Le responsable de traitement
Le responsable de traitement est « la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens ». Pour l'Éducation nationale, il s'agit de la personne morale (et non la personne physique) qui détermine la réponse aux deux questions suivantes :
– À quoi va servir le traitement ?
– Comment l'objectif fixé sera atteint ?
Le responsable de traitement pour collèges et lycées est le chef d'établissement
Un professeur documentaliste n'a pas vocation à être le responsable du traitement de données personnelles.
Le délégué à la protection des données (DPD)
Le DPD ou DPO (en anglais : data protection officer) est désigné par le responsable de traitement.
Mais le RGPD laisse la possibilité d'une mutualisation possible. C'est l'orientation prise par le ministère de l'Éducation nationale :
- Les chefs d'établissement, responsables de traitement pour leur établissement, peuvent mutualiser leur DPD à un niveau académique.
- Les recteurs ont désigné un ou deux, DPD pour l'administration de leurs académies, dont le champ des responsabilités s'étend parfois au périmètre des établissements scolaires et des écoles.
Missions du DPO
- Informer et conseiller le responsable de traitement ou le sous-traitant, ainsi que ses employés ;
- Contrôler le respect du règlement européen et du droit national en matière de protection des données ;
- Conseiller l'organisme sur la réalisation, dans certains cas, d'une analyse d'impact (PIA) et en vérifier l'exécution ;
- Coopérer avec l'autorité de contrôle et être le point de contact de celle-ci ;
- S'assurer de la bonne tenue de la documentation relative aux traitements ;
- Rédiger et présenter un rapport annuel au ministre ou au recteur suivant son niveau d'intervention.
Complément :
Complément : Les enseignants
Tous les traitements réalisés sur les outils de l'école, du collège ou du lycée – ou fournis par l'établissement - (ordinateur, clé Usb, ENT...), ou/et partagés dans le cadre du travail, doivent figurer sur le registre de l'établissement.
- Les professeurs doivent être transparent à l'égard du responsable des traitements de l'établissement. Certains outils utilisés par les enseignants, dans le cadre de leur liberté pédagogique, peuvent conduire à un traitement de données personnelles de leurs élèves (adresses internet utilisées pour s'inscrire à certains services...) à reporter sur le registre de l'école ou de l'établissement.
- L'utilisation de plateforme collaborative ou des systèmes de communication (Skype, Hangout...)qui engendre la transmissions de données d'élèves doit en informer le responsable des traitements pour renseigner le registre.
- Des listes de notes ou de compétences et des données récoltées auprès de parents, stockées sur un support, même personnel, constituent également un traitement à répertorier, de manière générique, dans le registre.