Vu la procédure suivante :
Procédure contentieuse antérieure :
M. E... C...et Mme D... B...ont demandé au tribunal administratif de Lyon d'annuler la décision du 30 novembre 2010 par laquelle l'inspecteur d'académie de l'Ardèche a rejeté leur demande d'opposition à l'enregistrement et à la conservation des données personnelles relatives à leur fille mineure F...C...dans la "Base élèves premier degré" et dans la "Base nationale identifiant élève" ainsi que la décision du 25 février 2011 par laquelle l'inspecteur d'académie de l'Ardèche a rejeté leur recours gracieux dirigé contre cette décision et d'enjoindre à cette autorité administrative, à titre principal, de retirer de la "Base élèves premier degré" les données personnelles relatives à l'enfant F...C...dans un délai de huit jours à compter du jugement à intervenir ou, à titre subsidiaire, de réexaminer leur demande dans un délai d'un mois à compter de ce jugement.
Par un jugement n° 1103869 du 19 décembre 2013, le tribunal administratif de Lyon a rejeté cette demande.
Procédure devant la Cour :
Par une requête, enregistrée le 10 mars 2014, M. E... C...et Mme D... B..., représentés par MeA..., demandent à la Cour :
1°) d'annuler ce jugement du tribunal administratif de Lyon du 19 décembre 2013 ;
2°) d'annuler la décision du 30 novembre 2010 par laquelle l'inspecteur d'académie de l'Ardèche a rejeté leur demande d'opposition à l'enregistrement et à la conservation des données personnelles relatives à leur fille mineure F...C...dans la "Base élèves 1er degré" et dans la "Base nationale identifiant élève" ainsi que la décision du 25 février 2011 par laquelle l'inspecteur d'académie de l'Ardèche a rejeté leur recours gracieux dirigé contre cette décision ;
3°) d'enjoindre à l'inspecteur d'académie de l'Ardèche, à titre principal, de retirer de la "Base élèves 1er degré" et de la "Base nationale identifiant élève" devenue "Répertoire national identifiant élève" les données personnelles relatives à l'enfant F...C...dans un délai de huit jours à compter de l'arrêt à intervenir ou, à titre subsidiaire, de réexaminer leur demande dans un délai d'un mois à compter de cet arrêt ;
4°) de mettre à la charge de l'Etat la somme de 21 500 euros au titre de l'article L. 761-1 du code de justice administrative.
Ils soutiennent que :
- la décision en litige du 30 novembre 2010 est insuffisamment motivée en droit et en fait ;
- le jugement attaqué et les décisions en litige sont entachés d'erreur de droit, dès lors que leur fille F...C..., qui est instruite à domicile depuis la rentrée 2010, n'entre pas dans le champ d'application de l'arrêté du 20 octobre 2008 modifié du ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche portant création d'un traitement automatisé de données à caractère personnel relatif au pilotage et à la gestion des élèves de l'enseignement du premier degré ;
- les décisions contestées méconnaissent l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, dès lors qu'ils font état de motifs légitimes tirés de l'absence de sécurisation des données en violation de l'article 6 de l'arrêté ministériel du 20 octobre 2008 ; qu'en effet, l'organisation mise en place par le ministère de l'éducation nationale ne lui permet pas de remplir son obligation de sécurisation des données, dès lors que les personnels "emploi de vie scolaire" et d'autre personnels non habilités par cet arrêté ministériel sont susceptibles d'avoir accès à la "Base élèves premier degré" et d'y saisir des informations, comme en attestent les documents de l'éducation nationale relatifs à la formation de ces personnels, certains profils de postes publiés sur les sites locaux de directeurs d'école, les informations recueillies sur des sites syndicaux tels que celui du SNUIPP de Guyane, des articles de presse, les stipulations de contrats d'assistants administratifs des directeurs d'école, la Charte de l'utilisateur de la clé "Base élèves premier degré" ; que des défaillances répétées dans la sécurisation des données ont été relevées, telles que des fuites de données de la base en cause concernant des enfants d'une école de Sartrouville ou le piratage informatique dont a fait l'objet un fournisseur du ministère de l'éducation nationale ; que le procureur de la République près le tribunal de grande instance de Paris a reconnu le 7 juillet 2010 des failles dans la sécurité des procédures d'authentification pour l'accès à la "Base élèves premier degré" ;
- qu'est également légitime, au sens de l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, le motif tiré de l'absence de garantie encadrant l'utilisation des données des bases en cause et prévenant les risques d'interconnexion des fichiers en méconnaissance de l'article 8-7 de la directive n° 95/46/CE, dès lors qu'aucun texte de droit interne ne détermine les conditions dans lesquelles l'identifiant national de l'élève fait l'objet d'un traitement ;
- qu'est enfin légitime, au sens de cet article 38, le motif tiré de ce que la collecte des données s'est faite en l'absence d'information donnée aux parents et sans leur consentement, en méconnaissance du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée imposant une collecte et un traitement loyaux des données et de l'article 7 de la même loi relatif au consentement de la personne concernée, de l'article 32 de la même loi et en violation de leur autorité parentale.
Par un mémoire en défense, enregistré le 25 juin 2014, la ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche conclut au rejet de la requête.
Elle fait valoir que les moyens présentés par les requérants ne sont pas fondés.
Un mémoire, présenté pour M. C... et Mme B... et enregistré le 8 octobre 2015, n'a pas donné lieu à communication en application du dernier alinéa de l'article R. 611-1 du code de justice administrative.
Vu les autres pièces du dossier.
Vu :
- la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et la libre circulation de ces données ;
- le code civil ;
- le code de l'éducation ;
- la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
- le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
- l'arrêté du 20 octobre 2008 du ministre de l'éducation nationale portant création d'un traitement automatisé de données à caractère personnel relatif au pilotage et à la gestion des élèves de l'enseignement du premier degré ;
- le code de justice administrative.
Les parties ont été régulièrement averties du jour de l'audience.
Ont été entendus au cours de l'audience publique :
- le rapport de M. Drouet, président-assesseur ;
- et les conclusions de M. Clément, rapporteur public.
1. Considérant que M. C... et Mme B... relèvent appel du jugement du 19 décembre 2013 par lequel le tribunal administratif de Lyon a rejeté leur demande tendant à l'annulation de la décision du 30 novembre 2010 de l'inspecteur d'académie de l'Ardèche rejetant leur demande d'opposition à l'enregistrement et à la conservation des données personnelles relatives à leur fille mineure F...C...dans la "Base élèves premier degré" et dans la "Base nationale identifiant élève" ainsi que de la décision du 25 février 2011 de la même autorité rejetant leur recours gracieux dirigé contre cette décision et à ce qu'il soit enjoint à cette autorité administrative de retirer de la "Base élèves premier degré" les données personnelles relatives à l'enfant F...C...ou de réexaminer leur demande ;
2. Considérant, en premier lieu, que M. C... et Mme B... reprennent en appel le moyen, qu'ils avaient déjà invoqué en première instance, selon lequel la décision contestée du 30 novembre 2010 de l'inspecteur d'académie de l'Ardèche serait insuffisamment motivée en droit et en fait ; qu'il y a lieu de rejeter ce moyen par adoption du motif retenu par le tribunal administratif de Lyon ;
3. Considérant, en deuxième lieu, qu'aux termes de l'article L. 131-5 du code de l'éducation : " Les personnes responsables d'un enfant soumis à l'obligation scolaire définie à l'article L. 131-1 doivent le faire inscrire dans un établissement d'enseignement public ou privé, ou bien déclarer au maire et à l'autorité de l'Etat compétente en matière d'éducation, qu'elles lui feront donner l'instruction dans la famille. Dans ce cas, il est exigé une déclaration annuelle. / Les mêmes formalités doivent être accomplies dans les huit jours qui suivent tout changement de résidence ou de choix d'instruction. La présente obligation s'applique à compter de la rentrée scolaire de l'année civile où l'enfant atteint l'âge de six ans. (...) " ; que selon l'article L. 131-10 du même code : " Les enfants soumis à l'obligation scolaire qui reçoivent l'instruction dans leur famille, y compris dans le cadre d'une inscription dans un établissement d'enseignement à distance, sont dès la première année, et tous les deux ans, l'objet d'une enquête de la mairie compétente, uniquement aux fins d'établir quelles sont les raisons alléguées par les personnes responsables, et s'il leur est donné une instruction dans la mesure compatible avec leur état de santé et les conditions de vie de la famille. Le résultat de cette enquête est communiqué à l'autorité de l'Etat compétente en matière d'éducation. / Lorsque l'enquête n'a pas été effectuée, elle est diligentée par le représentant de l'Etat dans le département. / L'autorité de l'Etat compétente en matière d'éducation doit au moins une fois par an, à partir du troisième mois suivant la déclaration d'instruction par la famille, faire vérifier que l'enseignement assuré est conforme au droit de l'enfant à l'instruction tel que défini à l'article L. 131-1-1. (...) / Ce contrôle est effectué sans délai en cas de défaut de déclaration d'instruction par la famille, sans préjudice de l'application des sanctions pénales. (...) / Les résultats de ce contrôle sont notifiés aux personnes responsables avec l'indication du délai dans lequel elles devront fournir leurs explications ou améliorer la situation et des sanctions dont elles seraient l'objet dans le cas contraire. (...) / Si, au terme d'un nouveau délai fixé par l'autorité de l'Etat compétente en matière d'éducation, les résultats du contrôle sont jugés insuffisants, les parents sont mis en demeure, dans les quinze jours suivant la notification, d'inscrire leur enfant dans un établissement d'enseignement public ou privé et de faire connaître au maire, qui en informe l'autorité de l'Etat compétente en matière d'éducation, l'école ou l'établissement qu'ils auront choisi. " ;
4. Considérant qu'aux termes de l'article 1er de l'arrêté du 20 octobre 2008 du ministre de l'éducation nationale portant création d'un traitement automatisé de données à caractère personnel relatif au pilotage et à la gestion des élèves de l'enseignement du premier degré : " Il est créé au ministère de l'éducation nationale un traitement automatisé de données à caractère personnel, dénommé "Base élèves premier degré", dont l'objet est d'assurer : / La gestion administrative et pédagogique des élèves du premier degré (inscription, admission, radiation, affectation dans les classes, passage dans une classe supérieure) ; / La gestion et le pilotage de l'enseignement du premier degré dans les circonscriptions scolaires du premier degré et les inspections d'académie ; / Le pilotage académique et national (statistiques et indicateurs). " ; que selon l'article 2 dudit arrêté : " Le système d'information "Base élèves premier degré" est mis en oeuvre dans les écoles maternelles, élémentaires et primaires publiques et privées, dans les circonscriptions scolaires du premier degré, dans les inspections d'académie et dans les mairies qui le demandent pour les données qui les concernent. Les données sont enregistrées dans des bases académiques. " ; que l'article 3 de cet arrêté dispose : " Les données à caractère personnel enregistrées sont les suivantes : / I. - Identification et coordonnées de l'élève (nom, prénoms, sexe, date et lieu de naissance, adresse de résidence, identifiant national élève). / II. - Identification du ou des responsables légaux de l'élève (nom, prénoms, lien avec l'élève, coordonnées, autorisations, assurances scolaires). / III. - Autres personnes à contacter en cas d'urgence ou autorisées à prendre en charge l'élève à la sortie de l'école (identité, lien avec l'élève, coordonnées). / IV. - Scolarité de l'élève (dates d'inscription, d'admission et de radiation, classe, niveau, cycle). / V. - Activités périscolaires (garderie, études surveillées, restaurant et transport scolaires). " ; qu'aux termes de l'article 5 du même arrêté : " Les données à caractère personnel recueillies seront conservées suivant les dispositions suivantes : / 1. Pour ce qui concerne les données relatives aux autorisations, aux assurances scolaires et aux activités périscolaires, leur conservation n'excédera pas l'année scolaire en cours ; / 2. Pour ce qui concerne les autres données appartenant aux catégories visées aux I à III de l'article 3, seule sera conservée la dernière mise à jour de chaque année scolaire ; / 3. Pour ce qui concerne les autres données visées au IV de l'article 3, les mises à jour successives de chaque année scolaire seront conservées. / La durée maximum de conservation des données dans "Base élèves premier degré" n'excédera pas le terme de l'année civile au cours de laquelle l'élève n'est plus scolarisé dans le premier degré. " ; que selon l'article 6 dudit arrêté : " Les directeurs d'école, les inspecteurs de l'éducation nationale chargés de circonscription et les directeurs académiques des services de l'éducation nationale agissant sur délégation du recteur d'académie ont accès à l'ensemble des données mentionnées à l'article 3. / Les maires, à leur demande, et les agents municipaux chargés des affaires scolaires individuellement désignés par eux, dans la limite de leurs attributions, sont habilités à accéder aux données à caractère personnel nécessaires à l'accomplissement de leurs missions : données relatives à l'identification et aux coordonnées de l'élève, à l'identité et aux coordonnées des parents ou responsables légaux ainsi que des autres personnes à contacter en cas d'urgence ou autorisées à prendre en charge l'élève à la sortie de l'école, à la scolarité suivie et aux activités périscolaires. / Le principal du collège d'affectation de l'élève entrant en classe de sixième est habilité à recevoir les données relatives à l'identification et aux coordonnées de l'élève, à l'identité et aux coordonnées des parents ou responsables légaux. (...) " ;
5. Considérant que les opérations de contrôle du respect de l'obligation scolaire des enfants instruits dans leur famille, réalisées sur le fondement des dispositions précitées des articles L. 131-5 et L. 131-10 du code de l'éducation, entrent dans les finalités des bases de données en litiges, et en particulier de celles qui, selon les dispositions précitées de l'arrêté du 20 octobre 2008, ont pour objet la gestion et le pilotage de l'enseignement dans les circonscriptions scolaires et les inspections d'académie ainsi que le pilotage académique et national (statistiques, indicateurs) ; que ces missions, dont la mise en oeuvre dépasse le strict cadre des écoles, nécessitent ainsi le recueil de données tenant à l'identification et aux coordonnées des enfants et de leurs responsables légaux ; que, dans ces conditions, le moyen tiré de ce que l'enfant des requérants serait exclu du champ d'application de l'arrêté du 20 octobre 2008 en raison du fait qu'il reçoit son instruction au sein de la famille, doit être écarté ;
6. Considérant, en second lieu, qu'aux termes de l'article 14 de la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 : " Les Etats membres reconnaissent à la personne concernée le droit : / a) au moins dans les cas visés à l'article 7 points e) et f), de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national (...). " ; que selon l'article 1er de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés : " L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. " ; que l'article 38 de la même loi dispose : " Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. / Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. / Les dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement. " ;
7. Considérant que le traitement automatisé de données à caractère personnel dénommé "Base nationale des identifiants des élèves" a pour objet de recenser, au niveau national, l'ensemble des identifiants nationaux des élèves, numéros uniques internes au ministère chargé de l'éducation nationale qui sont attribués aux élèves lors de leur première inscription, afin de faciliter la gestion administrative de leur scolarité ; que le traitement automatisé de données personnelles dénommé "Base élèves premier degré" qui est mis en relation avec le fichier précédent participe au même service public de l'éducation ;
8. Considérant que M. C... et Mme B... ont fait valoir leur droit d'opposition prévu par les dispositions précitées de l'article 38 de la loi n° 78-17 du 6 janvier 1978 modifiée à l'inscription de leur enfant dans la "Base élèves premier degré" et dans la "Base nationale des identifiant des élèves" ; qu'ils soutiennent que leurs motifs légitimes sont fondés sur la méconnaissance de l'article 6 de l'arrêté du 20 octobre 2008 et de l'article 34 de la loi du 6 janvier 1978 quant à la sécurisation des données collectées, au motif que des personnes non habilitées, notamment des agents contractuels de l'éducation nationale, ont accès à ces bases de données, qu'il n'existe pas de sécurisation réelle des données informatiques comme le révèleraient les fuites de données de la "Base élèves premier degré" concernant des enfants d'une école de Sartrouville et le piratage informatique dont a fait l'objet le fournisseur du ministère de l'éducation nationale et que ce défaut de sécurité du système a été constaté par le procureur de la République près du tribunal de grande instance de Paris dans un courrier du 7 juillet 2010, qu'il existe un risque concernant l'interconnexion des fichiers en cause et l'identifiant national élève, que cet identifiant est issu de la "Base nationale des identifiants des élèves" alors qu'aucun texte légal ne détermine les conditions dans lesquelles il est l'objet d'un traitement, ce qui constituerait une méconnaissance de la directive communautaire n° 95/46/CE du 24 octobre 1995 et qu'enfin, l'administration aurait méconnu ses obligations de loyauté, prévues à l'article 6 de la loi du 6 janvier 1978, et leur autorité parentale, protégée par l'article 371-1 du code civil, en ne les informant pas, contrairement aux exigences de l'article 32 de la loi du 6 janvier 1978, de l'enregistrement et du traitement des données en cause ; qu'ainsi, les requérants, à l'appui de leur droit d'opposition, n'invoquent comme motif légitime que des considérations d'ordre général sur des risques potentiels en termes de sécurisation et d'interconnexion dont pourraient être victimes les traitements automatisés de données à caractère personnel dénommés "Base élèves premier degré" et "Base nationale des identifiants des élèves" ; que les intéressés, qui ne font pas état de considérations qui leur seraient propres ou qui seraient propres à leur enfant, n'établissent pas que ces circonstances ou l'enregistrement et la conservation des données contenues dans ces deux bases auraient une incidence concrète et directe sur leur situation personnelle ou sur celle de leur fille ; que, de même, s'ils font valoir qu'ils n'auraient pas été informés de l'enregistrement et du traitement des données, de la finalité des fichiers ni de leurs droits, cette circonstance, qui n'a pas fait obstacle à l'exercice de leur droit d'opposition, n'a pas d'incidence sur les risques supposés liés à l'utilisation de ces fichiers ; que, par ailleurs, les modalités de fonctionnement de ces deux bases de données sont, par elles-mêmes, sans incidence sur l'exercice par M. C... et Mme B... de leur autorité parentale et de leur action éducative ; qu'enfin, les requérants ne sauraient utilement soutenir que leur consentement au traitement des données à caractère personnel concernant leur fille n'a pas été recueilli en méconnaissance de l'article 7 de la loi du 6 janvier 1978, dès lors qu'en vertu du 3° de cet article, le consentement au traitement de la personne concernée n'est pas nécessaire lorsque le traitement se rattache à l'exécution d'une mission de service public, en l'espèce celui de l'éducation ; que, dans ces conditions, M. C... et Mme B... ne justifient d'aucun motif légitime au sens des dispositions précitées de l'article 38 de la loi du 6 janvier 1978 ;
9. Considérant qu'il résulte de tout ce qui précède, et sans qu'il soit besoin de statuer sur la fin de non-recevoir opposée à la demande de première instance par le recteur de l'académie de Grenoble, que M. C... et Mme B... ne sont pas fondés à soutenir que c'est à tort que, par le jugement attaqué, le tribunal administratif de Lyon a rejeté leur demande ; que, par voie de conséquence, les conclusions de leur requête aux fins d'injonction et d'application de l'article L. 761-1 du code de justice administrative doivent être rejetées ;
DECIDE :
Article 1er : La requête de M. C... et de Mme B... est rejetée.
Article 2 : Le présent arrêt sera notifié à M. E... C..., à Mme D... B...et à la ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche.
Copie en sera adressé au recteur de l'académie de Grenoble.
Délibéré après l'audience du 29 mars 2016, à laquelle siégeaient :
M. Boucher, président de chambre ;
M. Drouet, président-assesseur ;
Mme Dèche, premier conseiller.
Lu en audience publique le 3 mai 2016.
''
''
''
''
3
N° 14LY00770
