Procédure devant la Cour :
Par une requête, enregistrée le 10 mars 2014, M. G... E...et Mme F... H...E..., représentés par MeC..., demandent à la Cour :
1°) d'annuler ce jugement du tribunal administratif de Lyon du 19 décembre 2013 ;
2°) d'annuler la décision du 20 décembre 2011 par laquelle l'inspecteur d'académie de l'Ardèche a rejeté leurs demandes d'opposition à l'enregistrement et à la conservation des données personnelles relatives à leurs enfants mineursA..., D...etB... E... dans la "Base élèves 1er degré" et dans la "Base nationale identifiant élève" ;
3°) d'enjoindre à l'inspecteur d'académie de l'Ardèche, à titre principal, de retirer de la "Base élèves 1er degré" et de la "Base nationale identifiant élève" devenue "Répertoire national identifiant élève" les données personnelles relatives à leurs trois enfants mineurs dans un délai de huit jours à compter de l'arrêt à intervenir ou, à titre subsidiaire, de réexaminer leur demande dans un délai d'un mois à compter de cet arrêt ;
4°) de mettre à la charge de l'Etat la somme de 2 500 euros au titre de l'article L. 761-1 du code de justice administrative.
Ils soutiennent que :
- la décision en litige du 20 décembre 2011 est insuffisamment motivée en droit et en fait ;
- les décisions contestées méconnaissent l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, dès lors qu'ils font état de motifs légitimes tirés de l'absence de sécurisation des données en violation de l'article 6 de l'arrêté ministériel du 20 octobre 2008 ; qu'en effet, l'organisation mise en place par le ministère de l'éducation nationale ne lui permet pas de remplir son obligation de sécurisation des données, dès lors que les personnels "emploi de vie scolaire" et d'autre personnels non habilités par cet arrêté ministériel sont susceptibles d'avoir accès à la "Base élèves 1er degré" et d'y saisir des informations, comme en attestent les documents de l'éducation nationale relatifs à la formation de ces personnels, certains profils de postes publiés sur les sites locaux de directeurs d'école, les informations recueillies sur des sites syndicaux tels que celui du SNUIPP de Guyane, des articles de presse, les stipulations de contrats d'assistants administratifs des directeurs d'école, la Charte de l'utilisateur de la clé "Base élèves 1er degré" ; que des défaillances répétées dans la sécurisation des données ont été relevées, telles que des fuites de données de la base concernant des enfants d'une école de Sartrouville ou le piratage informatique dont a fait l'objet un fournisseur du ministère de l'éducation nationale ; que le procureur de la République près le tribunal de grande instance de Paris a reconnu le 7 juillet 2010 des failles dans la sécurité des procédures d'authentification pour l'accès à la "Base élèves 1er degré" ;
- qu'est également légitime, au sens de l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, le motif tiré de l'absence de garantie encadrant l'utilisation des données des bases en cause et prévenant les risques d'interconnexion des fichiers en méconnaissance de l'article 8-7 de la directive communautaire n° 95/46/CE, dès lors qu'aucun texte de droit interne ne détermine les conditions dans lesquelles l'identifiant national de l'élève fait l'objet d'un traitement ; qu'aucun encadrement n'existe concernant l'utilisation croisée des données notamment par le maire ; que, dans le cadre de la détection précoce de la délinquance, le fichier " Base élèves 1er degré " est interconnecté avec les fichiers du ministère de la justice ou des travailleurs sociaux comme, par exemple, dans le cadre de l'article L. 121-6-2 du code de l'action sociale et des familles ;
- qu'est enfin légitime, au sens de cet article 38, le motif tiré de la violation de la directive communautaire n° 95/46/CE et du 1 de l'article 3 de la convention internationale relative aux droits de l'enfant du 26 janvier 1990, dès lors que la France n'a pas assuré la transposition de l'article 8-7 de cette directive, qu'aucun texte n'encadre le traitement de l'identifiant national élève par la "Base nationale identifiant élève" et qu'il n'existe aucune garantie encadrant l'utilisation des données personnelles et la sécurisation du traitement des données.
Par un mémoire en défense, enregistré le 2 juin 2014, la ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche conclut au rejet de la requête.
Elle fait valoir que les moyens présentés par les requérants ne sont pas fondés.
Vu les autres pièces du dossier.
Vu :
- la convention internationale relative aux droits de l'enfant du 26 janvier 1990 ;
- la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et la libre circulation de ces données ;
- le code de l'éducation ;
- la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
- le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
- l'arrêté du 20 octobre 2008 modifié du ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche portant création d'un traitement automatisé de données à caractère personnel relatif au pilotage et à la gestion des élèves de l'enseignement du premier degré ;
- le code de justice administrative.
Les parties ont été régulièrement averties du jour de l'audience.
Ont été entendus au cours de l'audience publique :
- le rapport de M. Drouet, président-assesseur ;
- et les conclusions de M. Clément, rapporteur public.
1. Considérant que M. E... et Mme H... E...relèvent appel du jugement du 19 décembre 2013 par lequel le tribunal administratif de Lyon a rejeté leur demande tendant à l'annulation de la décision du 20 décembre 2011 de l'inspecteur d'académie de l'Ardèche rejetant leur demande d'opposition à l'enregistrement et à la conservation des données personnelles relatives à leurs enfants mineursA..., D...etB... E... dans la "Base élèves 1er degré" et dans la "Base nationale identifiant élève" ainsi que de la décision du 14 février 2012 du même inspecteur d'académie rejetant leur recours gracieux dirigé contre ce refus et à ce qu'il soit enjoint à cette autorité administrative de retirer de la "Base élèves 1er degré" les données personnelles relatives à leurs trois enfants mineurs ou de réexaminer leur demande ;
2. Considérant, en premier lieu, que M. E... et Mme H... E...reprennent en appel le moyen, qu'ils avaient déjà invoqué en première instance, selon lequel la décision contestée du 20 décembre 2011 de l'inspecteur d'académie de l'Ardèche serait insuffisamment motivée en droit et en fait ; qu'il y a lieu de rejeter ce moyen par adoption du motif retenu par le tribunal administratif de Lyon ;
3. Considérant, en second lieu, qu'aux termes de l'article 14 de la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 : " Les Etats membres reconnaissent à la personne concernée le droit : / a) au moins dans les cas visés à l'article 7 points e) et f), de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national. (...). " ; que selon l'article 1er de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés : " L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. " ; que l'article 38 de la même loi dispose : " Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. / Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. / Les dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement. " ;
4. Considérant qu'aux termes de l'article 1er de l'arrêté du 20 octobre 2008 du ministre de l'éducation nationale portant création d'un traitement automatisé de données à caractère personnel relatif au pilotage et à la gestion des élèves de l'enseignement du premier degré : " Il est créé au ministère de l'éducation nationale un traitement automatisé de données à caractère personnel, dénommé "Base élèves premier degré", dont l'objet est d'assurer : / La gestion administrative et pédagogique des élèves du premier degré (inscription, admission, radiation, affectation dans les classes, passage dans une classe supérieure) ; / La gestion et le pilotage de l'enseignement du premier degré dans les circonscriptions scolaires du premier degré et les inspections d'académie ; / Le pilotage académique et national (statistiques et indicateurs). " ; que selon l'article 2 dudit arrêté : " Le système d'information "Base élèves premier degré" est mis en oeuvre dans les écoles maternelles, élémentaires et primaires publiques et privées, dans les circonscriptions scolaires du premier degré, dans les inspections d'académie et dans les mairies qui le demandent pour les données qui les concernent. Les données sont enregistrées dans des bases académiques. " ; que l'article 3 de cet arrêté dispose : " Les données à caractère personnel enregistrées sont les suivantes : / I. - Identification et coordonnées de l'élève (nom, prénoms, sexe, date et lieu de naissance, adresse de résidence, identifiant national élève). / II. - Identification du ou des responsables légaux de l'élève (nom, prénoms, lien avec l'élève, coordonnées, autorisations, assurances scolaires). / III. - Autres personnes à contacter en cas d'urgence ou autorisées à prendre en charge l'élève à la sortie de l'école (identité, lien avec l'élève, coordonnées). / IV. - Scolarité de l'élève (dates d'inscription, d'admission et de radiation, classe, niveau, cycle). / V. - Activités périscolaires (garderie, études surveillées, restaurant et transport scolaires). " ; qu'aux termes de l'article 5 du même arrêté : " Les données à caractère personnel recueillies seront conservées suivant les dispositions suivantes : / 1. Pour ce qui concerne les données relatives aux autorisations, aux assurances scolaires et aux activités périscolaires, leur conservation n'excédera pas l'année scolaire en cours ; / 2. Pour ce qui concerne les autres données appartenant aux catégories visées aux I à III de l'article 3, seule sera conservée la dernière mise à jour de chaque année scolaire ; / 3. Pour ce qui concerne les autres données visées au IV de l'article 3, les mises à jour successives de chaque année scolaire seront conservées. / La durée maximum de conservation des données dans "Base élèves premier degré" n'excédera pas le terme de l'année civile au cours de laquelle l'élève n'est plus scolarisé dans le premier degré. " ; que selon l'article 6 dudit arrêté : " Les directeurs d'école, les inspecteurs de l'éducation nationale chargés de circonscription et les directeurs académiques des services de l'éducation nationale agissant sur délégation du recteur d'académie ont accès à l'ensemble des données mentionnées à l'article 3. / Les maires, à leur demande, et les agents municipaux chargés des affaires scolaires individuellement désignés par eux, dans la limite de leurs attributions, sont habilités à accéder aux données à caractère personnel nécessaires à l'accomplissement de leurs missions : données relatives à l'identification et aux coordonnées de l'élève, à l'identité et aux coordonnées des parents ou responsables légaux ainsi que des autres personnes à contacter en cas d'urgence ou autorisées à prendre en charge l'élève à la sortie de l'école, à la scolarité suivie et aux activités périscolaires. / Le principal du collège d'affectation de l'élève entrant en classe de sixième est habilité à recevoir les données relatives à l'identification et aux coordonnées de l'élève, à l'identité et aux coordonnées des parents ou responsables légaux. (...) " ;
5. Considérant que le traitement automatisé de données à caractère personnel dénommé "Base nationale des identifiants des élèves" a pour objet de recenser, au niveau national, l'ensemble des identifiants nationaux des élèves, numéros uniques internes au ministère chargé de l'éducation nationale qui sont attribués aux élèves lors de leur première inscription, afin de faciliter la gestion administrative de leur scolarité ; que le traitement automatisé de données personnelles dénommé "Base élèves premier degré" qui est mis en relation avec le fichier précédent participe au même service public de l'éducation ;
6. Considérant que M. E... et Mme H... E...ont fait valoir leur droit d'opposition prévu par les dispositions précitées de l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée à l'inscription de leurs trois enfants dans la "Base élèves premier degré" et dans la "Base nationale des identifiant des élèves " ; qu'ils soutiennent que leurs motifs légitimes sont fondés sur la méconnaissance de l'article 6 de l'arrêté du 20 octobre 2008 et de l'article 34 de la loi du 6 janvier 1978 quant à la sécurisation des données collectées, au motif que des personnes non habilitées, notamment des agents contractuels de l'éducation nationale, ont accès à ces bases de donnée, qu'il n'existe pas de sécurisation réelle des données informatiques comme le révèleraient les fuites de données de la "Base élèves premier degré" concernant des enfants d'une école de Sartrouville et le piratage informatique dont a fait l'objet le fournisseur du ministère de l'éducation nationale et que ce défaut de sécurité du système a été constaté par le procureur de la République près du tribunal de grande instance de Paris dans un courrier du 7 juillet 2010, qu'il existe un risque concernant l'interconnexion des fichiers en cause et l'identifiant national élève, que cet identifiant est issu de la "Base nationale des identifiants des élèves" alors qu'aucun texte légal ne détermine les conditions dans lesquelles il est l'objet d'un traitement, ce qui constituerait une méconnaissance de la directive communautaire n° 95/46/CE du 24 octobre 1995 et qu'enfin, l'administration aurait méconnu le 1 de l'article 3 de la convention internationale relative aux droits de l'enfant du 26 janvier 1990 ; qu'ainsi, les requérants, à l'appui de leur droit d'opposition, n'invoquent comme motif légitime que des considérations d'ordre général sur des risques potentiels en termes de sécurisation et d'interconnexion dont pourraient être victimes les traitements automatisés de données à caractère personnel dénommés "Base élèves premier degré" et "Base nationale des identifiants des élèves" ; que les intéressés, qui ne font pas état de considérations qui leur seraient propres ou qui seraient propres à leurs enfants, n'établissent pas que ces circonstances ou l'enregistrement, la conservation des données contenues dans ces deux bases auraient une incidence concrète et directe sur leur situation personnelle ou sur celle de leurs trois enfants ; que les requérants n'établissent pas l'existence d'interconnexions illégales qui seraient, dans l'académie de Grenoble, de nature à justifier leurs craintes d'accès irrégulier aux renseignements concernant leurs enfants ; qu'ils n'établissement pas davantage que l'inscription de leurs trois enfants dans les deux fichiers en cause serait de nature à porter atteinte à l'intérêt supérieur de leurs enfants au sens de l'article 3-1 de la convention internationale des droits de l'enfant ; que, dans ces conditions, M. E... et Mme H... E...ne justifient d'aucun motif légitime au sens des dispositions précitées de l'article 38 de la loi du 6 janvier 1978 ;
7. Considérant qu'il résulte de ce tout ce qui précède, que M. E... et Mme H... E... ne sont pas fondés à soutenir que c'est à tort que, par le jugement attaqué, le tribunal administratif de Lyon a rejeté leur demande ; que, par voie de conséquence, les conclusions de leur requête aux fins d'injonction et d'application de l'article L. 761-1 du code de justice administrative doivent être rejetées ;
DECIDE :
Article 1er : La requête de M. E... et Mme H... E...est rejetée.
Article 2 : Le présent arrêt sera notifié à M. G... E..., à Mme F... H... E... et à la ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche.
Copie en sera adressé au recteur de l'académie de Grenoble.
Délibéré après l'audience du 29 mars 2016, à laquelle siégeaient :
M. Boucher, président de chambre ;
M. Drouet, président-assesseur ;
Mme Dèche, premier conseiller.
Lu en audience publique le 3 mai 2016.
''
''
''
''
3
N° 14LY00771