Fiche du registre des traitements : comptes informatiques des élèves (ComptesAD)
Préremplie avec ce que fait l'outil ComptesAD 1.0.0. Les zones en pointillés sont à compléter par l'établissement, avec son délégué à la protection des données (DPD).
Imprimez-la (Ctrl+P) ou recopiez-la dans le registre de l'établissement. Retour à la notice.
Les éléments préremplis décrivent le fonctionnement de l'outil. La base légale, les durées et l'information des familles relèvent de l'établissement : faites relire la fiche par votre DPD avant de la verser au registre.
1. Le traitement
| Nom du traitement | Gestion des comptes informatiques des élèves sur le réseau pédagogique de l'établissement (outil ComptesAD). |
|---|---|
| Date de création de la fiche | |
| Date de dernière mise à jour | |
| Responsable du traitement | L'établissement, représenté par son chef d'établissement. Nom de l'établissement : UAI : Adresse : Chef d'établissement : |
| Délégué à la protection des données | Nom et coordonnées : |
| Personne chargée de la mise en œuvre | Administrateur du réseau pédagogique : Compte Windows utilisé (compte délégué) : |
2. Finalités
- Créer, pour chaque élève inscrit, un compte d'accès au réseau informatique pédagogique (ouverture de session sur les postes de l'établissement), et, selon le réglage, son dossier personnel sur le serveur de fichiers.
- Tenir ces comptes à jour : classe, groupes de classe, nom affiché.
- Remettre à chaque nouvel élève son identifiant et un mot de passe provisoire (fiche imprimée).
- Désactiver le compte d'un élève qui a quitté l'établissement, puis le supprimer après un délai.
Le traitement ne sert à aucune autre fin : ni suivi de l'activité des élèves, ni évaluation, ni transmission à un tiers.
3. Base légale
À déterminer avec le DPD. Pour un établissement public, la base habituelle est l'exécution d'une mission d'intérêt public (article 6.1.e du RGPD) :
4. Personnes concernées
Les élèves inscrits dans l'établissement, mineurs pour la plupart. Nombre approximatif :
5. Données traitées
| Où | Données | Remarques |
|---|---|---|
| Fichier importé (lu sur le poste) | Nom, nom d'usage, prénom, classe, niveau, date de naissance, INE, numéro de l'élève dans SIECLE, date de sortie. | Lu en mémoire seulement. L'outil n'écrit l'INE, le numéro SIECLE ni la date de naissance dans aucun de ses fichiers : il n'en garde qu'une empreinte chiffrée. Les autres colonnes du fichier (sexe, adresse…) ne sont pas utilisées. Exception à prévoir : si une stratégie de groupe impose sur le poste la journalisation des modules PowerShell (événements 4103) ou la transcription, Windows y copie les données du fichier lues par l'outil (voir la mesure correspondante au § 9). |
| Annuaire Active Directory | Nom, prénom, nom affiché, classe, identifiant et nom de connexion, description (« Élève 5B »), chemin du dossier personnel ; marque de gestion ; empreinte chiffrée (HMAC-SHA256) de l'INE, du numéro SIECLE ou de la date de naissance ; appartenance aux groupes de classe. | L'annuaire est lisible par tous les comptes du domaine (fonctionnement normal d'Active Directory) : c'est pourquoi l'INE et la date de naissance n'y sont jamais écrits. L'empreinte ne permet pas de retrouver ces informations sans le secret de l'établissement. |
| Fiches de mots de passe (poste de l'opérateur) | Nom affiché, classe, identifiant, mot de passe provisoire. | Chiffrées pour le seul compte Windows de l'opérateur. Pages d'impression produites à la demande puis supprimées. |
| Journaux et photo avant (poste) | Pour chaque opération : date, opérateur, poste, identifiant, nom affiché, classe avant et après, emplacement dans l'annuaire, résultat. La photo avant donne l'état des comptes juste avant chaque application. | Jamais de mot de passe, d'INE ni de date de naissance. |
| Registre des identifiants retirés (poste) | Identifiant d'un compte supprimé et empreinte de l'élève. | Évite de donner l'identifiant d'un élève parti à un autre élève, et le rend à l'élève qui revient. |
| Plan d'application (poste) | Noms, prénoms, classes, identifiants des comptes concernés. | Sans INE ni date de naissance. |
| Dossier personnel (serveur de fichiers) | Fichiers enregistrés par l'élève. | Créé par l'outil si l'option est cochée ; archivé (renommé) à la suppression du compte, jamais effacé par l'outil. |
| Export de l'aperçu (si l'opérateur le demande) | Catégorie, nom, prénom, classe, identifiant. | Fichier CSV téléchargé sur le poste : à supprimer après usage. |
Données sensibles (article 9 du RGPD) : aucune n'est demandée. Attention toutefois aux noms de classes ou de groupes, lisibles par tous les comptes du domaine : un nom qui révèle une situation (ULIS, UPE2A…) est à éviter.
6. Sources des données
Export de la base élèves de l'établissement (cocher) : ☐ SIECLE (XML ou extraction CSV) ☐ ONDE ☐ Pronote ☐ EcoleDirecte / Charlemagne ☐ tableur tenu par l'établissement ; et saisie à la main d'un élève arrivé en cours d'année.
7. Destinataires
- L'administrateur du réseau pédagogique et les personnes habilitées à administrer l'annuaire :
- Tous les comptes du domaine peuvent lire les noms, prénoms, classes et identifiants dans l'annuaire (fonctionnement normal d'Active Directory).
- Chaque élève reçoit sa propre fiche (identifiant et mot de passe provisoire).
Sous-traitant : aucun. L'outil s'exécute sur les ordinateurs de l'établissement ; son auteur n'a accès à aucune donnée.
Transfert hors de l'Union européenne : aucun. L'outil ne se connecte à aucun service extérieur : le fichier est lu sur le poste, l'interface ne peut joindre que l'ordinateur lui-même, et le code ne contient aucun appel réseau sortant.
8. Durées de conservation
| Donnée | Durée appliquée par l'outil | Durée retenue par l'établissement |
|---|---|---|
| Compte d'un élève présent | Toute la scolarité dans l'établissement. | |
| Compte d'un élève parti | Désactivé dès l'import qui constate son départ, puis supprimé après un délai réglable : 90 jours par défaut, 7 jours au moins. | |
| Dossier personnel d'un élève parti | Inchangé pendant la quarantaine ; archivé (renommé dans _archives) ou laissé en place à la suppression du compte. Jamais effacé par l'outil. | Suppression des archives par l'administrateur après : |
| Fiches de mots de passe | Jusqu'à leur suppression par l'opérateur ; rappel à l'accueil au-delà de 7 jours (réglable). | |
| Journaux et photos avant | 12 mois (réglable) : suppression proposée à l'accueil au-delà. | |
| Plans d'application | Supprimés dès l'application réussie. Un plan abandonné est supprimé au premier lancement de l'outil qui suit ses 7 jours (et par la suppression des anciens journaux, écran « Journaux »). | |
| Registre des identifiants retirés | 2 ans après la suppression du compte. | |
| Fichier importé | En mémoire seulement : réduit aux colonnes utiles dès l'aperçu, libéré à l'application ou à la fermeture de l'outil ; un fichier analysé mais pas utilisé est oublié après 60 minutes. | |
| Fichier d'export dans le dossier Téléchargements, export de l'aperçu | Non géré par l'outil : l'écran de fin rappelle de supprimer l'export. | |
Journal technique (technique.log) | 30 jours ; aucune donnée d'élève. |
9. Mesures de sécurité
- Droits limités : l'outil est lancé avec un compte délégué qui n'a de droits que sur les dossiers des élèves dans l'annuaire. Les comptes d'administration ne sont jamais modifiés.
- Aucune donnée ne quitte l'établissement : traitement local, interface servie par l'ordinateur lui-même (adresse 127.0.0.1), protégée par un jeton à usage unique ; aucun appel vers Internet.
- Minimisation : l'outil n'écrit l'INE, le numéro SIECLE ni la date de naissance dans l'annuaire ni dans ses fichiers (journaux, plans, fiches) ; une empreinte chiffrée, calculée avec un secret propre à l'établissement, permet de reconnaître l'élève l'année suivante.
- Journalisation PowerShell du poste : si une stratégie de groupe impose la journalisation des modules PowerShell (événements 4103 du journal « Microsoft-Windows-PowerShell/Operational ») ou la transcription, Windows y copie les données du fichier des élèves traitées par l'outil (le secret de l'établissement et les mots de passe, eux, n'y passent pas). L'outil le signale à l'accueil et dans l'aperçu : « La journalisation PowerShell est active sur ce poste : journalisation des modules (événements 4103)… Les noms, INE, dates de naissance et classes du fichier des élèves seront copiés dans le journal PowerShell (Microsoft-Windows-PowerShell/Operational, événements 4103)… Restreignez qui peut lire ce journal, ou excluez les modules ComptesAD.* de la journalisation des modules… » (texte complet dans la notice, § 15). Mesure à prendre alors par l'établissement : restreindre l'accès à ce journal aux seuls administrateurs, ou exclure les modules
ComptesAD.*de la journalisation ; à noter ici : - Mots de passe : produits sur le poste, jamais affichés dans l'interface ni écrits dans les journaux ; fiches chiffrées pour le seul compte de l'opérateur ; changement obligatoire à la première connexion (réglage par défaut).
- Protection des fichiers de l'outil : dossier de données accessible aux seuls administrateurs, au système et à l'opérateur ; l'outil refuse de démarrer si son dossier peut être modifié par d'autres comptes.
- Traçabilité : journal de chaque opération (qui, quand, depuis quel poste, quel compte) et photo de l'annuaire avant chaque application.
- Prévention des erreurs : aperçu obligatoire, garde-fous (fichier incomplet, départs massifs), phrase de confirmation, quarantaine des comptes partis avant suppression, annulation possible des départs.
- Secret de l'établissement : exporté dans un fichier de configuration, à conserver comme un mot de passe, hors de portée des élèves.
- Mesures de l'établissement (chiffrement du disque du poste par BitLocker, sauvegardes, contrôle d'accès au poste) :
10. Droits des personnes
- Information des élèves et de leurs responsables légaux (règlement intérieur, charte informatique, autre) :
- Accès et rectification : auprès du chef d'établissement. Une rectification de nom ou de classe se fait dans la base élèves (SIECLE…), puis est reportée dans l'annuaire au prochain import.
- Contact pour exercer ses droits :
11. Analyse d'impact (AIPD)
Nécessaire ou non, à apprécier avec le DPD :
12. Validation
| Avis du DPD (date) | |
|---|---|
| Chef d'établissement (date et signature) |
ComptesAD 1.0.0 · fiche préremplie d'après le fonctionnement de l'outil (§ 9.10 de sa conception).