dite « Base élèves 1^er degré » (BE1D) alimentée par le chef d’établissement ou sous sa responsabilité.

A partir du collège les ajouts d’informations vont être nombreux tant sur la famille de l’élève que sur l’élève lui-même : pour la famille, seront enregistrées les professions du père et de la mère (avec utilisation de la nomenclature des Catégories Socioprofessionnelles, PCS)[10], la composition de la fratrie, pour l’octroi éventuel d’une bourse, le niveau de revenu,…les adresses téléphoniques, Internet et postale codée grâce à un maillage du territoire en communes et en quartiers. Pour les élèves, les informations proprement scolaires : établissements, classes, options, résultats des évaluations, notes, appréciations, compétences validées, santé, absentéisme, sanctions et punitions, réussite aux examens[11], … Pour l’instant ces enregistrements informatiques viennent le plus souvent « doubler » les livrets, dossiers, registres, fichiers locaux, etc., qui existent depuis longtemps mais l’ambition est qu’ils remplacent progressivement tous ces papiers. D’ores et déjà, la gestion et le pilotage s’appuient sur ces fichiers ce qui contraint l’administration à faire figurer tous les élèves dans le système. Le Conseil d’Etat a beau avoir rappelé que la loi « Informatique et libertés » prescrit un « droit d’opposition » à figurer dans ce fichier, l’option prise par le MEN le contraint à tout faire pour empêcher  son exercice[12] ; et lorsque des directeurs refusent de « remplir base élèves » ce sont les inspecteurs ou leurs assistantes qui le font : même si c’est partiel ou erroné, il faut qu’il y ait « quelque chose » dans la base pour que l’élève « existe »[13] !

En 2011, il y avait 25.000 serveurs dans les établissements dans le cadre des « Environnements Numériques de Travail ») ; 3.500 serveurs dans les Académies centralisent les « bases élèves » des 50.000 établissements concernés (publics et privés, primaires et secondaires) et en constituent  des extraits  dans 32 « Bases Elèves Académiques ».  Au niveau national, des fichiers sont constitués pour les études statistiques, les prévisions et le pilotage.

Un seul système pour la scolarité, la gestion et le pilotage…

Un deuxième choix tout aussi structurant a été fait : celui de l’unicité du système d’information sur les élèves. Il devra permettre le partage et la circulation des informations entre tous ceux qui en ont besoin, qu’ils soient enseignants, gestionnaires ou comptables.  Ce choix n’est pas sans conséquences dans la mesure où ces trois catégories ont des points de vue assez différents[14].

Pour permettre ce partage entre autant de participants aux préoccupations différentes il fallait se prémunir d’un effet « tour de Babel ». A cette fin un corps de définitions et de codes a été édicté et chaque entité a été dotée d’un unique identifiant[15]. A titre d’exemple, à chaque membre du personnel est affecté un “NUMEN”, à chaque établissement un « RNE », … à chaque élève un « Identifiant National Elève » (INE) ; ce numéro est  attribué par un répertoire dit «Répertoire  National des Identifiants Elèves »(RNIE)  situé au ministère, numéro qui va le suivre tout au long de son parcours scolaire, y compris le cas échéant, dans l’enseignement supérieur ; il permettra aussi, à chaque moment du parcours, de rassembler les informations qui lui sont propres dans les différents fichiers et bases de données[16].

… d’où la nécessité  d’un dispositif de sécurité complexe

Mais le principe d’un tel partage doit être compatible avec les exigences de confidentialité. En effet, la quasi totalité des informations enregistrées dans les bases de données sont des « données personnelles » au sens de la loi « Informatique et Libertés » et beaucoup d’entre elles sont « sensibles ».  Dès lors, la conciliation entre la confidentialité et le partage sera d’autant plus difficile à garantir que le partage est voulu très large et les informations nombreuses et détaillées. Ceci est l’objet du système dit de « sécurité » mis en place par le ministère afin de limiter les accès aux seules personnes autorisées, pour une utilisation et une durée déterminées. Chaque accédant dispose d’un identifiant et d’un mot de passe personnel ; le cas échéant, si l’accès se fait par Internet, un dispositif est utilisé qui crée à chaque interrogation un nouveau mot de passe utilisable une seule fois.

Chaque accédant (chef d’établissement, CPE, professeur, comptable, inspecteur d’académie, etc.) ne doit posséder que les droits d’accès  aux  seules catégories d’informations  correspondant à sa fonction. Ces tables d’autorisation ne sont pas publiques et les témoignages rapportés par les utilisateurs sont parcellaires et/ou contradictoires. La rigueur avec laquelle ce système de sécurité est géré est naturellement un aspect essentiel pour l’appréciation de l’ensemble du système d’information.

Mais le système de sécurité mis en place et géré par le MEN doit aussi composer avec ceux d’autres applications informatiques d’initiative locale ou d’éditeurs extérieurs. Pour les « Environnement Numérique de Travail » (ENT) qui se mettent progressivement en place, une dizaine d’éditeurs se partagent le marché et ils ont chacun leur façon propre de gérer la sécurité. Ils ont toutefois en commun de déléguer l’attribution et la gestion des droits d’accès au chef d’établissement : cela suppose que ce dernier ait une connaissance très fine de tous ses fichiers, de toutes les utilisations possibles par les personnels de son établissement, que ce soit par utilisation directe ou par croisement de variables. Connaissance également de ce qu’il veut autoriser et interdire, surveiller et ignorer, etc. [17]. Il n’est  raisonnable de donner une telle responsabilité au chef d’établissement que si leur est dispensée  une formation et une assistance à la hauteur des besoins. On verra plus loin qu’il subsiste de sérieuses interrogations à ce sujet.

 

Une opacité voulue ?

L’absence de transparence que l’on vient d’évoquer s’agissant de l’attribution des droits d’accès aux données se retrouve en fait pour l’ensemble du système d’information. Pour mettre en place et faire fonctionner les applications, le MEN  diffuse des présentations et des modes d’emploi mais on y chercherait vainement les précisions sur les catégories de personnes qui bénéficient de droits d’accès, sur quelle étendue de temps et pour quel usage. Ecrits par les techniciens, ceux-ci ne se sont sans doute pas sentis autorisés à donner les règles d’utilisation. On les comprend, mais personne d’autre ne l’a fait.

En effet, les données des élèves sont collectées et/ou exploitées par plusieurs dizaines d’applications informatiques en relation les unes avec les autres. Ceci ne peut fonctionner qu’avec des dispositifs de documentation détaillés aussi bien sur les types de données (dictionnaire de données) que leurs relations (modèles de données, cartographie de système,…), tables d’autorisation (annuaire LDAP). Tout est là qui permettrait de répondre aux questions que nous nous posons, encore faudrait-il que le ministère le souhaite[18]. Le MEN gère près d’une centaine de sites web. Le plus général (www.education.fr) est destiné au grand public, un portail est destiné aux professionnels de l’éducation (eduscol.education.fr), un « extranet » traite des informations plus pratiques et techniques (www.pleiade.education.fr), un autre site très détaillé est celui de l’école supérieure de l’éducation nationale, de l’enseignement et de la recherche destinée à la formation des cadres  (www.esen.education.fr)… et une trentaine de sites académiques apportent souvent des informations complémentaires sur telle ou telle application…  Parmi les milliers de pages contenues dans ces sites, nous[19] avons recherché  toutes les informations relatives au système d’information sur les élèves, son organisation, son contenu, les droits d’accès et leur administration. Nous n’avons trouvé que deux documents, l’un sur le dossier scolaire numérique (DSN), l’autre sur le guide juridique du chef d’établissement.

Le site de l’école des cadres, à l’occasion de la description du « film annuel  des personnels de direction » prend comme exemple de fiche, celle qui est consacrée au dossier scolaire[20]. Après avoir décrit le livret scolaire sur papier, elle annonce en ces termes le « dossier numérique » :

«  b) Le dossier « numérique » 

Il est aujourd’hui intégré à la base élèves, clé de voûte de l’application SCONET. De façon non exhaustive, on y saisit (ou récupère) les données relatives aux domaines suivants : – identification de l’élève ; – scolarité – responsables ; – adresse élève ; -scolarité – historique ; -diplômes – certifications ».

Non seulement on n’a connaissance que des « domaines » mais, pour ajouter à l’imprécision, ce n’est que « de façon non exhaustive ».

Sur les droits d’accès on lit :

«  Dans SCONET[21] [qui alimente le dossier], l’accès à la base élève n’est accordé qu’à un nombre restreint de personnes, avec des droits limités ».

Et, plus loin :

« C’est le chef d’établissement qui gère la délégation de ces droits de consultation ou de mise à jour dans le module « DELEG-CE« [22].

Quant aux délais de conservation, on apprend :

« 4. Conservation et archivage … La durée d’utilité administrative des dossiers scolaires est de 50 ans »[23].

Comme vu plus haut, le rôle clef est ici encore dévolu au chef d’établissement en matière d’administration des droits d’accès. On s’attend dès lors à ce que le « Guide juridique du chef d’établissement » donne les instructions dont il a besoin. En effet, une fiche y est explicitement consacrée : « Fiche 21. : création et gestion des traitements de données à caractère personnel »[24].  En dix pages, on peut lire un résumé de la loi « Informatique et libertés » avec, de-ci de-là, une référence aux applications scolaires : par exemple que le droit d’opposition ne s’applique pas aux applications du secondaire (en omettant de signaler qu’il s’applique aux données du primaire…) ; que les données relatives à l’identité de l’élève  ne doivent pas être conservées au-delà du départ de l’élève de l’établissement (ce qui peut être vrai dans la base de l’établissement mais ne l’est ni dans la base académique qui les conservent dix ans ni dans le répertoire national qui les conservent cinq ans après la sortie de l’élève…

Une autre fiche traite de la sécurité (la n°18) mais elle ne traite que de la sécurité physique (incendie, intrusion, …), celle des fichiers n’y est même pas évoquée…

Les règles d’enregistrement, les règles d’accès, d’exploitation, de diffusion et de conservation ont été, pour la plupart d’entre-elles, déclarées à la CNIL puisque telle est la loi. Pourtant, aucun document public sur aucun des multiples sites Internet officiels du ministère ne donne la liste des informations détenues, des accès autorisés pour chacune d’elles, ni de leurs destinataires ou de leurs durées de conservation.

 

Les risques sur les droits et les libertés des élèves et de leurs parents

En matière de droit et de libertés, quatre risques ont été identifiés :

-  La divulgation accidentelle ou malveillante d’informations confidentielles,

-   l’ « emprisonnement » de l’élève dans son passé,

-   une orientation de plus en plus automatique,

-   une utilisation des informations pour des finalités différentes de celles pour lesquelles elles ont été conçues et  autorisées.

Les risques de divulgation des informations sur les élèves sont fonction de leur abondance, de la complexité du système de sécurité, du nombre d’acteurs concernés qu’ils soient bénéficiaires d’autorisations d’accès ou gestionnaires de ces autorisations. Les données scolaires peuvent être convoitées par les entreprises d’aide aux devoirs, les données simplement administratives (nom, adresse) pour divulguer où sont scolarisés les enfants de telle ou telle personne[25], les informations  scolaires pour renseigner des employeurs[26], …. L’inquiétude  porte moins  sur les dispositifs techniques de sécurité – le monde bancaire utilise les mêmes –  que sur les pratiques d’acteurs moins sensibilisés et moins formés que le personnel des banques à l’importance du respect de la confidentialité des données personnelles. Et on a vu que la formation juridique dispensée aux chefs d’établissement par l’école des cadres n’était pas à la hauteur des enjeux.

Le fait de pouvoir afficher facilement sur un écran les grandes lignes du passé scolaire d’un élève donne à ce passé un poids qui risque d’inciter le consultant à l’y enfermer. La « profondeur » de ce passé joue  un rôle important : selon qu’il s’agit de la seule année précédente ou des années depuis le cours préparatoire, le risque est différent. A ce titre, le dossier scolaire numérique(DSN) et le livret personnel de compétence (LPC) apparaissent spécialement dangereux. Pour les fichiers « Bases élèves », le principe énoncé par le MEN est celui de la segmentation : les données scolaires de la base du primaire (BE1D) ne sont pas transmises à la base du secondaire (SCONET) qui ne les transmet pas au supérieur (APOGEE ou SISE)… Une telle segmentation, (si elle est effective[27]), limite le risque « d’enfermement » dans le passé. Au contraire, avec le DSN et le LPC,  l’objectif est d’appréhender la totalité du parcours scolaire, de la maternelle au supérieur le cas échéant. Ils sont intrinsèquement plus dangereux[28].

Le risque de l’orientation automatique est déjà avéré. Dans l’Application Post Bac (APB), les dossiers de candidature aux IUT font l’objet soit d’un « premier tri » par programme soit d’un classement faisant appel à des « programmes d’aide à la décision » : avec tout ce qu’il y a dans les bases sur l’élève, ses performances, les professions de ses parents, s’il est boursier ou non, … la « machine » peut prendre de plus en plus de décisions[29].

Enfin le risque de détournement de finalité n’a rien de théorique.

Même si toutes les procédures prévues par la loi « Informatique et libertés » n’ont pas toujours été respectées, on ne peut contester que le système d’information du MEN ait été conçu  pour des finalités scolaires[30]. Par contre, en raison de la soi-disant montée de la délinquance juvénile il y a aujourd’hui des textes « obligeant » ( ?)  l’éducation nationale à participer à la « prévention de la délinquance ». Par exemple, l’absentéisme qui n’était dans les fichiers que pour aider enseignants et directeurs dans leurs suivis est devenu une donnée susceptible d’aboutir à un retrait des allocations familiales. Un autre exemple est donné avec le « décrochage » : l’académie doit fournir à une « plateforme locale de suivi et d’appui aux décrocheurs »  présidée par une personne désignée par le préfet leurs noms et leurs adresses… Même si cette « plateforme »  ne parvient pas à les « raccrocher » ou à leur donner un emploi (déjà trop rare pour ceux qui n’ont jamais décroché…), il restera un fichier avec noms et adresses et quelques autres informations qui pourraient servir au cas où les jeunes seraient tentés par la délinquance. Peu de temps avant de quitter son poste, le ministre Luc Chatel déclarait à la presse qu’il avait communiqué aux préfets les noms et adresses de tous les « décrocheurs » du pays…

Ces deux façons de détourner les finalités des fichiers sont importantes parce qu’elles sont nationales, introduites dans la loi elle-même. Il est à craindre que les détournements locaux, vers la police, la mairie ou la gendarmerie soient plus nombreux. …  Récemment, dans le Var, des parents d’élèves se sont aperçus qu’une direction de collège envoyait un e-mail à la mairie (à une « cellule de citoyenneté et de tranquillité publique » !) ainsi qu’à la gendarmerie locale à chaque punition (y compris les infractions au règlement intérieur du collège) infligée à un élève[31]. Certes il n’y a pas besoin forcément d’informatique pour ce genre de « service » mais cela facilite quand même le travail.

Est-il besoin de préciser que ces risques ne pèsent pas de la même façon sur les « bons élèves » et sur les « élèves en échec scolaire[32] ». Pour le bon élève, le fichage dont il est l’objet sera invisible ou indolore. Mieux encore, il pourra apprécier que de la maternelle à la grande école qu’il va probablement intégrer, ses informations administratives transitent en douceur et sans déformation (son nom n’est jamais écorché même s’il est difficile à transcrire..), il passe sans difficulté de l’école primaire au meilleur des collèges du secteur, puis plus tard au meilleur lycée, aux classes préparatoires, etc. Passant dans le supérieur, il va apprécier que toutes les informations à faire figurer au dossier de sa candidature soient automatiquement rassemblées et transmises à l’établissement de son choix.  Ses notes sont bonnes depuis toujours, les professions de ses parents « honorables », son parcours sans faute, ….il n’a rien à cacher ! L’effet sera différent pour « l’élève en difficultés » qui sera sous la surveillance des fichiers de notes et d’appréciations et, plus encore, pour le « cancre » qui sera, en plus, sous la surveillance du fichier des absences, des punitions et du décrochage…

 

Les axes de contestation et d’actions à entreprendre

Ce surcroit de surveillance exercée sur les élèves et les établissements scolaires n’a évidemment pas échappé aux enseignants. Des directeurs du primaire ont été les premiers à réagir dans la mesure où le travail de saisie leur incombait ce qui leur permettait une prise de conscience plus directe[33].

La façon dont « Base élèves » a été introduite, l’absence d’information sur ce qu’il y avait en arrière plan  (le répertoire national des identifiants élèves, les bases établissements du secondaire, la base académique qui les rassemble,  etc.)  a rapidement inquiété les directeurs, les associations de parents, les syndicats d’enseignants, les associations de défense des droits et des libertés… La manière dont l’informatisation s’est faite, à coup d’expérimentations régulièrement généralisées sans évaluations concertées, les réponses aussi vagues que se voulant rassurantes fournies par les inspecteurs, les menaces et sanctions prises contre les « désobéissants », tout ceci devait engendrer une contestation. Elle a été et reste, pour l’essentiel, l’œuvre d’un collectif de directeurs et professeurs du premier degré, de parents d’élèves, de quelques professeurs du second degré, parfois de citoyens militants : le Collectif National de Résistance à Base Élèves (CNRBE[34]) créé en 2008.

A partir d’un constat assez largement partagé, diverses positions ont été avancées pouvant déboucher sur des modalités d’action différentes.

 

La contestation de principe : « on ne fiche pas les enfants ! »

Son expression la plus claire a été formulée dans un article intitulé « On ne fiche pas les enfants », publié dans la revue de la LDH « Hommes & libertés » (N° 146 avril/mai/juin 2009). Reprenant largement les arguments développés par le collectif « Pas de zéro de conduite pour les enfants de moins de trois ans », son auteur (François Nadiras, l’un des signataires du présent document) rappelle que le premier rôle de l’école est d’enseigner les enfants et non de les classer ou de les trier. L’enfance est une période fondamentale dans le développement et la formation d’un individu, et la première fonction de l’école est d’y contribuer.

L’auteur va plus loin en considérant que l’on ne doit pas enregistrer d’informations sur le comportement ou les performances des jeunes, car il est prématuré d’évaluer les capacités d’un enfant au niveau de l’école : ficher un être en développement risque de le figer. Le témoignage d’Albert Jacquard constitue sans doute l’une des meilleures illustrations de cette constatation : « J’ai raconté au début de ce livre[35]  comment, passant durant l’Occupation sans livret scolaire d’un lycée à un autre, j’ai saisi au bond l’occasion de changer la définition que les autres donnaient de moi. J’en ai gardé la conviction que la liberté de chacun ne peut s’épanouir que si la société ne possède pas trop d’informations sur lui. “Je suis celui que l’on me croit », dit un personnage de Pirandello. Mieux encore serait : «  Laissez-moi devenir ce que je choisis d’être.  » ».

Mais depuis la Libération, l’Etat n’a eu de cesse d’étendre ses interventions (et donc ses curiosités) sur sa population. A partir de l’enregistrement de l’état-civil  que la France a été le premier pays à instaurer (c’était au XVIème siècle !), les sociétés du welfare vont multiplier les fichiers pour suivre la conception des enfants à naître, leur santé lors de la petite enfance, leur scolarisation, le suivi de l’enfance en danger, leur protection judiciaire, leur entrée dans l’emploi, … . En contre partie de ses curiosités, l’Etat  offre des services que même les plus libéraux ne contestent plus.

Les enfants et l’école sont insérés dans cette société de plus en plus observée, réglementée et administrée. L’Etat a décidé que l’instruction était obligatoire ce qui, en pratique, revient à rendre l’école obligatoire (il n’y a que quelques dizaine de milliers d’enfants instruits à domicile même si  ce nombre progresse rapidement…). Si l’école est obligatoire, l’Etat veut savoir si l’obligation est respectée et, le cas échéant, vérifier qu’il n’attribue pas à tort des allocations familiales, des primes de rentrée, des allègements fiscaux…  Comment échapper aux questionnaires, aux  formulaires, à ce qu’on appelle familièrement « la paperasse » ? Cette paperasse est, le plus souvent, nominative. Et aujourd’hui, cette paperasse, comme toutes les autres, se traite avec un ordinateur. Bien avant « Base élèves », de nombreux directeurs d’écoles avaient recours à l’informatique afin de simplifier leur travail de gestion. Il en résulte que le choix n’est pas entre  fichage et non-fichage, il est entre fichage libre et fichage obligatoire et encadré par le ministère. Dans la société qui se met en place, la seule possibilité qui subsiste pour les parents qui refusent le fichage de leurs enfants est de ne pas les envoyer à l’école [36]!

Les difficultés surviennent lorsqu’il y a mélange entre l’enregistrement légitime et/ou acceptable d’informations administratives et d’autres, sociales, médicales, scolaires, comportementales qui peuvent s’apparenter à du fichage. L’affaire « Base élèves » ne serait sans doute pas produite si des techniciens du ministère n’avaient pas voulu profiter des obligations administratives  pour ajouter des questions de leur cru, sans aucune justification administrative ni prescrites par aucun texte.

Mais la question est beaucoup plus délicate dans le secondaire où les données administratives sont très minoritaires par apport aux données personnelles introduites à l’initiative des enseignants, pour les notes et les évaluations, les appréciations, les compétences, les absences, les punitions, etc.  Cette fois, c’est souvent la combinaison ou le croisement de données entre-elles qui peuvent aboutir  à un véritable fichage. Il ne faut pas se limiter à l’examen de variables qui seraient acceptables mais aussi à des traitements inacceptables sur des variables croisées entre elles[37].

La contestation sur le plan juridique

Les contestations du système d’information sur le plan juridique ont été et restent nombreuses.

Dans l’échelle des textes, le plus élevé est celui de la Convention internationale des droits de l’enfant qui a été ratifiée par la France et qui s’impose donc à elle. Cette convention a la particularité d’avoir prévu un Comité des Droits de l’Enfant qui examine, tous les deux ans, comment chacun des Etats signataires applique et respecte la convention. Elle a été saisie par le CNRBE fin 2008 au sujet de Base Elèves et du répertoire d’attribution du numéro national élève. Après audition des parties elle a rendu ses observations en juin 2009[38].  L’article  51 rappelle en termes généraux que la loi « Informatique et libertés » doit être respectée mais l’article 50 traite explicitement des fichiers scolaires :

« 50. Le Comité note avec inquiétude la multiplication de bases de données dans lesquelles des données concernant les enfants sont collectées, stockées et utilisées pendant de longues périodes pouvant interférer sur le droit des enfants et de leurs familles à la protection de leur vie privée. S’agissant de Base Elèves 1er degré, le Comité note avec satisfaction que l’Etat partie a retiré des données sensibles initialement collectées et enregistrées dans cette base de données. Cependant, les objectifs de cette base de données et son utilité pour le système éducatif n’étant pas clairement définis, le Comité est préoccupé par l’utilisation de cette base de données à d’autres fins telles que la détection de la délinquance et des enfants migrants en situation irrégulière et par l’insuffisance de dispositions légales propres à prévenir son interconnexion avec les bases de données d’autres administrations. Enfin, le Comité est préoccupé de ce que les parents ne peuvent pas s’opposer et ne sont souvent pas informés de l’enregistrement de leurs enfants et pourraient en conséquence être réticents à inscrire leurs enfants à l’école »[39].

Sans remettre en cause le fait d’avoir des fichiers sur des enfants, le rapport invite la France à mieux  respecter les droits des enfants. Le Conseil d’État se placera sur une position analogue dans deux arrêts rendus en juillet 2010 : saisi en juin 2008[40] sur les deux mêmes sujets, « Base Elèves » et la  « Base Nationale des Identifiants Elèves », il n’a contesté ni leur légalité ni leur opportunité, mais il a relevé un grand nombre de manquements à la loi « Informatique et libertés ». Une revue juridique a titré : « Le Conseil d’État donne une leçon d’informatique et libertés au ministère de l’éducation nationale ». On peut se demander pourquoi la CNIL, dont c’est le rôle,  ne l’avait pas fait plus tôt[41]. – ce qui met en évidence l’insuffisance dans notre pays de la  protection  des individus par rapport à l’administration.

A l’heure actuelle, plusieurs plaintes sont portées devant les tribunaux administratifs pour entrave à l’exercice du droit d’opposition à figurer dans les fichiers de l’éducation. Un premier jugement du Tribunal Administratif de Bastia[42] « … enjoint au recteur de l’académie de Corse de réexaminer la demande de Mme C. » qui demandait à exercer son droit d’opposition. Ces actions sont importantes. Etant donnée la place tenue par ces fichiers dans sa gestion, le ministère se trouverait dans une situation délicate.

Plusieurs organisations ont cru pouvoir contester la légalité des appariements de fichiers effectués par le MEN entre les différents fichiers sur les élèves dont il dispose. En effet, la loi Informatique et libertés, dans sa version de 1978 tout au moins, prêtait une attention particulière aux rapprochements de fichiers au moyen d’identifiants de personnes : il fallait alors des justifications détaillées pour que l’autorisation soit délivrée par la CNIL. Ces appariements ne sont pas niés par le ministère qui a même tendance à les mettre en avant puisqu’ils permettent aux fichiers de s’enrichir les uns les autres .….De fait, le ministère n’a aucune raison de s’en cacher puisque depuis la révision en 2004 de la loi « Informatique et libertés » il n’est plus nécessaire de demander une autorisation à la CNIL pour interconnecter des fichiers relevant de la même « autorité publique » et poursuivant le « même intérêt public » : la gestion et le pilotage du système scolaire.

Ces actions sur le terrain juridique, indépendamment de leurs suites, ont le grand mérite de manifester l’importance et la persistance des inquiétudes et du refus d’un tel système d’information de taille considérable, dangereux et opaque. Mais Il n’est pas certain que ces actions permettent de parvenir à une solution acceptable. On a déjà rapporté comment la reconnaissance du droit d’opposition par le Conseil d’Etat il y a  près de deux ans n’a, de fait, rien changé. De plus, les délais de jugement se comptent en années, années pendant lesquelles le système continue sa mise en place et son développement.

 

Le lobbying politique

L’action militante du CNRBE, appuyé parfois  par des syndicats d’enseignants, n’a pas négligé l’information d’instances politiques, des municipalités ou, plus significativement des conseils généraux ou régionaux (PACA, Rhône-Alpes, Corse, Paris, Midi-Pyrénées…) dont des vœux réclament la destruction de « tous les fichiers informatisés comportant des données nominatives sur les élèves ou leurs parents sorties de l’école ou de l’établissement scolaire ».

Là encore, ces actions et la multiplication des vœux de ce type sont importantes pour faire connaître une situation largement ignorée et les dangers qu’elle recèle. Mais le système, lancé dans les années 1990 est l’œuvre de la bureaucratie et de la technocratie du ministère. Il n’est influencé que très marginalement par le pouvoir politique. Le système  a été lancé  sous un gouvernement socialiste et  depuis, plusieurs ministres sont passés de sensibilité politique différente. Avec le récent changement de majorité, s’il est attendu d’importants changements dans le domaine de l’éducation (sur les effectifs, les évaluations, les rythmes scolaires, …) rien n’indique une remise en cause du système d’information proprement dit.

Les actions pour des modifications du système d’information

Le principe s’exprime sous la forme : « les informations nominatives sur les élèves ne doivent pas sortir de l’école ». Cette position, adoptée très tôt par le CNRBE a été reprise par beaucoup de syndicats locaux, par la LDH, par les vœux exprimés sur le sujet par les collectivités locales.

Dans le premier degré, ce cantonnement à l’école était la règle jusqu’à l’apparition de l’application « Base élèves » à partir de 2004. Ce ne sont ni les fichiers ni l’informatique qui sont refusés mais le fait de les faire remonter à l’académie, voire au ministère.

Ce principe présente toutefois plusieurs difficultés.

-   D’abord, ceci semble admettre que ces données, pourvues qu’elles soient enregistrées localement et qu’elles y restent, sont toutes légitimes et inoffensives.  On peut l’admettre aujourd’hui pour les données de « Base élèves » 1er degré dont les données les plus sensibles ont été retirées suite à la vague de protestations  qui s’est exprimée. Mais il en va tout autrement pour les données qui sont dans les bases du secondaire où elles sont beaucoup plus nombreuses, diverses et sensibles. Le transfert d’informations sur les punitions et sanctions à la mairie et à la gendarmerie cité plus haut (p.7) se fait bien à partir de la base de données locale et non à partir d’une base académique ou nationale. La position du CNRBE pour lequel les fichiers ne doivent pas sortir de l’école n’est compréhensible que si l’on sait qu’il est constitué et animé par des directeurs ou ex-directeurs du primaire : les bases élèves des établissements du secondaire sont en elles-mêmes problématiques dussent-elles rester purement locales.

-   Ce principe postule que la base de données complète (donc  nominative) se trouve physiquement dans l’établissement et seulement là. Pour cela il faut une machine et/ou un serveur local avec tous les problèmes techniques (sauvegardes, mise à niveau des versions, …) et de sécurité. Il n’y a plus une grosse « bombe » au rectorat mais une prolifération de petites « bombes » dans les établissements : la probabilité d’une explosion est en forte augmentation.

-   Cette position relève d’une conception libertaire ou libérale, l’école ayant son propre fichier « clients » dont elle n’a pas à révéler la teneur à l’administration. On peut avoir une autre attitude consistant à accepter (ou même, vouloir) une régulation pour appliquer des politiques définies  nationalement dans le cadre d’un service public mandaté par la représentation nationale.

Sans doute sensible à ce dernier aspect, la LDH a avancé une solution technique censée satisfaire à la fois les besoins locaux, ceux de l’administration du ministère et de ses échelons académiques. Ne voulant pas contester au ministère le droit de profiter des acquis de l’informatique pour assurer ses différentes taches, la LDH a demandé d’abord la suppression de l’INE, l’identifiant national élève. Elle l’a fait au motif qu’un tel identifiant ouvrait la porte aux interconnexions entre les multiples fichiers contenant des informations sur les élèves. Une variante a été exprimée consistant à conserver l’INE au niveau local à condition qu’il soit crypté (de façon « irréversible ») au moment même où les données sortent de l’établissement pour être remontées dans les bases du rectorat. Ceci visait à permettre toutes les études et exploitations sur des données personnelles tout en empêchant  les utilisations des données qui seraient non seulement personnelles mais, de plus, nominatives[43].

Mais ces solutions techniques trouvent rapidement leurs limites. Tout d’abord, la suppression de l’INE n’interdit pas en elle-même les appariements, elle ne fait que les rendre plus compliqués, plus lents et plus coûteux. Les programmes savent aujourd’hui apparier des fichiers sur le nom, le prénom et la date de naissance. Quant à l’INE crypté, il ne peut satisfaire qu’une partie des utilisations prévues. Si le MEN a entrepris la construction d’un répertoire c’est bien pour avoir les identifiants fiables dont il estime avoir besoin pour sa gestion. Le crypter revient à le rendre inutilisable à cette fin. A quoi serviraient les numéros d’immatriculation des véhicules s’ils étaient cryptés de façon à empêcher de remonter à leur propriétaire ?[44]

Sur le fond, la question est de savoir si la régulation exercée par le ministère via ses académies peut se réaliser sur des données individuelles anonymes.  Le ministère répond que non, qu’il a besoin des noms et des adresses  et, compte tenu de ce qu’il veut faire et des choix qu’il a opéré, sa réponse semble cohérente.  Par exemple, si les moments importants d’une telle régulation sont ceux du passage des élèves d’un cycle à l’autre, il faut bien arriver, in fine, à délivrer les noms et adresses des élèves, des parents, et les communiquer aux établissement d’arrivée ; les bourses, même si elles sont gérées par les établissements sont mandatées et doivent être contrôlées (c’est de l’argent public) par le rectorat; pour savoir si les élèves sortants trouvent ou non du travail, il faut bien avoir leur nom et leur adresse pour leur demander ;  pour organiser les examens (DNB, BAC, CAP, …), inscrire, répartir entre les centres d’examen, publier les résultats, etc. les noms, prénoms, adresses sont indispensables… Même si, dans beaucoup de cas l’accès à l’identité n’est probablement pas utile, il est à craindre que dans beaucoup d’autres il soit nécessaire….

 

Propositions

Quelle attitude peuvent avoir  celles et ceux qui se préoccupent de sauvegarde des droits et des libertés des jeunes et de leurs parents ? Ne rien faire ne peut conduire qu’à la réalisation à plus grande échelle des risques identifiés : les fuites vont se multiplier au fur et à mesure que la gestion du système de sécurité se relâchera, le droit à l’oubli – qui nécessite des actions volontaires d’effacement sera négligé – pourquoi ne pas tout conserver puisque ça coûte de moins en moins cher ? -, l’orientation automatique se développera et les fichiers sortiront de plus en plus souvent de la sphère scolaire.

Premier point : obtenir un état des lieux

La loi française et, derrière elle, la Directive Européenne de 1995 sur la protection des données, sont très claires sur ce qu’elles appellent la loyauté de la collecte : la personne doit être informée des données que l’on enregistre sur elle, sur l’utilisation qui en est ou sera faite, sur ses droits d’accès, et de rectification des éventuelles erreurs.

On a vu que le droit d’opposition, celui de ne pas figurer dans les fichiers du primaire était systématiquement dénié aux parents qui en font la demande. Mais il en est pratiquement de même pour le droit d’accès à l’information. Au mieux, le chef d’établissement délivre une copie d’un écran de « Base élèves » ou de « SCONET » mais les parents ne savent rien, par exemple, sur les bases qui sont constituées dans les rectorats à partir des bases élèves des établissements ni sur les traitements et croisements effectués. A notre connaissance, aucun parent n’a jamais eu accès aux données relatives à leur progéniture contenue dans la « Base élèves académique » (BEA). Cette base rassemble toutes les « bases établissements » du primaire et du secondaire de l’académie. C’est donc une base stratégique en matière de gestion, d’étude et de pilotage dont il n’est pas acceptable que le contenu, les utilisations et les durées de conservation ne soient pas connus[45].

De façon générale, on est très loin de disposer de la liste des tables ou fichiers, de la liste des variables qu’ils contiennent, des codes qui sont utilisés (de leur niveau de détail notamment), de leur origine (une collecte ou un autre fichier…), de l’utilisation qui en est faite. Pourtant, comme on l’a vu, toutes ces informations existent dans la documentation des applications : il faut les rendre publiques.  Le fait de faire obstruction à ces renseignements est fondamentalement contraire à la loi « Informatique et libertés » et  constitue, en soi, un véritable problème de démocratie[46].

Le ministère doit donc rendre public ses informations sur ses fichiers scolaires soit en les publiant sur l’un ou l’autre de ses sites WEB soit en rendant accessibles les pages actuellement réservées aux personnels des rectorats. Mais si l’on veut que la prise de conscience des risques se réalise, et, derrière elle, leur prévention, il faut que les parents d’élèves et, souvent, les enseignants eux-mêmes, soient informés des informations collectées sur les élèves et sur leur utilisation. Le bon moment est probablement l’entrée dans l’établissement. De même que le règlement intérieur de l’établissement est distribué aux parents et aux élèves[47], le respect de la loi « Informatique et libertés » devrait imposer de distribuer la carte des informations collectées sur eux, leurs destinataires, leurs durées de conservation, les moyens d’exercer le droit d’opposition (pour le primaire), le droit d’accès et, le cas échéant, de rectification pour les autres cycles. Cette carte devrait également indiquer précisément quelles informations sont transmises au rectorat académique, au ministère et à l’extérieur (mairie, conseil général, conseil régional, préfecture, …) avec quelle fréquence, pour quel usage, avec quelles durées de conservation.

 

Deuxième point : l’analyse, la critique, la décision

Une fois cet état des lieux en main, on peut et il faut analyser les contenus à la lumière des autres principes de la loi « informatique et libertés » : examiner si les données personnelles collectées sont « strictement nécessaires, qu’elles sont « adéquates »   et proportionnées aux finalités », qu’elles ne sont conservées que pour la durée où elles sont nécessaires ; que les utilisateurs et les utilisations sont non seulement identifiés mais aussi, là encore, incontournables ; que les risques de divulgation sont correctement pris en charge ; …

Cette analyse est indispensable pour examiner la pertinence de l’enregistrement de certaines données par rapport aux gains de qualité de service procurés aux élèves et parents, aux personnels enseignants et aux gestionnaires. Et faire la chasse aux informations  trop dangereuses parce qu’en elles-mêmes stigmatisantes. Enregistrer le nom, la date de naissance, le numéro de téléphone des parents,  l’établissement et la classe, … ne permet pas, à nos yeux, de conclure au « fichage de la jeunesse». Par contre, il y a bien « fichage » lorsque l’on enregistre informatiquement les sanctions, les absences, le « décrochage », les incompétences, …  Entre ces deux extrêmes,  les mauvaises notes, les appréciations « tueuses », certaines professions (ou absence de profession) des parents[48], certaines adresses d’habitation, certains parcours, … peuvent avoir un pouvoir élevé de stigmatisation.

C’est par ce type d’analyse que l’on sort du « tout ou rien », et qu’on pourra, par une véritable consultation et un débat, déterminer entre l’administration et ses bénéficiaires un accord sur ce que les bases de données peuvent ou non enregistrer et sur ce qu’elles doivent ou non diffuser et conserver.

Est liée aux jugements précédents  la question des accès : qui peut consulter quelle information,  pendant combien de temps et pour quoi faire ?  Que peut voir et faire un chef d’établissement, un CPE, un professeur principal, un comptable, un surveillant, un parent d’élèves, un inspecteur, … Comme précédemment, il faut s’interroger sur la nécessité des accès de telle ou telle catégorie d’utilisateur. S’interroger aussi sur la durée pendant laquelle les accès sont ouverts.

Nul doute que ces questions ont été  discutées entre le MEN et la CNIL cette dernière ayant précisément pour rôle de contenir les souhaits des techniciens qui, spontanément, sont portés à en savoir le plus possible, le plus longtemps possible, pour le plus d’utilisateurs possibles… Mais de ces discussions et des compromis passés ni  les enseignants ni  les élèves ni  leurs parents ne savent rien. Ces analyses et critiques ont naturellement pour objectif d’éliminer un certain nombre d’informations et/ou d’en limiter les accès et les utilisations. Il y aura donc débat, voire affrontement, entre les bénéficiaires et  l’administration. Mais, par rapport à la situation actuelle, ce n’est plus un débat idéologique sur le fichage mais un débat sur des contenus.

Deux débats de ce type ont eu lieu, l’un sur la première version de « Base élèves », l’autre sur la Base Nationale des Identifiants Elèves (BNIE). A nos yeux, ils ont abouti l’un et l’autre à des progrès substantiels.

Quand « Base élèves » a commencé d’être mise en place en 2004, on a vu qu’elle comprenait, en plus des données d’état civil, toute une série d’informations supplémentaires aussi sensibles les unes que les autres.  Dès janvier 2008, une pétition en ligne a été lancée par un collectif rennais (plus de 2.000 signatures) et plusieurs associations (dont la FCPE et la LDH, …) se mobilisèrent. Huit mois plus tard, en octobre 2008, le MEN revenait en arrière et supprimait l’ensemble des variables contestées[49].

Pour la BNIE, créée en 2004, les critiques ont été transmises en 2009 au service du ministère qui en était chargé (la DEPP).  En novembre 2010, la commission du CNIS traitant des statistiques scolaires ayant entendu la CGT, le CNRBE et la LDH recommandait de transformer et de mieux encadrer cette BNIE. En mars 2012, le MEN créait un Répertoire National des Identifiant Elèves (RNIE) en remplacement de la BNIE : la durée de conservation passe de 35 à 5 ans après la dernière scolarisation, le lieu de naissance s’il est à l’étranger n’est plus noté que « hors de France », le recours au répertoire est encadré et les accès contrôlés et journalisés[50].  On peut certes regretter la lenteur et l’énergie qu’il faut déployer pour revenir à une situation simplement « normale » mais on ne peut nier que les situations peuvent s’améliorer dès lors qu’il y a des arguments solides et donc suffisamment partageables pour entrainer une mobilisation.

De la même façon, les contenus et les rôles du livret personnel de compétence et du dossier scolaire numérique pourraient eux-aussi rassembler beaucoup de parents, d’enseignants et d’organisations pour aboutir à des solutions moins dangereuses pour tous ces jeunes qui ne sont pas des « élèves modèles ».

Troisième point : le contrôle

A supposer que l’information sur les fichiers soit obtenue, que le MEN donne enfin accès à ses dictionnaires et à ses règles de sécurité, ceci ne nous donnerait que l’organisation théorique du système d’information : il doit être comme ceci  et servir comme cela… Il reste à savoir si les règles affichées sont réellement respectées, si la pratique ne s’écarte pas de la théorie. Cette mise en conformité est toujours délicate, sa permanence est constamment menacée parce que tout concourt  à relâcher  les contraintes inhérentes à la confidentialité des données.

Lorsque l’on pose la question au MEN de l’efficacité de son système de sécurité  – et les parents d’élèves et les syndicats ne se privent pas d’interroger les inspecteurs d’académie  à ce sujet – les réponses se veulent d’autant plus rassurantes qu’elles sont peu documentées. Les services de sécurité du système d’information du ministère en savent naturellement davantage mais leurs rapports ne sont pas publics. Juge et partie, le MEN n’est guère en position de fournir les assurances attendues.

On pourrait penser  à un contrôle exercé par la CNIL. Plusieurs raisons conduisent là aussi à ne pas se satisfaire de cette solution. Tout d’abord, la CNIL est elle-même, partiellement, juge et partie dans les spécifications du système d’information du ministère : les propositions faites par le ministère, dans ses déclarations à la CNIL, ont été analysées par celle-ci, discutées et amendées jusqu’à ce qu’une solution soit trouvée et un « récépissé » accordé. Si la mise en pratique des règles incombe en propre au ministère, les règles elles-mêmes résultent d’un accord entre la CNIL et le MEN et selon une préoccupation revendiquée par la CNIL, il s’agit de préserver autant que possible les données personnelles sans pénaliser trop lourdement l’efficience des traitements informatiques. Ces compromis passés par la CNIL gagneraient évidemment à être connus et, le cas échéant, critiqués.

Il reste que la CNIL est intéressée aussi par la façon dont les règles sont mises en pratique. La Loi prévoit explicitement qu’elle peut opérer des contrôles et l’on sait que ces derniers se sont développés de façon importante  ces dernières années. Mais il y a contrôle et contrôle. Celui qui consiste à examiner les règles en vigueur et leurs mises en œuvre au sein de l’éducation nationale relève d’un véritable « audit de sécurité » mené par toute une équipe pendant plusieurs semaines. Ce type d’investigation spécialisée, s’il n’est pas étranger aux techniciens de la CNIL, dépasse de beaucoup les contrôles qu’elle réalise.

Comment alors contrôler à la fois avec exactitude et transparence ? Le problème est en fait assez général. Il n’a pas échappé au Conseil d’Etat du Luxembourg qui, sur les fichiers scolaires, préconise « l’institution d’un chargé de la protection des données indépendant du responsable du traitement ». Une autre solution est mise en œuvre à propos des politiques de confidentialité de FACEBOOK.  Traitant de données personnelles de leurs utilisateurs de nombreuses plaintes ont été formulées par ces derniers.  De nouvelles dispositions ont été discutées et certaines d’entre-elles ont été acceptées par l’entreprise. Comment savoir si elles sont appliquées ? En Irlande, l’autorité équivalente à la CNIL est parvenue à un accord selon lequel, tous les deux ans, un audit sera réalisé par un prestataire externe choisi en commun. A partir  de la politique de confidentialité telle qu’elle est affichée par FACEBOOK, l’audit aura à examiner comment elle est appliquée.

Ce type de solution est  aujourd’hui pratiqué en France dans au moins un cas, pour le système de collecte « Etude Longitudinale Française depuis l’Enfance » (ELFE). Lancée depuis 2007, l’opération consiste à rassembler un maximum d’informations (biologiques, médicales, sociales, économiques, scolaires, environnementales, …) sur une cohorte de 20.000 personnes et ceci depuis la maternité jusqu’à l’âge de 20 ans. La sensibilité de certaines données (notamment les prélèvements biologiques et donc ADN…) et surtout le rassemblement de toutes les données sur un seul individu, présentent une dangerosité majeure pour les personnes de l’échantillon et leur famille. Certes le projet était lancé par un consortium d’institutions scientifiques a priori « responsables » mais peut-on, au nom d’avantages scientifiques anticipés faire courir un tel risque à 20.000 personnes ?  Des dispositifs spécifiques de sécurité ont été discutés et adoptés, bien évidemment avec la CNIL. Pour contrôler leur mise en œuvre effective, il a été décidé, comme dans le cas de FACEBOOK, de faire procéder régulièrement à des audits de sécurité par un prestataire externe.

Cette solution nous semble transposable au cas du système d’information informatisé sur les élèves. L’administration d’un côté, les représentants des bénéficiaires de l’autre (syndicats, fédérations de parents d’élèves, …) pourraient s’accorder sur le choix d’un prestataire externe auquel serait demandé périodiquement de faire un audit et d’en rendre compte. De même qu’un commissaire aux comptes doit informer l’assemblée des actionnaires de la conformité des comptes aux règles comptables, l’auditeur externe rendrait compte de la conformité ou non des pratiques observées par rapport aux règles édictées[51].

Un autre type de contrôle, peut-être plus important, est celui que peuvent exercer les parents d’élèves, les élèves eux-mêmes, les enseignants et leurs syndicats : à partir du moment où une direction d’établissement a déclaré ses fichiers, ses utilisations, ses destinataires, etc. La publication noir sur blanc de ce que détient l’établissement et ce qu’il en fait est aussi la condition indispensable d’un contrôle citoyen que ce qui est fait est conforme à ce qui est dit :  l’ajout d’informations non-prévues,  les nouveaux destinataires par rapport à ceux qui étaient annoncés, les utilisations crées à des fins autres que pédagogiques, le non respect de la confidentialité, etc. seraient alors clairement des ruptures de contrat sur lesquelles les chefs d’établissement et l’administration auraient à s’expliquer devant les instances représentant les parents d’élèves, devant les organisations syndicales et, le cas échéant, devant les tribunaux.

Ce texte est également publié sur le site du CECIL (Centre d’études sur la citoyenneté, l’informatisation et les libertés) : http://www.lececil.org/node/622

(Version PDF de : Le système d'information informatisé sur les élèves : ses contours, les risques, les axes d'intervention)