Il est reproché à AIS 2 d’avoir constitué des fichiers nominatifs concernant plus de 200 000 enseignants (candidats, recrutés ou refusés), près de 350 000 clients (parents ou enfants) et 150 000 personnes prospectées. Lors de contrôles effectués à Aix-en-Provence les 12 et 13 novembre 2009, une délégation de la Cnil a constaté la mise en œuvre de deux bases de données par la société AIS 2 : l’une ayant pour finalité la gestion des candidats au poste d’intervenant (base SRANET), l’autre la gestion des intervenants et des familles clientes (base SEANET).

Aucune déclaration préalable n’avait été faite à la Cnil de l’existence de ces fichiers qui comportaient des commentaires susceptibles de porter gravement atteinte à leur vie privée, ainsi que des informations relatives à la santé (nature des pathologies, etc.) ou à des infractions et des condamnations. La Cnil met également en cause la collecte du NIR (“numéro de sécurité sociale”) des candidats en vue de son utilisation éventuelle pour interroger le fichier des enseignants « interdits ».

Interrogé par l’AFP, le président d’Acadomia, Maxime Aiach, avait reconnu des « erreurs » mais assuré que les fiches incriminées « se comptaient sur les doigts de deux mains, sur deux millions de fiches au total ». Ces fiches « ont été ou corrigées ou supprimées », selon lui.

Avertissement de la Cnil [3]

La CNIL adresse un avertissement à ACADOMIA pour des commentaires excessifs dans ses fichiers

Le 27 mai 2010

La formation contentieuse de la CNIL a prononcé le 22 avril 2010 un avertissement public à l’encontre de la société AIS 2, exerçant sous l’enseigne ACADOMIA. Cette société sélectionne des enseignants puis propose leurs services de soutien scolaire à ses clients, qui sont majoritairement des parents d’élèves.

Des commentaires excessifs ou insultants

A la suite d’un contrôle effectué en novembre dernier, la Commission a constaté dans les fichiers de la société la présence de plusieurs centaines de milliers d’informations concernant des enseignants et des clients (parents ou élèves). Elle a relevé des commentaires excessifs, voire insultants, tels que « gros con », « vraiment trop conne », « mère salope », « gros crétin », « saloperie de gamin », « parisien frustré », « sent le tabac et la cave », « seul bémol : il pue ».

Des informations sur l’état de santé

Elle a également découvert des informations détaillées sur l’état de santé des élèves, parents et enseignants, tels que « cancer du poumon tant mérité », «  hospitalisé en urgence pour une tumeur cancéreuse au cerveau de grade 3 », «  sa maman a cancer utérus », « narcoleptique ; hypersomniaque, tentatives de suicide, varie de la boulimie & anorexie  ». Or, s’il est légitime de tenir compte de contraintes d’ordre médical pour l’organisation de cours à domicile, la Commission ne saurait admettre l’enregistrement d’informations détaillées sur les pathologies touchant les clients ou les enseignants, a fortiori sans leur consentement.

Des informations sur des infractions et des condamnations

De plus, il est apparu que la société enregistrait des informations relatives à des infractions et des condamnations, telles que : « élève retourné en prison », « est mis en examen (je ne sais pas pourquoi) », « vols de sacs et argent avec un camarade, destruction de toilettes…  », « le père avait fait de la prison », « sa cousine avait été assassinée et violée ». La Commission a considéré que la société ne peut enregistrer, à partir de simples signalements, des informations non vérifiées susceptibles d’aboutir à la constitution d’un fichier privé d’infractions qui est interdit par la loi.

Au regard du nombre de manquements constatés et de leur gravité, la CNIL a prononcé, à l’encontre de la société AIS 2, un avertissement qu’elle a souhaité rendre public. Elle a également informé le parquet des manquements susceptibles de constituer des infractions pénales.

Une utilisation contestée du NIR

Un autre manquement a été relevé par la Cnil concernant « l’obligation de traiter les données à caractère personnel de façon compatible avec la finalité pour laquelle elles sont collectées ». Il s’agit de l’utilisation du NIR comme identifiant en vue de l’interrogation du fichier des « cadres interdits d’exercice dans les centres de vacances » du ministère de la jeunesse et des sports [4], ainsi qu’elle l’expose dans les deux extraits suivants de sa délibération du 22 avril 2010 [1] :

Liste des enseignants interdits

Par ailleurs, la base SEANET comprend une liste de 6.043 enseignants dits « interdits », auxquels la société ne souhaite plus attribuer de cours. Cette liste contient le nom, le prénom, la date et le lieu de naissance, le NIR lorsque la société en dispose, ainsi que le motif d’interdiction des enseignants exclus. Y figurent les enseignants signalés par un client à la suite d’un comportement déplacé avec un élève, ainsi que les enseignants visés par une mesure d’interdiction administrative et inscrits comme tels au fichier des « cadres interdits d’exercice dans les centres de vacances » du ministère de la jeunesse et des sports, auquel la société a régulièrement accès. La délégation a constaté que l’ensemble des données du fichier du ministère étaient extraites mensuellement par la société, puis intégrées dans sa propre liste d’« interdits ».

Traitement du NIR de façon non compatible avec la finalité pour laquelle il a été collecté

La Commission considère qu’il est légitime que la société collecte le NIR des enseignants afin d’accomplir les formalités imposées par la loi auprès des organismes de sécurité sociale pour le compte de ses clients. [...]

Elle considère en revanche que l’utilisation de ce numéro comme identifiant des enseignants « interdits » apparaît incompatible avec la finalité initiale de sa collecte. De surcroît, ce traitement du NIR n’apparaît pas indispensable à l’identification des personnes concernées, lesquelles peuvent l’être par leurs nom, prénom et date de naissance. Il intervient en tout état de cause en dehors de la sphère sociale, et par conséquent en dehors des règles légales qui encadrent l’utilisation du NIR.

En conséquence, le traitement du NIR des candidats afin d’interroger le fichier des enseignants « interdits » constitue un détournement de la finalité ayant présidé à la collecte de cet identifiant, faits contraires aux dispositions du 2° de l’article 6 de la loi du 6 janvier 1978 modifiée.

La Cnil signale dans sa délibération que, depuis la révélation de ces faits, le NIR ne serait plus collecté avant l’embauche des enseignants par les familles.