Le e-learning connaît une croissance exponentielle, accélérée par la crise sanitaire et la transformation numérique de la formation. Les plateformes d’apprentissage en ligne collectent des données détaillées sur les apprenants : identité, progression, résultats, comportements de navigation, temps passe sur chaque module. Le RGPD encadre ces traitements pour garantir la protection de la vie privée des apprenants tout en permettant le suivi pédagogique.
Les données collectées par les plateformes e-learning
Une plateforme e-learning collecte bien plus de données qu’une formation en présentiel. Au-delà des informations classiques (identité, inscription, résultats), elle enregistre des données comportementales détaillées : pages visitées, temps passe sur chaque contenu, nombre de tentatives aux quiz, horaires de connexion, appareil utilisé, adresse IP, interactions avec les autres apprenants sur les forums.
Ces données, croisées et analysées, peuvent révéler des informations sensibles sur les habitudes de travail, les capacités d’apprentissage et le niveau de motivation des apprenants. Le principe de minimisation impose de ne collecter que les données réellement nécessaires aux finalités déclarées.
Learning analytics et profilage
Les learning analytics utilisent les données de navigation et de progression pour améliorer l’expérience d’apprentissage : recommandations de contenus, identification des apprenants en difficulté, adaptation du parcours pédagogique. Si ces analyses sont utiles, elles constituent un profilage au sens du RGPD lorsqu’elles produisent des évaluations automatisées des capacités des apprenants.
L’apprenant doit être informé de l’existence de ces analyses, de leur finalité et de son droit de s’y opposer. Si des décisions automatisées produisent des effets significatifs (refus de certification, orientation vers un parcours de rattrapage), l’apprenant a le droit de demander une intervention humaine.
Consentement et information des apprenants
Lors de l’inscription sur une plateforme e-learning, l’apprenant doit recevoir une information claire sur le traitement de ses données. Cette information doit préciser les données collectées, les finalités (suivi pédagogique, amélioration de la plateforme, statistiques, transmission au financeur), les destinataires, la durée de conservation et les droits de l’apprenant.
Le consentement est nécessaire pour certains traitements spécifiques : utilisation de cookies de tracking non essentiels, envoi de newsletters commerciales, transmission des données à des partenaires. En revanche, le suivi de la progression pédagogique peut reposer sur l’exécution du contrat de formation.
Hébergement et sécurité des données
Les plateformes e-learning sont souvent hébergées dans le cloud, parfois hors de l’Union européenne. Le choix de l’hébergeur est un enjeu majeur de conformité. Les plateformes hébergées aux États-Unis doivent être évaluées au regard du cadre de transfert applicable. Privilégiez les solutions hébergées en Europe, avec un chiffrement des données en transit et au repos.
La sécurité des comptes utilisateurs est également essentielle : authentification forte, politique de mots de passe robustes, déconnexion automatique après inactivité, et détection des accès suspects.
MOOC, SPOC et formations ouvertes
Les MOOC (Massive Open Online Courses) et SPOC (Small Private Online Courses) présentent des enjeux spécifiques. Les MOOC, ouverts à tous, collectent les données de milliers voire de millions d’apprenants. La base légale est généralement le consentement pour les fonctionnalités optionnelles et l’exécution du contrat pour le suivi pédagogique.
Les plateformes de MOOC (Coursera, edX, FUN-MOOC) sont des sous-traitants ou des co-responsables de traitement selon les cas. L’organisme qui propose la formation doit vérifier les garanties offertes par la plateforme et informer les apprenants des conditions de traitement de leurs données.
Examens et certifications en ligne
Les examens en ligne nécessitent parfois des dispositifs de surveillance (proctoring) qui collectent des données biométriques : vidéo, audio, analyse des mouvements oculaires. Ces traitements sont particulièrement intrusifs et nécessitent une analyse d’impact, une information détaillée de l’apprenant et, dans la mesure du possible, la proposition d’une alternative en présentiel.
Les résultats d’examen et les certifications délivrées constituent des données personnelles dont la conservation doit être encadrée. Les attestations de formation doivent être conservées selon les exigences réglementaires du secteur concerne.
Bonnes pratiques pour les éditeurs de plateformes
Les éditeurs de plateformes e-learning doivent intégrer la protection des données dès la conception (privacy by design) : parametre de confidentialité par défaut les plus protecteurs, collecte minimale de données, anonymisation des statistiques d’utilisation, transparence sur les algorithmes de recommandation et possibilité pour l’apprenant de télécharger ou supprimer ses données à tout moment.
