La CNIL a publié lundi deux fiches pratiques pour encadrer l'usage des outils collaboratifs en ligne dans l'enseignement. Ces recommandations précisent les règles de protection des données personnelles des élèves, étudiants et enseignants, du premier degré jusqu'au supérieur.
Plus que jamais, on peut dire qu'entre les espaces numériques de travail (ENT), les messageries scolaires et les multiples applications qui gravitent autour, plus ou moins sécurisés d'ailleurs, la vie éducative a largement migré vers le cloud. C'est donc une masse considérable de données personnelles qui transite chaque jour par des serveurs distants, souvent sans que grand monde ne s'y attarde vraiment. Alors que la rentrée se profile, la Commission nationale de l'informatique et des libertés, la CNIL, a ainsi publié ce lundi 24 août deux fiches pratiques, une pour les écoles, collèges et lycées, et l'autre pour l'enseignement supérieur, histoire de remettre un peu d'ordre juridique dans ce joyeux bazar numérique.
Voici comment la CNIL veut protéger les données des élèves et étudiants
Derrière l'appellation certes un peu austère d'« outils collaboratifs en ligne », on retrouve des messages échangés entre enseignants, élèves et familles, des copies rendues en ligne, des appréciations glissées dans un bulletin, ou encore des documents personnels rangés dans un coffre-fort numérique. Dans le supérieur, les mêmes catégories de données circulent, en intégrant cette fois les échanges avec les chercheurs. Pour ne pas se perdre dans cette forêt réglementaire, les établissements sont censés s'appuyer sur leur délégué à la protection des données, leur boussole interne face au RGPD, le Règlement général sur la protection des données.
La mécanique repose, dans l'écrasante majorité des cas, sur des traitements de données personnelles soumis à ce fameux RGPD. En fait, chaque établissement doit identifier une base légale solide avant de déployer le moindre outil, qu'il s'agisse d'un ENT institutionnel ou d'une solution alternative. Pour les écoles, collèges et lycées, ce cadre est même consolidé de longue date, très exactement depuis la loi du 8 juillet 2013, qui a instauré un service public du numérique éducatif, aujourd'hui inscrit dans le code de l'éducation.
C'est là que la CNIL intervient. Pour utiliser un outil collaboratif, un établissement doit s'appuyer sur une base légale, autrement dit une justification prévue par le RGPD pour traiter des données personnelles. Le consentement, souvent perçu comme la solution la plus simple, pose ici problème : pour être valable, il doit être donné librement, sans pression ni crainte de conséquences en cas de refus. Or, un élève, un étudiant, un parent ou un enseignant reste soumis à l'autorité de son établissement, ce qui rend ce choix difficile à garantir en pratique. C'est pourquoi la CNIL recommande plutôt de s'appuyer sur la mission d'intérêt public. Les écoles et universités remplissent une mission prévue par la loi, ce qui leur permet de traiter ces données sans avoir à demander l'accord individuel de chacun.
Publicité, traceurs et transparence : les points de vigilance
Les traceurs publicitaires, voilà un autre sujet sensible. Dans les écoles, collèges et lycées, ils sont en principe purement et simplement interdits, au nom du principe de neutralité du service public de l'éducation, neutralité commerciale comprise. Dans le supérieur, la CNIL se montre un cran plus souple, puisqu'elle recommande de privilégier les outils sans traceurs, ou à défaut, ceux pour lesquels ces fonctionnalités peuvent être désactivées.
Reste la question de l'information des usagers, souvent le parent pauvre de la conformité RGPD. Chaque personne concernée doit savoir qui traite ses données et pourquoi, qui en sont les destinataires, si certaines partent vers un pays hors Union européenne, combien de temps elles sont conservées, et quels droits elle peut exercer, donc tout ce qui est accès, rectification, limitation, opposition, et parfois effacement. L'information doit rester lisible, sans jargon juridique imbuvable, sous peine de finir purement et simplement ignorée.
Pour les plus jeunes, la CNIL pousse le curseur plus loin en recommandant un langage clair, voire une adaptation façon « facile à lire et à comprendre », pensée notamment praour les usagers en situation de handicap ou en difficulté avec le français écrit. Pour eux, cette information doit idéalement arriver dès la première connexion à l'outil, puis être rappelée à chaque rentrée, par exemple lors de la réunion organisée avec les familles en primaire.
Les transferts de données hors Union européenne, le risque à ne pas négliger
Avant de déployer un outil susceptible de générer des risques élevés, la CNIL rappelle qu'une analyse d'impact, l'AIPD, s'impose souvent. Concrètement, il s'agit d'une étude préalable où l'établissement évalue les risques que fait courir un traitement de données, avant même de l'utiliser. L'analyse devient quasi automatique dès que deux critères se cumulent parmi une liste bien connue de la CNIL : présence de personnes vulnérables comme des mineurs ou des personnels en position de subordination, traitement à grande échelle portant sur un grand nombre de personnes ou de données, ou encore manipulation de données sensibles telles que des informations de santé. Dans la majorité des cas rencontrés à l'école ou à l'université, au moins deux de ces critères se retrouvent réunis, ce qui rend l'AIPD incontournable. En cas de doute, la CNIL recommande de la réaliser quand même, en s'appuyant par exemple sur son propre outil gratuit dédié à cet exercice, baptisé PIA.
Les établissements ne sont pas seuls responsables. Encore faut-il que le prestataire technique, souvent une entreprise privée qui héberge la solution, présente de vraies garanties. En théorie, il doit avancer une politique de sécurité solide, des certifications reconnues, un contrat en bonne et due forme qui précise la durée et la finalité du traitement, mais aussi les modalités de fin de contrat, avec la réversibilité et la suppression effective des données. Cela fait pas mal d'éléments que l'établissement doit pouvoir exiger et vérifier avant de signer quoi que ce soit. Le CEPD a d'ailleurs publié en octobre 2024 un avis, pensé avant tout pour les autorités de protection des données, mais qui peut aussi guider les établissements sur l'étendue des vérifications à mener sur toute la chaîne de sous-traitance.
Dernier point dont nous voulions vous parler, et non des moindres : la localisation des données. Un transfert hors de l'Union européenne expose à des risques d'accès par des autorités étrangères (même si certains, comme OVH, fait acte de résistance), un sujet particulièrement sensible quand il s'agit de mineurs, mais aussi d'étudiants majeurs qui restent, eux aussi, en position de subordination vis-à-vis de leur établissement. La CNIL conseille donc de privilégier des prestataires qualifiés SecNumCloud par l'ANSSI, gage d'un hébergement soumis exclusivement au droit européen. Un décret du 5 décembre 2025 va même plus loin en imposant déjà ces exigences de sécurité, d'interopérabilité et de numérique responsable aux collèges et lycées publics, sur la base de la doctrine technique du numérique pour l'éducation
Participer à la discussion
Partagez votre avis avec la communauté Clubic.