RGPD éducation nationale : comment protéger les données des élèves sans freiner les usages ?

C’est le dilemme que tout DSI de collectivité connaît bien. D’un côté, la CNIL qui intensifie ses contrôles dans le secteur éducatif depuis le renouvellement, le 16 décembre 2025, de son partenariat avec le ministère de l’Éducation nationale. De l’autre, des enseignants qui veulent utiliser des outils numériques efficaces, parfois Google Workspace, Canva ou des applications pédagogiques dont la conformité dans un cadre scolaire n’a pas été vérifiée. Canva, par exemple, propose désormais un contrat de sous-traitance et une option d’hébergement en Europe, mais reste soumis à des juridictions extra-européennes via son éditeur et ses sous-traitants, ce qui impose une évaluation au cas par cas.

Entre ces deux pressions, le DSI se retrouve en position inconfortable : s’il bloque tout, il passe pour un frein à la pédagogie. S’il laisse faire, il expose la collectivité à une mise en demeure. Et dans les deux cas, ce sont les données des élèves, des mineurs qui sont au centre.

Cet article n’est pas un guide juridique de plus sur le RGPD. C’est une réponse opérationnelle à une question concrète : comment tenir les deux bouts sans sacrifier ni la conformité ni la pédagogie ?

Pourquoi les données des élèves sont un cas particulier

Toutes les données personnelles ne se valent pas sous le RGPD. Celles des élèves bénéficient d’un régime de protection renforcée pour une raison simple : ce sont des données concernant des mineurs.

En France, la loi du 20 juin 2018 a fixé à 15 ans l’âge à partir duquel un mineur peut consentir seul au traitement de ses données numériques. En dessous de ce seuil, ce qui couvre l’essentiel du primaire et du collège, le consentement d’au moins un parent est requis pour tout service numérique non obligatoire. Concrètement, un enseignant qui fait créer des comptes sur une plateforme pédagogique externe sans passer par le cadre contractuel de la collectivité expose l’établissement à une violation de cette règle.

Par ailleurs, les données traitées dans un contexte scolaire sont extrêmement variées : identité des élèves, résultats scolaires, données de connexion aux ENT (Espaces numériques de travail), historiques de navigation sur les tablettes, données de santé pour les élèves à besoins particuliers. Chacun de ces traitements doit être répertorié dans le registre des traitements de la collectivité, un document que toute collectivité doit tenir à jour et être capable de produire en cas de contrôle de la CNIL.

Ce n’est pas une contrainte abstraite. La CNIL a mis en demeure plusieurs établissements scolaires pour des dispositifs de vidéosurveillance filmant des lieux de vie pendant les heures d’ouverture. En 2024, sur les 87 sanctions qu’elle a prononcées, une large majorité l’a été via la procédure simplifiée, qui concerne aussi le secteur éducatif, avec des amendes pouvant atteindre 20 000 euros. Les contrôles dans le secteur éducatif sont réels et en augmentation.

Le vrai problème : les outils que les enseignants utilisent sans le signaler

La source principale de non-conformité dans les collectivités scolaires n’est pas intentionnelle. Elle est structurelle. Des enseignants, en toute bonne foi, déploient des outils numériques dans leurs classes sans passer par la DSI, parce que c’est plus rapide, parce que l’outil est gratuit, parce qu’un collègue leur a recommandé.

Plusieurs académies le constatent régulièrement : les DSI et DANE (Délégués académiques au numérique éducatif) relèvent l’utilisation non déclarée de Google Drive, Dropbox, Microsoft 365 en ligne, Zoom, de plateformes de travail collaboratif hors ENT et d’applications de communication non conformes. Ces usages ne sont pas inscrits dans le registre des traitements, les contrats de sous-traitance RGPD n’existent pas, et les données des élèves transitent par des serveurs dont la conformité n’a jamais été vérifiée.

Le problème est aggravé par un phénomène bien connu des DSI : les outils gratuits qui financent leur modèle via la valorisation des données d’usage. Une application pédagogique freemium qui collecte les traces de navigation des élèves pour affiner ses algorithmes publicitaires est incompatible avec le cadre scolaire, même si elle est pédagogiquement efficace.

Ce n’est pas un problème de mauvaise volonté des enseignants. C’est un problème de gouvernance. Et la gouvernance, c’est le terrain du DSI.

Ce que le RGPD impose concrètement à la collectivité

La collectivité qui équipe ses établissements scolaires est responsable de traitement au sens de l’article 4 du RGPD. Ce statut implique trois obligations non négociables.

Tenir un registre des traitements à jour. Chaque outil numérique déployé dans les établissements (ENT, tablettes, applications pédagogiques, outils de visioconférence) doit être répertorié avec ses finalités, les catégories de données collectées, leur durée de conservation et les mesures de sécurité mises en place. Un registre incomplet ou non tenu à jour est un manquement documenté en cas de contrôle.

Contractualiser avec chaque sous-traitant. Tout prestataire qui traite des données pour le compte de la collectivité, qu’il soit éditeur d’application, hébergeur, fournisseur de MDM (Mobile Device Management) ou d’UEM (Unified Endpoint Management), doit signer un contrat de sous-traitance conforme à l’article 28 du RGPD. Ce contrat précise la nature des données, leur localisation, leur durée de conservation et les obligations de sécurité. En l’absence de ce contrat, c’est la collectivité qui supporte seule la responsabilité juridique.

Vérifier la conformité des outils avant déploiement. Le ministère de l’Éducation nationale publie des listes de ressources numériques qualifiées, notamment via le GAR (Gestionnaire d’Accès aux Ressources), mais chaque collectivité reste responsable de la conformité des outils déployés en dehors de ce cadre. Un outil non référencé n’est pas nécessairement non conforme, mais sa conformité doit être vérifiée avant tout déploiement dans les classes.

Comment évaluer un outil numérique avant de le déployer

C’est la question pratique que tout DSI devrait se poser systématiquement, et que peu posent réellement faute de méthode. Voici les cinq questions à intégrer dans tout processus d’évaluation d’un outil pédagogique.

Où sont hébergées les données ? L’hébergement doit être en France ou dans l’Union européenne. Mais la localisation seule ne suffit pas : si l’entreprise prestataire est soumise au droit américain, parce qu’elle est américaine ou filiale d’un groupe américain, les données peuvent être accessibles aux autorités américaines via le Cloud Act, quel que soit l’emplacement des serveurs.

L’éditeur propose-t-il un contrat de sous-traitance RGPD (DPA) ? Un prestataire sérieux fournit ce document spontanément. S’il faut le réclamer plusieurs fois, c’est un signal d’alerte sur la maturité de la démarche RGPD.

L’outil collecte-t-il uniquement les données nécessaires à son usage ? Le principe de minimisation des données est fondamental. Une application de suivi pédagogique n’a pas besoin de connaître la profession des parents ni l’adresse du domicile. Si les données demandées dépassent la finalité déclarée, l’outil n’est pas conforme.

L’outil est-il financé par la valorisation des données ? Un modèle freemium qui collecte les traces de navigation pour de la publicité ciblée est incompatible avec le cadre scolaire. Vérifiez les CGU et le modèle économique, pas seulement la fiche technique.

L’éditeur dispose-t-il d’un DPO joignable ? Un délégué à la protection des données identifié et une documentation RGPD accessible sont des indicateurs de maturité réglementaire. Leur absence n’est pas bloquante en soi, mais elle mérite d’être notée.

Comment mettre en place un filtrage sans bloquer les usages légitimes

Le filtrage web est souvent perçu par les enseignants comme une contrainte imposée par la DSI. Dans les faits, c’est une obligation réglementaire : la circulaire n° 2004-035 du 18 février 2004 impose aux établissements scolaires de disposer d’un dispositif de filtrage pour protéger les élèves mineurs des contenus inappropriés.

La clé pour ne pas bloquer les usages pédagogiques légitimes est la granularité du filtrage. Un filtrage binaire, où tout passe ou rien ne passe, est intenable. Ce que les enseignants acceptent, c’est un filtrage intelligent qui bloque les contenus illicites et inappropriés, autorise les ressources pédagogiques validées, et permet une procédure rapide de déblocage pour les outils légitimes non encore référencés.

Concrètement, cela passe par trois leviers. La liste de filtrage de l’Université de Toulouse est l’une des références les plus utilisées par les solutions françaises de filtrage en milieu scolaire. Elle classe les sites par catégories et permet un filtrage adapté à l’âge et au contexte d’usage. Les politiques par groupe permettent de différencier les droits selon les profils : un enseignant n’a pas les mêmes besoins qu’un élève de CM1. Et une procédure de demande de déblocage documentée et rapide transforme le DSI d’obstacle en partenaire aux yeux des enseignants.

Le dialogue avec les équipes pédagogiques est aussi important que l’outil lui-même. Un DSI qui explique pourquoi un outil est bloqué, et comment en demander le déblocage, est infiniment plus efficace qu’une liste noire silencieuse.

Cinq actions concrètes à lancer maintenant

Ces actions ne nécessitent pas de budget exceptionnel. Elles nécessitent de la méthode et un peu de temps.

Action 1 : Cartographier les outils utilisés dans les classes. Lancez un recensement auprès des directeurs d’établissement et des enseignants référents numériques. L’objectif : identifier tous les outils déployés, déclarés ou non. C’est la base sans laquelle aucune conformité n’est possible.

Action 2 : Mettre à jour le registre des traitements. Intégrez chaque outil identifié dans le registre avec ses informations de base. Ce travail peut être fait progressivement : commencez par les outils les plus utilisés et les plus sensibles (ENT, plateformes de notes, outils de visioconférence).

Action 3 : Demander les DPA à vos prestataires existants. Pour chaque prestataire numérique qui traite des données d’élèves, demandez le contrat de sous-traitance RGPD. Si un prestataire ne peut pas le fournir, c’est le signal pour réévaluer la relation contractuelle.

Action 4 : Créer une procédure d’évaluation des nouveaux outils. Mettez en place un processus simple, une fiche de 5 questions, que tout enseignant doit compléter avant d’utiliser un nouvel outil numérique en classe. L’objectif n’est pas de bloquer mais de documenter et d’orienter.

Action 5 : Former les enseignants référents numériques. Une heure de sensibilisation sur les points clés du RGPD (consentement des mineurs, outils non conformes, procédure de déclaration) multiplie l’efficacité de toutes les autres actions. Les enseignants ne sont pas des adversaires de la conformité, ils manquent simplement d’information.

Conclusion

La conformité RGPD dans les établissements scolaires n’est pas une contrainte opposée à la pédagogie. C’est un cadre qui, bien géré, protège à la fois les élèves, les enseignants et la collectivité.

Le DSI qui réussit cet équilibre n’est pas celui qui dit non à tout. C’est celui qui construit une gouvernance claire (recensement des outils, registre à jour, procédure d’évaluation rapide, filtrage intelligent) et qui devient un partenaire des équipes pédagogiques plutôt qu’un gardien des interdits.