Exemple de fiche de registre des traitements ENT 
à destination des écoles et des établissements scolaires

Présentation
Préambule
Le présent document a pour objet d’insérer au sein de la documentation d’accompagnement du schéma directeur des espaces numériques de travail (SDET), un exemple de fiche de registre des traitements ENT à destination des écoles et des établissements scolaires. 
Démarche
Ce document s'inscrit dans la démarche de modification du SDET vers une version 6.3 destinée à prendre en compte les apports principaux du Règlement (UE) 2016/679 de protection des données (RGPD). En effet, aux termes de l’article 30 du RGPD, chaque responsable de traitement des écoles ou des établissements scolaires (IA-DASEN ou chef d’établissement) et, le cas échéant, le représentant du responsable de traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. Le registre de traitement de l’établissement doit intégrer une rubrique contenant un certain nombre d’informations concernant les traitements mis en œuvre sous la responsabilité du responsable de traitement. 
Contenu de la fiche relative aux traitements ENT
La présente fiche de registre ne constitue qu'un exemple destiné à faciliter l'élaboration du registre final. En effet, le contenu du présent document est issu de l'arrêté du 30 novembre 2006 modifié par l'arrêté du 13 octobre 2017 portant création, au sein du ministère de l'Éducation nationale, d'un traitement de données à caractère personnel relatif aux espaces numériques de travail (ENT). Bien que l'acte réglementaire unique RU-003 ne permette plus de bénéficier d’un engagement de conformité en raison de la disparition de ces formalités auprès de la CNIL depuis le 25 mai 2018, il constitue un outil d’appréciation de la conformité des traitements de données à caractère personnel mis en œuvre via les ENT auquel il peut être utilement fait référence.
Concernant le gestionnaire d’accès aux ressources (GAR), le traitement GAR est sous la seule responsabilité du ministre chargé de l'Éducation nationale. Les responsables de traitement des écoles ou des établissements scolaires (IA-DASEN ou chef d’établissement) n’ont donc pas à inscrire ce traitement sur leur registre dans la mesure où ils ne déterminent ni les finalités, ni les moyens du traitement. Ils doivent seulement veiller à inscrire le ministre chargé de l’Éducation nationale comme destinataire des données des traitements relatifs aux ENT qu’ils mettent en œuvre dans leurs écoles ou établissement scolaire, dans la mesure où les données qui alimentent le traitement GAR proviennent de ces ENT.
Comme tout exemple, celui-ci doit être utilisé de manière circonstanciée et modifié pour l'adapter à l'existant à savoir aux particularités de l'ENT concerné.
Composition du document (établi d’après le modèle proposé par la CNIL)
La page 2 recense les informations communes à toutes vos activités de traitement :  
•	les coordonnées de votre organisme (ou de son représentant sur le territoire européen si votre organisme n’est pas établi dans l’Union européenne) ;
•	les coordonnées du délégué à la protection des données (DPD) si vous en disposez ;
•	la liste des activités de votre organisme impliquant le traitement de données personnelles.
Pour chaque activité recensée, vous devrez créer et tenir à jour une fiche de registre (pages 3 à 6). 
Les pages 3 à 6 constituent un exemple de fiche de registre, que vous devrez remplir pour chacune de ces activités.
Registre des activités de traitement de 
[À compléter par le nom de l’établissement concerné]

Coordonnées du responsable de l’organisme
(responsable de traitement ou son représentant si le responsable est situé en dehors de l’UE)	Nom : à compléter. Prénom : à compléter.
Adresse : à compléter.
CP : à compléter. Ville : à compléter.
Téléphone : à compléter. Adresse de messagerie : à compléter.
[À compléter par les coordonnées du responsable de traitement : IA-DASEN ou chef d’établissement]	
Nom et coordonnées du délégué à la protection des données 
(si vous avez désigné un DPD)	Nom : à compléter. Prénom : à compléter.
Société (si DPD externe) : à compléter.
Adresse : à compléter.
CP : à compléter. Ville : à compléter.
Téléphone : à compléter. Adresse de messagerie : à compléter.
[À compléter par les coordonnées du délégué à la protection des données si désigné]	

Activités de l’organisme impliquant le traitement de données personnelles
Listez ici les activités pour lesquelles vous traitez des données personnelles.
Activités	Désignation des activités	
Activité 1	Traitements ENT	
Activité 2		
Activité 3		
Activité 4		
Activité 5		
Activité 6		
Activité 7		
Activité 8		
[Vous devrez créer et tenir à jour une fiche de registre par activité. Un exemple de fiche de registre est disponible sur la page suivante, copiez / collez autant de fois la sélection qu’il y a d’activités listées.]
Fiche de registre de l’activité 
Traitements ENT

Date de création de la fiche	[À compléter]	
Date de dernière mise à jour de la fiche	[À compléter]	
Nom du responsable conjoint du traitement
(dans le cas où la responsabilité de ce traitement de données est partagée avec un autre organisme)	[À compléter dans le cas où la responsabilité de ce traitement est partagée avec un autre organisme]	
Nom du logiciel ou de l’application
(si pertinent)	[À compléter si pertinent]	

Objectifs poursuivis
Décrivez clairement l’objet du traitement de données personnelles et ses fonctionnalités.

Finalité principale : déployer et utiliser un espace numérique de travail (ENT) conforme au schéma directeur des ENT (SDET) ;
•	saisir et mettre à disposition de tous les membres de la communauté éducative de l'enseignement scolaire, en fonction des habilitations de chaque usager, des contenus éducatifs et pédagogiques, des informations administratives, relatives à la vie scolaire, aux enseignements et au fonctionnement de l'école ou de l'établissement ainsi que de la documentation en ligne ;
•	permettre des échanges et des collaborations entre écoles et établissements d'un même ENT ainsi qu'avec des écoles et des établissements utilisant des ENT différents ;
•	permettre, dans le respect du Règlement (UE) 2016/679 relatif à la protection des données, un accès à des services tiers ;
•	fournir des statistiques en vue de permettre la mesure des accès aux différents services proposés ;
•	[À compléter].

Catégories de personnes concernées
Listez les différents types de personnes dont vous collectez ou utilisez les données.
1.	Élève ;
2.	Personne responsable de l’élève ;
3.	Personnel enseignant et non enseignant ;
4.	Apprenti (dans le cadre du tutorat et de l'apprentissage, ainsi que pour les entreprises partenaires) ;
5.	Tuteur de stage et maître d’apprentissage (dans le cadre du tutorat et de l'apprentissage, ainsi que pour les entreprises partenaires) ;
6.	[À compléter].

Catégories de données collectées
Cochez et listez les différentes données traitées

État-civil, identité, données d'identification, images :

Données élèves : numéro d’identifiant national (INE), civilité, noms, prénoms, date de naissance et, le cas échéant, lieu de naissance, ville et pays de naissance dans l'hypothèse où l'INE n'est pas enregistré ou en cas de conflit d'INE, photographie et coordonnées personnelles (adresse postale, téléphones fixe et portable, télécopie, adresse électronique).

Données personnes responsables des élèves : civilité, noms, prénoms, date de naissance, adresse postale, téléphones fixe et portable, télécopie, adresse électronique.

Données personnels enseignants et non enseignants : civilité, noms, prénoms, date de naissance, coordonnées professionnelles.

Données apprentis : numéro d'identifiant national (INE), civilité, noms, prénoms, date de naissance et, le cas échéant, lieu de naissance, ville et pays de naissance dans l'hypothèse où l'INE n'est pas enregistré ou en cas de conflit d'INE, photographie et coordonnées personnelles (adresse, téléphones fixe et portable, télécopie, adresse électronique).

Données tuteurs de stage et maîtres d’apprentissage : civilité, noms, prénoms et situation professionnelle du tuteur de stage ou du maître d'apprentissage, dénomination de l'entreprise partenaire et nom des élèves suivis en stage ou en apprentissage.

☐Vie personnelle : 
[À compléter]

Vie professionnelle : 

Données élèves : tout élément concernant la vie scolaire, la scolarité, les productions scolaires.

Données personnels enseignants et non enseignants : situation professionnelle, structure de rattachement,. informations administratives les concernant, toute information concernant la scolarité des élèves dont ils ont la charge, productions pédagogiques et administratives.

☐ Informations d’ordre économique et financier (ex. revenus, situation financière, données bancaires, etc.)
[À compléter]

 Données de connexion : 
Logs de connexion, adresse IP. 

☐ Données de localisation 
[À compléter]

☐ Internet 
[À compléter]

☐ Autres catégories de données :
[À compléter]

Des données sensibles sont-elles traitées ?
☐ Oui ☐ Non
Si oui, lesquelles ? :
[À compléter]

Durées de conservation des catégories de données
Combien de temps conservez-vous ces informations ?
Dans l’enseignement scolaire : 
1.	mise à jour des données au début de chaque année scolaire ;
2.	suppression des données dans un délai de trois mois dès lors que la personne concernée n’a plus vocation à détenir un compte ;
3.	conservation des contributions personnelles laissées dans les espaces communautaires et espaces de stockage d'informations personnelles ou de publication, sauf opposition du contributeur lors de la fermeture de son compte, uniquement à des fins informatives, pédagogiques ou scientifiques dans les conditions définies dans le RGPD ;
4.	[À compléter].

Catégories de destinataires des données
Destinataires internes / externes :
1.	Élèves, en ce qui concerne leurs informations personnelles et la vie scolaire ;
2.	Délégués d’élèves, en ce qui concerne la vie lycéenne ;
3.	Personnes responsables des élèves, en ce qui concerne la vie scolaire des enfants dont ils ont la charge ;
4.	Délégués des parents d’élèves, en ce qui concerne la vie de l'école ou de l'établissement ;
5.	Personnels enseignants, en ce qui concerne les informations relatives à la scolarité de leurs élèves ;
6.	Personnels autres que les personnels enseignants, en ce qui concerne leurs fonctions dans l'école ou l'établissement ;
7.	Intervenants extérieurs, en ce qui concerne des activités scolaires ou périscolaires auxquelles ils participent et qui sont organisées en accord avec le responsable de l'école ou de l'établissement ;
8.	Services municipaux dans le cadre de la préinscription scolaire et des activités organisées par les communes ;
9.	Associations de parents d’élèves et représentants des collectivités territoriales dans les instances délibératives de l’école ou de l’établissement, en ce qui concerne leur mandat ;
10.	Ministre chargé de l'Éducation nationale pour les seules données nécessaires à la mise en œuvre du traitement de données à caractère personnel dénommé « gestionnaire d'accès aux ressources » (GAR) et indirectement, les destinataires des données du GAR mentionnés dans l'arrêté portant création de ce traitement ;
11.	Fournisseurs proposant des services tiers via l’ENT en dehors du cadre du GAR, dans le respect des conditions strictement définies dans le SDET, pour les seules données nécessaires au fonctionnement de ces services ;
12.	[À compléter].

Sous-traitants
(Exemples : hébergeurs, prestataires et maintenance informatiques, etc.)
1.	[À compléter]
2.	[À compléter]
3.	[À compléter]
4.	[À compléter]

Transferts des données hors UE
Des données personnelles sont-elles transmises hors de l’Union européenne ?
[Vérifier si présence de flux hors Union européenne et le cas échéant, le préciser]
☐ Oui ☐ Non
Si oui, vers quel(s) pays :

[Dans des situations particulières (transfert vers un pays tiers non couvert par une décision d’adéquation de la Commission européenne, et sans les garanties mentionnées aux articles 46 et47 du RGPD), des garanties spécifiques devront être prévues et documentées dans le registre (article 49 du RGPD). A compléter par les garanties mises en place : Règles internes d'entreprise (ou BCR), clauses contractuelles types (CCT), Privacy Shield…]

Mesures de sécurité
Cochez et décrivez les mesures de sécurité organisationnelles et techniques prévues pour préserver la confidentialité des données.

[À compléter avec les principales mesures techniques et organisationnelles mises en œuvre. Pour les traitements respectant le schéma directeur des ENT (SDET), une extraction des mesures visées peut notamment être reprise (chapitre 11.3 du document principal) ainsi que les éléments contractuels]. 

Le niveau de sécurité doit être adapté aux risques soulevés par le traitement. Les exemples suivants constituent des garanties de base à prévoir et peuvent devoir être complétés.

☐ Contrôle d'accès des utilisateurs

☐ Mesures de traçabilité
Précisez la nature des traces (exemple : journalisation des accès des utilisateurs), les données enregistrées (exemple : identifiant, date et heure de connexion, etc.) et leur durée de conservation :

☐ Mesures de protection des logiciels (antivirus, mises à jour et correctifs de sécurité, tests, etc.)
Décrivez les mesures :

☐ Sauvegarde des données
Décrivez les modalités :

☐ Chiffrement des données
Décrivez les mesures (exemple : site accessible en https, utilisation de TLS, etc.) :

☐ Contrôle des sous-traitants
Décrivez les modalités :

☐ Autres mesures :