Réponse publiée le 26 novembre 2019

Le ministère de l'éducation nationale et de la jeunesse - qui porte une attention toute particulière à la protection des données des élèves - n'est pas à l'origine de l'installation de systèmes de reconnaissance faciale à l'entrée des établissements scolaires. Ce projet s'inscrit dans le cadre du plan de mise en sûreté des lycées voté par la région Sud Provence-Alpes-Côte d'Azur en avril 2016 au titre de la compétence obligatoire de la région, à savoir la gestion des bâtiments et des équipements des lycées (art. L. 214-6 du Code de l'éducation). L'implication de la région permet de la qualifier de responsable conjoint du traitement concerné, au même titre que le chef d'établissement du lycée en sa qualité d'organe exécutif de l'établissement (art. R. 421-9 du code de l'éducation). Quant aux données biométriques collectées, celles-ci sont définies par le règlement général sur la protection des données (RGPD, article 4-14) comme les données « résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que les images faciales ou des données dactyloscopiques ». Le caractère sensible de ces données est consacré par la législation en vigueur, ce qui a pour conséquence de limiter les possibilités de recourir à leur collecte et de mieux encadrer leur utilisation. De plus, les traitements de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent les personnes vulnérables telles que les élèves, doivent obligatoirement faire l'objet d'une étude d'impact sur la vie privée conformément à l'article 35 du RGPD. Les responsables de traitement doivent alors documenter les différentes caractéristiques de leur traitement, être en mesure de démontrer la proportionnalité du système choisi et préciser les raisons pour lesquelles le recours à d'autres dispositifs d'identification (badges, mots de passe, etc.) ou mesures organisationnelles et techniques de protection ne permettrait pas d'atteindre le niveau de sécurité exigé. Cette analyse d'impact a été réalisée et présentée à la CNIL. La CNIL, dans son avis du 29 octobre 2019, a considéré que le dispositif envisagé ne respectait pas les principes de proportionnalité et de minimisation des données posés par le RGPD. En effet, les objectifs de sécurisation et de fluidification des accès aux deux lycées peuvent être atteints par des moyens moins intrusifs en termes de vie privée et de libertés individuelles. Par conséquent, le dispositif apparait comme disproportionné et ne saurait être légalement mis en œuvre. Enfin, je tiens à porter à votre attention, comme l'engagement en avait été pris, l'installation, le 21 octobre 2019, d'un comité d'éthique pour les données d'éducation qui permettra d'éclairer la décision politique en matière de collecte de données personnelles des élèves dans le cadre scolaire. Cette instance indépendante présidée par Mme Claudie Haigneré, composée de membres qualifiés, est en effet chargée d'émettre des avis et recommandations sur l'opportunité de l'utilisation des données d'éducation collectées et traitées dans - et hors - le cadre scolaire.