Article 1 - Est autorisée au ministère de l'Éducation nationale la mise en œuvre d'un traitement de données à caractère personnel dénommé « Service d'attestation numérique des diplômes » (Sand) ayant pour finalité de permettre à toute personne d'obtenir en ligne, par voie dématérialisée, les attestations numériques de ses diplômes et d'adresser à un ou plusieurs tiers un lien d'accès à l'application permettant de vérifier l'authenticité du ou des diplômes dont elle se prévaut.

Le traitement a également une finalité statistique.

Article 2 - Les catégories de données à caractère personnel faisant l'objet du présent traitement sont les suivantes :

1° données relatives à l'identité de la personne diplômée : civilité, nom de naissance, nom usuel, prénoms, date et lieu de naissance, identifiant national élève, établissement d'origine ;

2° données relatives au diplôme : intitulé du diplôme, année d'obtention, académie, mention, spécialités, code spécifique identifiant le diplôme ;

3° données renseignées par l'usager lors de la création d'un compte d'accès : identifiants et mot de passe, nom, prénom, date et lieu de naissance ;

4° données relatives à la traçabilité des accès : adresse IP de l'usager, date et heure de connexion.

Article 3 - Peuvent être destinataires des données à caractère personnel mentionnées à l'article 2, dans les limites du besoin d'en connaître :

- tout tiers autorisé par la personne diplômée à vérifier l'authenticité du ou des diplômes dont elle se prévaut ;

- les services de La Poste lorsque la personne diplômée choisit d'utiliser le coffre-fort numérique Digiposte pour la conservation des attestations numériques de ses diplômes ;

- les personnes habilitées des services informatiques de la Direction numérique pour l'éducation et du service informatique de l'académie de Rennes en charge de la maintenance de l'application ;

- La Direction générale de l'enseignement scolaire et la Direction du numérique pour l'éducation, uniquement à des fins statistiques.

Article 4 - I. Les données à caractère personnel mentionnées aux 1° et 2° de l'article 2 sont conservées en base active jusqu'à l'expiration d'un délai maximal de cinquante ans à compter de la date de délivrance du diplôme.

II. Les données à caractère personnel mentionnées au 3° de l'article 2 sont conservées jusqu'à ce que l'intéressé demande leur suppression.

Une demande explicite d'accord à la conservation de ses données sera adressée une fois par an à chaque usager. Dans l'hypothèse où la personne concernée ne répondrait pas à cette demande, il lui sera indiqué que les données la concernant seront définitivement supprimées dans un délai maximal d'un an à compter de l'envoi de ladite demande d'accord à la conservation de ses données.

III. Les données à caractère personnel mentionnées au 4° de l'article 2 sont conservées pendant six mois.

Article 5 - Les droits d'opposition, d'accès, de rectification ainsi que le droit de la personne concernée par le traitement de prendre des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès, prévus par les articles 38 à 40-1 de la loi du 6 janvier 1978 susvisée, s'exercent auprès de la mission du pilotage des examens de la Direction générale de l'enseignement scolaire par voie électronique à l'adresse dgesco.mpe@education.gouv.fr.

Article 6 - Les personnes concernées par le traitement seront informées des éléments prévus à l'article 32 de la loi du 6 janvier 1978 susvisée par le biais d'une mention figurant sur le site national de publication des résultats d'examen ainsi que sur les sites internet des rectorats et, pour les sessions d'examen à venir, par le biais d'une information insérée sur les relevés de notes des candidats.

Article 7 - Le directeur général de l'enseignement scolaire est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.

Fait le 23 mai 2018