Re: [EDUC] UNSS & droit à l'image (et RGPD)

[FRANCOIS BOCQUET <francois.bocquet AT education.gouv.fr>]

Le 15/09/2022 10:50, « educ-request AT april.org au nom de Stéphane Moulinet » 
<educ-request AT april.org au nom de smoulinet AT april.org> a écrit :

    Le jeudi 15 septembre 2022 à 08:05 +0000, FRANCOIS BOCQUET a écrit :
    > 
    > Si le consentement doit être impérativement retourné pour permettre à
    > l'UNSS d'exploiter l'image de ton enfant dans des publications papier
    > ou web, la seule information suffit pour ce qui concerne le
    > traitement de DCP par l'UNSS (pas besoin de consentement).
    
    Bonjour,
    
    Je suis assez surpris de cette réponse (même si je plussoie que ce
    droit à l'image extorqué contre une adhésion, est disons très
    surprenant), car justement le choix des plateformes utilisées peut
    provoquer des traitements personnnels qui ne sont pas forcément
    souhaités, connus des familles.
-> les choix de sous traitance appartiennent aux responsables de traitement 
(ici l'UNSS). Les contrats de sous traitance (art 28) doivent être associé 
aux contrats passé avec les sous-traitants à différents niveaux (hébergement, 
SaaS comme la diffusion des informations vers les membres, services de 
supervision, CDN le cas échéant, etc...). Il faudrait voir le formulaire 
produit mais le consentement à l'utilisation de l'image doit être disjoint du 
contrat d'adhésion à l'UNSS (on doit pouvoir adhérer en refusant la 
réutilisation de l'image). Pour la conformité RGPD ce qui est indiqué me 
paraît en revanche suffisant au regard du droit en vigueur (je n'ai pas lu en 
détail tout ce qui es précisé sur le site de l'UNSS mais ca paraît plutôt 
carré).

    J'ai "reproché" à un collègue, qui demandait à des étudiants de lui
    envoyer sur sa messagerie personnelle des photos d'eux-mêmes afin de
    composer au plus vite un trombinoscope en début d'année, d'avoir des
    pratiques non conformes au RGPD, raison notamment de son choix de sa
    messagerie perso (outlook en plus) dont il ne pouvait garantir
    l'absence de traitement.
-> ici on est dans un autre problème qui est celui de l'utilisation de 
messagerie personnelle pour un usage professionnel. C'est bien là qu'est le 
problème. Ensuite si l'institution utilise Outlook dans le cadre d'un contrat 
professionnel avec MS (càd sans traitement des données par l'éditeur à 
d'autres fins que celles prévues par le contrat), il n'y a pas nécessairement 
de non conformité RGPD. Il ne faut pas utiliser de services basés sur des 
contrats entre un éditeur et l'utilisateur (contrat B2C) pour une utilisation 
professionnelle à fortiori si le traitement implique des données à caractère 
personnel d'autres personnes car ça ne peut être conforme.
    
    À partir du moment, où il y a un traitement de données personnels, il
    faut bien être informé de la nature des traitements qui vont avoir lieu
    avec (d'où la mention en théorie des contrats de sous-traitance
    (article 28 du RGPD que tu as toi même défendu sur cette liste).
-> oui pour la nature (c'est précisé dans l'article 13 et 14 du RGPD) mais 
pas pour le détail de la liste des sous-traitants (ca ne regarde que le RT et 
par le bénéficiaire du service). Aucun article du RGPD n'oblige à porter à la 
connaissance d'un usager l'identité de chacun des sous traitants utilisés à 
ma connaissance.    

Bonne journée.
    o-------------------------------------------------------------------o
  François BOCQUET 
  Chef de projet Veille et Prospective
  Bureau du soutien à l’innovation et à la recherche
  Sous-direction de la transformation numérique
  Direction du Numérique pour l’Éducation
  au Ministère de l’Éducation Nationale
  Tél. : +33 155 557 781 ou +33 6 35 48 21 13
  Bureau 129 au 99  rue de Grenelle à Paris
  Mèl. : francois.bocquet AT education.gouv.fr 
  Portfolio : http://fr.linkedin.com/in/fbocquet/