Re: [EDUC] Pronote et PAI/PAP - votre avis

[FRANCOIS BOCQUET <francois.bocquet AT education.gouv.fr>]

Bonsoir,
Il appartient donc aux chefs d'établissement de vérifier la sécurité et la 
"privacy by design" du service qu'ils achètent avant l'achat et après l'achat 
en réalisant ou en faisant réaliser des audits et en étant conseillé par des 
collaborateurs vigilants lors de la réalisation des analyses d'impact sur la 
protection des données.
Cette convention de nommage n'est effectivement pas carrée et cela devrait 
être une demande des chefs d'établissements utilisateurs du service.
En cas de fuite de données, la responsabilité engagée sera bien celle du 
responsable de traitement et pas celle du sous traitant vis à vis 
d'éventuelles sanctions au titre du RGPD (par la CNIL ou par le juge 
judiciaire).
Bonne soirée.
 
o-------------------------------------------------------------------o
  François BOCQUET 
  Chef de projet Veille et Prospective
  Bureau du soutien à l’innovation et à la recherche
  Sous-direction de la transformation numérique
  Direction du Numérique pour l’Éducation
  au Ministère de l’Éducation Nationale
  Tél. : +33 155 557 781 ou +33 6 35 48 21 13
  Bureau 129 au 99  rue de Grenelle à Paris
  Mèl. : francois.bocquet AT education.gouv.fr 
  Portfolio : http://fr.linkedin.com/in/fbocquet/

Le 26/09/2022 18:56, « educ-request AT april.org au nom de Étienne ANDRÉ » 
<educ-request AT april.org au nom de etienne AT intendancezone.net> a écrit :

    ... en tout cas dans l'exemple, que je donnais la semaine dernière, du 
choix de la convention de nommage des fichiers pour la collection de photos 
des élèves, il y a un choix malheureux, et c'est celui d'Index Education.
    
    ----- Mail original -----
    > De: "FRANCOIS BOCQUET" <francois.bocquet AT education.gouv.fr>
    > À: educ AT april.org
    > Envoyé: Lundi 26 Septembre 2022 11:03:12
    > Objet: Re: [EDUC] Pronote et PAI/PAP - votre avis
    > 
    > Non Index Education/Pronotes est toujours un sous traitant et n'est
    > jamais responsable du traitement.
    > Vis à vis du RGPD c'est bien le chef d'établissement qui est
    > responsable du choix du sous traitant, des paramétrages des services
    > de ses sous traitant et de l'information des personnes concernées
    > par le traitement ainsi que de la surveillance de la conformité des
    > traitements vis à vis des contrats et clauses de sous traitance et
    > des démarches vis à vis de la CNIL (en cas de violation de données
    > par exemple).
    > Idéalement un service "privacy by design" comme l'exige le RGPD
    > devait être paramétré par défaut pour protéger le plus possible les
    > données. Ensuite c'est au responsable de traitement ou à la personne
    > qu'il désigne d'ouvrir les paramètres pour élargir les droits
    > d'accès aux données. Ca ne s'improvise pas...
    > Bonne journée.
    >  
    > o-------------------------------------------------------------------o
    >   François BOCQUET
    >   Chef de projet Veille et Prospective
    >   Bureau du soutien à l’innovation et à la recherche
    >   Sous-direction de la transformation numérique
    >   Direction du Numérique pour l’Éducation
    >   au Ministère de l’Éducation Nationale
    >   Tél. : +33 155 557 781 ou +33 6 35 48 21 13
    >   Bureau 129 au 99  rue de Grenelle à Paris
    >   Mèl. : francois.bocquet AT education.gouv.fr
    >   Portfolio : http://fr.linkedin.com/in/fbocquet/
    > 
    > Le 23/09/2022 17:05, « educ-request AT april.org au nom de F. Dubois »
    > <educ-request AT april.org au nom de euclide71 AT legtux.org> a écrit :
    > 
    >     Bonsoir,
    >     
    >     Je suis d'accord avec ce qui a été répondu précédemment. Mais il
    >     est
    >     mentionné invités et/ou partenaires. C'est le chef
    >     d'établissement qui
    >     est responsable, dans mon collège en tout cas, du paramétrage de
    >     Pronote. Et donc, au vu des compétences très hétérogènes des dits
    >     chefs,
    >     il existe une potentialité d'ouverture de ces données à des
    >     personnes
    >     non pertinentes, non qualifiées. Pronote peut-il être alors tenu
    >     pour
    >     responsable d'un mauvais usage de son produit ?
    >     Bon samanche,
    >     
    >     Fabien
    >     
    >     > --
    >     > Pour vous désinscrire de cette liste :
    >     > https://listes.april.org/wws/sigrequest/educ
    >     >
    >     > Pour connaître la configuration de la liste, gérer votre
    >     > abonnement à la liste educ et vos informations personnelles :
    >     > https://listes.april.org/wws/info/educ
    >     >
    >     >
    >     
    >     
    > 
    > 
    > --
    > Pour vous désinscrire de cette liste :
    > https://listes.april.org/wws/sigrequest/educ
    > 
    > Pour connaître la configuration de la liste, gérer votre abonnement à
    > la liste educ et vos informations personnelles :
    > https://listes.april.org/wws/info/educ
    > 
    > 
    > 
    
    --
    
    -- 
    Étienne ANDRÉ
    http://www.intendancezone.net
    Tél direct 01 53 09 13 03