Les établissements scolaires et les organismes de formation traitent quotidiennement des volumes importants de données personnelles : informations sur les élèves et leurs familles, dossiers scolaires, données de santé, résultats d’examens. Le RGPD impose un cadre strict pour protéger ces données, d’autant plus que beaucoup concernent des mineurs. Ce guide complet détaille les obligations et les bonnes pratiques pour le secteur éducatif.
Pourquoi le secteur éducatif est particulièrement concerne
L’éducation fait partie des secteurs qui traitent le plus de données sensibles. Les établissements collectent des données sur les élèves (identité, résultats, comportement, santé), les parents (coordonnées, situation familiale, revenus pour les bourses), les enseignants et le personnel. La présence massive de données de mineurs renforce les exigences de protection.
Les outils numériques se sont multipliés dans l’éducation : espaces numériques de travail (ENT), plateformes d’apprentissage en ligne, applications de vie scolaire, outils de visioconférence. Chacun de ces outils implique un traitement de données qui doit être encadré.
Les principales données traitées dans l’éducation
Données des élèves et étudiants
Les dossiers scolaires contiennent des informations variées : identité, photo, résultats, appréciations, sanctions disciplinaires, informations de santé (allergies, PAI, handicap), et parfois des données relatives à la protection de l’enfance. Ces données sont particulièrement protégées car elles concernent des mineurs.
Données des familles
Les coordonnées des parents, la composition familiale, les situations de garde, les revenus (pour la cantine, les bourses) sont collectés par les établissements. Ces informations révèlent la vie privée des familles et nécessitent une confidentialité renforcée.
Données du personnel
Les données des enseignants, du personnel administratif et technique sont également concernées : dossiers RH, évaluations, données de connexion aux outils numériques, plannings. Le traitement de ces données doit respecter les mêmes principes de protection.
Les obligations RGPD des établissements scolaires
Désignation d’un DPO
Les établissements publics ont l’obligation de désigner un délégué à la protection des données. Dans l’Éducation nationale, des DPO académiques ont été nommés. Les établissements privés doivent également évaluer leur obligation de désignation, notamment lorsqu’ils traitent des données à grande échelle ou des données sensibles.
Registre des traitements
Chaque établissement doit tenir un registre documentant l’ensemble de ses traitements : gestion des inscriptions, suivi de la scolarité, gestion de la cantine, surveillance vidéo, utilisation des outils numériques. Ce registre est le document de référence pour démontrer la conformité.
Analyse d’impact
Les traitements à grande échelle de données de mineurs ou de données sensibles nécessitent une analyse d’impact sur la protection des données (AIPD). C’est le cas par exemple pour les systèmes de suivi du comportement des élèves, les plateformes d’apprentissage adaptatif ou la vidéosurveillance.
Le consentement des parents et des élèves
Pour les mineurs de moins de 15 ans, le consentement doit être donné par les titulaires de l’autorité parentale. À partir de 15 ans, le mineur peut consentir lui-même pour certains traitements, notamment les services en ligne. Cette distinction est essentielle pour les établissements qui déploient des outils numériques.
Cependant, le consentement n’est pas toujours la base légale appropriée dans le contexte scolaire. La gestion de la scolarité obligatoire repose sur une mission d’intérêt public. Le consentement est en revanche nécessaire pour les activités facultatives : photos de classe, sorties scolaires, inscription à des activités extrascolaires.
Outils numériques et protection des données
Le déploiement d’outils numériques dans l’éducation soulève des questions majeures de protection des données. Les ENT, les plateformes comme Google Workspace for Education ou Microsoft 365 Éducation, les applications de vie scolaire (Pronote, EcoleDirecte) traitent des volumes considérables de données d’élèves.
Chaque outil doit faire l’objet d’une évaluation préalable : ou sont hébergées les données, quelles garanties offre le prestataire, les données sont-elles utilisées à d’autres fins (publicité, profilage) ? Le choix d’outils conformes au RGPD et hébergés en Europe doit être privilégié.
Vidéosurveillance dans les établissements
La vidéosurveillance dans les écoles, collèges et lycées est strictement encadrée. Les caméras ne peuvent filmer que les espaces de circulation et les accès, jamais les salles de classe, les sanitaires ou les espaces de repos. Les images doivent être conservées 30 jours maximum et l’accès doit être limité à un nombre restreint de personnes habilitées.
Une information claire doit être affichée à l’entrée de l’établissement et dans les zones filmées. Les parents et les élèves doivent être informés de l’existence du dispositif et de leurs droits d’accès aux images les concernant.
Communication avec les familles
Les communications avec les familles (carnets de liaison numériques, emails, SMS) doivent respecter le RGPD. Les coordonnées des parents ne peuvent être utilisées que pour les finalités liées à la scolarité de l’enfant. La transmission de listes de diffusion à des associations de parents d’élèves nécessite le consentement des familles.
Les résultats scolaires et les informations disciplinaires sont des données confidentielles qui ne doivent être accessibles qu’aux personnes habilitées : parents, enseignants concernés, direction. La sécurisation des accès aux plateformes de vie scolaire est primordiale.
Bonnes pratiques pour les établissements
Pour assurer une conformité durable, les établissements scolaires doivent former l’ensemble du personnel aux enjeux de la protection des données, évaluer chaque nouvel outil numérique avant son déploiement, informer les familles de manière transparente, sécuriser les accès aux systèmes d’information et réaliser un audit annuel de leurs pratiques. La protection des données dans l’éducation est un enjeu de confiance entre l’institution, les familles et les élèves.
