Corrigé secrétaire administratif classe normale 2018 : BAFA et RGPD

Cette proposition de correction non officielle traite l’ensemble du sujet de la session 2018, voie externe et interne — sujet réellement commun. Elle s’appuie sur les données et les documents fournis dans cette épreuve.

Le sujet officiel comporte 20 pages. Retrouvez les autres épreuves dans le catalogue du concours.

Note au chef du bureau de la protection des mineurs — candidatures BAFA et protection des données

Objet : préparation du site d’inscription au BAFA à l’application du règlement européen le 25 mai 2018. Le site recueille des renseignements sur les candidats et permet la transmission d’une copie de pièce d’identité. Sa déclaration à la CNIL, rappelée dans la plaquette de janvier 2018, ne suffira plus à établir sa conformité. Le bureau doit pouvoir expliquer le traitement, protéger les informations et prouver les mesures prises. Cette note se place à la date de l’épreuve, avant l’application du RGPD.

1. Les données personnelles recueillies

Une donnée personnelle est une information relative à une personne physique identifiée ou identifiable, directement ou par recoupement. Le nom et les coordonnées d’un candidat BAFA le désignent directement. Son identifiant de compte, sa direction départementale, son parcours de formation ou le numéro et l’image de sa pièce d’identité peuvent aussi permettre de le retrouver. La copie recto verso demandée à l’inscription mérite une protection particulière du fait des possibilités d’usurpation d’identité. Les données restent personnelles lorsqu’elles sont pseudonymisées mais qu’une réidentification demeure possible ; une information réellement anonymisée ne permet plus cette identification. La règle concerne le site, les extractions informatiques et les éventuels dossiers papier structurés (documents 1, 3, 6 et 7).

2. Les principes renforcés par le RGPD

Le bureau doit déterminer une finalité explicite, ici l’inscription, le suivi des étapes de formation et la délivrance du brevet, puis rattacher chaque opération à une base juridique appropriée. Une mission d’intérêt public ou une obligation légale peut fonder la gestion administrative ; il faut vérifier le fondement exact, sans présumer que toute collecte nécessite le consentement. La collecte doit se limiter aux informations nécessaires. La pièce d’identité, par exemple, sert à vérifier le candidat et ne doit pas devenir un document librement consultable par tous les agents. Les données doivent être exactes, tenues à jour, conservées pendant une durée définie et accessibles aux seules personnes habilitées. Une information claire sur les usages, les destinataires et les droits des candidats assure la transparence.

Le changement central est la responsabilité démontrable : le service documente ses choix, les risques et les protections dans un registre et les revoit. La protection doit être prévue dès la conception et dans les paramètres par défaut du site. Les déclarations et autorisations préalables décrites par la fiche Service-Public de 2017 correspondent en grande partie au régime antérieur ; elles ne remplacent pas ce travail de conformité en 2018 (documents 2, 4 et 6).

3. Les droits des candidats et des citoyens

Les personnes doivent recevoir une information plus lisible et pouvoir exercer simplement leurs droits d’accès et de rectification. Le RGPD précise également les conditions de l’effacement, de la limitation d’un traitement et de l’opposition ; il renforce la possibilité de saisir l’autorité de protection en cas de difficulté. Le document 5 présente le droit à la portabilité, qui permet de récupérer certaines données fournies dans un format réutilisable. Ce droit a cependant des conditions : le traitement doit être automatisé et fondé sur le consentement ou sur un contrat. Il ne s’applique pas au traitement nécessaire à une mission d’intérêt public. Il serait donc faux de garantir d’emblée la portabilité de tout le dossier BAFA. De même, une demande d’effacement ne fait pas disparaître une donnée que l’administration doit légalement conserver pour instruire ou justifier une décision.

Le site doit expliquer où adresser les demandes et permettre une voie électronique lorsque les données ont été collectées en ligne. L’identité du demandeur doit être vérifiée de façon proportionnée avant communication de pièces. L’affiche du dossier évoque aussi la protection des mineurs ; le candidat BAFA a, selon la plaquette de l’épreuve, au moins 17 ans. On ne transpose donc pas automatiquement à ce site l’exemple illustré d’une inscription en ligne d’un enfant de moins de 16 ans (documents 1, 4 et 5).

4. Mesures à engager pour le bureau BAFA

Le chef de bureau fait recenser le traitement dans le registre de l’administration : catégories de candidats et de données, finalités et base juridique, agents et prestataires ayant accès, flux vers les directions départementales, lieu d’hébergement, éventuels transferts hors de l’Union, durée de conservation et mesures de sécurité. Il travaille avec le délégué à la protection des données, dont la désignation est obligatoire pour un organisme public. Le délégué conseille et contrôle ; la responsabilité du traitement reste portée par l’organisme et ses services compétents.

La notice d’inscription doit être réécrite dans un langage accessible. Elle indiquera notamment le responsable, la finalité, le fondement, les données indispensables, les destinataires, la durée ou son critère, les droits applicables et le contact du délégué. Le service vérifie que chaque champ du formulaire et chaque pièce demandée est nécessaire. Pour la copie d’identité, il organise une transmission sécurisée, des habilitations limitées, la traçabilité des accès et une suppression ou un archivage à l’échéance justifiée. Les contrats avec l’hébergeur et les autres sous-traitants doivent préciser confidentialité, sécurité et assistance. Les agents recevront une procédure pour traiter les demandes de droits et signaler une perte ou divulgation de données.

Enfin, le bureau évalue les risques pour les candidats. Une analyse d’impact est requise si le traitement est susceptible d’engendrer un risque élevé ; la seule présence d’un site ou d’une pièce d’identité ne suffit pas à l’affirmer sans examen. En cas de violation, la notification à la CNIL doit intervenir, si elle est requise, dans les meilleurs délais et si possible sous 72 heures ; les personnes sont averties si le risque est élevé. Registre, notice, contrats, éventuelle analyse d’impact et procédures doivent être tenus à jour. Ces mesures traduisent les six étapes proposées par la CNIL dans le dossier, de la désignation d’un pilote jusqu’à la preuve continue de conformité (documents 4 et 6).

Conclusion. Pour les candidats, le règlement apporte une information et des moyens de contrôle plus effectifs. Pour le bureau, il transforme une formalité déclarative en responsabilité quotidienne : connaître ses données, limiter leur usage, les sécuriser et pouvoir justifier chacun de ces choix.