Intervention de Catherine Morin-Desailly

Nous sommes heureux d'accueillir M. Paul Hébert, Mme Émilie Seruga-Cau et Mme Tiphaine Havel, représentants de la Commission nationale de l'informatique et des libertés (CNIL). Soyez les bienvenus. Votre présidente aurait souhaité être des nôtres, mais elle a été retenue par d'autres travaux. Nous l'auditionnerons prochainement sur des sujets plus larges.

Vous connaissez déjà certains de nos collègues, en particulier M. Loïc Hervé et Mme Sylvie Robert, membres du collège de la CNIL. J'ai également souhaité associer à nos travaux Mme Sophie Joissains qui a été rapporteure, pour la commission des lois, du projet de loi relatif à la protection des données personnelles, devenu depuis, la loi du 20 juin 2018. Elle n'a pas pu se libérer ce matin, et vous prie de bien vouloir l'en excuser. M. Laurent Lafon se fera son porte-parole.

Cette audition s'inscrit dans notre travail de suivi des lois que nous adoptons, en l'occurrence celle du 8 mars 2018, dite Orientation et réussite des étudiants (ORE). Avec cette loi, les traitements automatisés des données personnelles des candidats à l'entrée des formations du premier cycle de l'enseignement supérieur se sont généralisés dans tous les établissements de l'enseignement supérieur public.

Certes, conformément à l'objectif de la loi, ces traitements ne sont pas « exclusivement automatisés », car des commissions d'examen des voeux interviennent dans le processus de décision, y apportant une dimension humaine. Cependant, les questions de transparence de ces traitements automatisés, que nous appelons par facilité algorithmes locaux, posent question. Si la loi ORE a prévu une information ex post des candidats, elle a dédouané les établissements de leur obligation de publier ex ante une information générale sur les critères pris en compte dans l'examen des dossiers des candidats. Les attendus nationaux ou locaux apportent parfois une information mais, dans la plupart des formations, les critères retenus pour évaluer les candidatures ne sont pas rendus publics.

À peine trois mois après la promulgation de la loi ORE, le 25 mai 2018, le RGPD entrait en vigueur. À cette occasion, le Sénat a réexaminé la question de la transparence des algorithmes locaux et, à l'initiative de Mme Sophie Joissains, notre assemblée a supprimé l'exception Parcoursup sur la non-publication ex ante pour revenir à un régime de droit commun.

Nous aurions aimé vous entendre sur les changements opérés par l'entrée en vigueur du Règlement général de protection des données (RGPD), notamment au regard des dispositions de la loi ORE. Et, d'une manière générale, quelle appréciation la CNIL porte-t-elle sur le dispositif Parcoursup ? Enfin, le Gouvernement prépare un décret qui prescrit, pour tous les établissements participant à Parcoursup, l'affichage sur la plateforme des critères généraux d'examen des voeux. Ce projet de décret a été présenté lundi matin au Conseil national de l'enseignement supérieur et de la recherche (Cneser).