Application d’un corpus réglementaire :
Jusqu’à présent, les copies d’examen présentaient, dans les établissements publics, le caractère de documents administratifs et donnaient lieu à un droit d’accès dans les conditions prévues par le Livre III du Code des relations entre le public et l’administration.
Mais la CJUE vient de préciser qu’elles relevaient également de la réglementation sur la protection des données personnelles (CJUE, 20 décembre 2017, aff. C-434/16, Peter Nowak contre Data Protection Commissioner), ce qui implique l’application d’un corpus réglementaire beaucoup plus conséquent.
D’une part, l’institution détentrice des copies doit garantir aux candidats (heureux ou malheureux) le respect de leurs droits d’accès, de rectification et d’opposition.
- Le droit d’accès permet à la personne concernée d’accéder à sa copie, mais aussi, selon l’article 12 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, de savoir si les « données la concernant sont ou ne sont pas traitées, ainsi que [d’obtenir] des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées ». Très logiquement, la CJUE y ajoute la possibilité de demander la destruction des données à caractère personnel, conformément aux exigences relatives à la licéité de la collecte (V. ci-dessous).
- Quant au droit de rectification, il n’emporte bien entendu pas le droit de corriger les réponses du candidat, comme le précise la CJUE, car le caractère exact et complet des données à caractère personnel « doit être apprécié au regard de la finalité pour laquelle ces données ont été collectées », à savoir apprécier le niveau de connaissance et de compétence du candidat. Dès lors, ses réponses ne constituent pas une « inexactitude » au sens de la directive précitée, ouvrant un droit de rectification. Mais des erreurs matérielles pourraient justifier l’exercice de ce droit : la CJUE évoque comme exemples le cas où « par erreur, les copies d’examen ont été échangées de telle sorte que les réponses d’un autre candidat ont été attribuées au candidat concerné, ou [celui où] une partie des feuilles comportant les réponses de ce candidat a été perdue de telle sorte que lesdites réponses ne sont pas complètes, ou encore [celui où] les éventuelles annotations de l’examinateur ne documentent pas correctement l’évaluation portée par celui-ci sur les réponses du candidat concerné ».
- Enfin, le droit d’opposition du candidat lui permet notamment de « s’opposer à ce que ses réponses fournies lors de cet examen et les annotations de l’examinateur relatives à ces réponses soient traitées en dehors de la procédure d’examen et, en particulier, à ce qu’elles soient transmises à des tiers, voire publiées, sans son autorisation. De même, l’entité organisant l’examen est, en tant que responsable du traitement des données, tenue d’assurer que ces réponses et annotations soient stockées de manière à éviter que des tiers y aient accès de manière illicite ».
D’autre part, l’institution détentrice des copies doit respecter les exigences afférentes à la validité du traitement (automatisé ou non) des données personnelles, ce qui implique notamment, selon l’article 6 de ladite directive, que les données soient :
- collectées pour des finalités déterminées, explicites et légitimes,
- adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement,
- conservées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectée.
S’agissant des copies d’examen, et ainsi que le précise la CJUE, « leur conservation dans une forme permettant l’identification du candidat ne paraît, a priori, plus nécessaire une fois que la procédure d’examen est définitivement close et ne peut plus faire l’objet de recours ».
Il convient donc, pour les établissements relevant de la réglementation sur les archives publiques, de solliciter un bordereau de destruction établi par un archiviste.
Toutes ces obligations, qui vont être renforcées à compter du 25 mai 2018, date d’entrée en vigueur du RGPD, vont nécessiter la mise en place d’une véritable gouvernance des données par les établissements d’enseignement (Sur cette question, V. notre communication « Vers une gouvernance des COMUE par les données » au colloque international sur « Les regroupements dans l’enseignement supérieur et la recherche », sous la dir. d’E. Aubin et E. Guiselin, Poitiers, 9-10 novembre 2017 ; V. égal. A. Quin, Vers une gouvernance des COMUE par les datas, in Les regroupements dans l’enseignement supérieur et la recherche, sous la dir. D’E. Aubin et E. Guiselin, éd. Lextenso, 2018, à paraître ; C. Authemayou, Données et sécurité au cœur des enjeux EdTech en 2018, EducPros, 2 février 2018).
Annabel QUIN,
Maître de conférences à l’Université de Bretagne-Sud
Ancienne avocat au Barreau de Paris
Mise en ligne: 20/03/2018
