Souveraineté numérique à l’école : le guide pour les collectivités

Depuis deux ans, la souveraineté numérique est partout dans les discours publics sur l’éducation, mais rarement définie concrètement. Pour une collectivité qui équipe ses écoles, la question n’est pas philosophique : elle se résume à savoir où vivent les données de vos élèves, qui peut y accéder, et ce que vous risquez si la réponse ne vous convient pas.

Ce guide ne répète pas ce que nos articles détaillent déjà. Il les relie entre eux, dans l’ordre où un DSI ou un élu doit se poser les questions : le cadre légal, les endroits où la souveraineté se joue vraiment, les critères pour juger une solution, et ce qu’il en coûte de ne pas s’y pencher. Chaque section renvoie vers l’article qui approfondit le sujet.

Ce que la souveraineté numérique change concrètement pour une école

Une collectivité qui déploie des tablettes, un ENT ou une suite logicielle dans ses écoles devient responsable de traitement au sens du RGPD, dès le premier équipement. Cela veut dire : savoir sur quels serveurs vivent les données de vos élèves, sous quelle juridiction ces serveurs sont soumis, et pouvoir répondre à un contrôle de la CNIL sans découvrir la réponse en même temps que l’inspecteur.

La souveraineté numérique n’est pas un supplément d’âme patriotique. C’est la garantie que ces réponses sont bonnes par construction, pas par chance. UNOWHY détaille cet engagement sur sa page souveraineté numérique ; ce guide, lui, part du problème concret pour vous amener vers les solutions.

Le cadre juridique en quatre textes

Quatre textes structurent aujourd’hui les obligations des collectivités, et ils s’articulent entre eux plutôt que de se substituer les uns aux autres.

Le RGPD, en vigueur depuis 2018, impose un registre des traitements, un DPO et la conformité documentée des sous-traitants. Le Cloud Act américain vient percuter cette conformité dès qu’un éditeur non européen héberge vos données, même sur un serveur situé en France. Notre article Cloud Act, RGPD, CNIL : les 5 obligations des collectivités détaille ce chevauchement et les 5 critères de conformité à vérifier avant de signer un marché.

La directive NIS2, transposée en 2024, élargit le périmètre des entités soumises à des obligations renforcées de cybersécurité, y compris certaines collectivités gérant des infrastructures numériques scolaires. Nous expliquons ce que ça change concrètement pour votre parc dans NIS2 pour les collectivités.

Enfin, la loi SREN et son décret d’application ont fait émerger la qualification SecNumCloud de l’ANSSI comme référence pour l’hébergement souverain. Nous avons fait le point sur ce que la loi impose vraiment en 2024-2026 dans Numérique scolaire : ce que la loi impose vraiment aux collectivités, et détaillé la certification elle-même dans SecNumCloud expliqué aux DSI de collectivités.

Où la souveraineté se joue vraiment : trois couches à vérifier

La souveraineté n’est pas un attribut global d’une solution, c’est la somme de trois choix distincts, souvent pris par des personnes différentes dans une même collectivité.

L’hébergement, d’abord : un serveur physiquement situé en France ne suffit pas si l’éditeur qui l’opère reste soumis à une législation extraterritoriale. Nous détaillons pourquoi dans Hébergement des données scolaires : pourquoi des serveurs en France ne suffit pas.

La gestion de parc, ensuite : le choix entre MDM et UEM n’est plus seulement technique dès qu’un enjeu de conformité s’ajoute. Nos deux articles MDM ou UEM souverain : quel choix pour les collectivités ? et MDM vs UEM : quelles différences et lequel choisir ? posent les critères de décision.

La sécurité opérationnelle, enfin : une solution souveraine mal exploitée reste vulnérable. L’ANSSI a recensé 218 incidents cyber affectant des collectivités en 2024 ; nous détaillons les 5 vecteurs d’entrée les plus fréquents dans 218 incidents en 2024 : par où les cyberattaquants entrent-ils dans les collectivités ?

5 critères pour reconnaître une solution réellement souveraine

Face à un argumentaire commercial qui utilise le mot « souverain » de façon décorative, cinq critères permettent de trancher sans ambiguïté :

1. Hébergement sur des serveurs situés en France ou dans l’UE, opérés par une entité de droit européen.
2. Éditeur non soumis à une législation extraterritoriale type Cloud Act, même via une filiale.
3. DPA (Data Processing Agreement) signable, pas juste évoqué dans une plaquette commerciale.
4. Conformité RGPD documentée et vérifiable en cas d’audit CNIL ou NIS2.
5. Absence de collecte ou de monétisation des données au-delà du strict nécessaire au service.

Pour voir comment ces critères se traduisent concrètement dans le choix d’un outil de gestion de parc, notre comparatif des solutions MDM pour l’éducation applique cette grille à des produits réels.

Ce qu’il en coûte de ne pas s’y mettre

Le risque n’est pas théorique. Au-delà des 218 incidents cyber déjà cités, la CNIL a intensifié ses contrôles dans le secteur éducatif depuis le renouvellement de son partenariat avec le ministère de l’Éducation nationale, fin 2025. Notre article RGPD éducation nationale : comment protéger les données des élèves sans freiner les usages ? détaille ce que ces contrôles regardent en priorité.

Le coût d’une non-conformité ne se limite pas à l’amende. Il inclut le temps de gestion de crise, la perte de confiance des familles et des enseignants, et parfois l’obligation de migrer en urgence un parc entier, dans des conditions bien moins favorables qu’un renouvellement de marché anticipé.

Par où commencer quand on est DSI ou élu

Trois étapes suffisent pour engager la démarche sans attendre un grand plan de transformation :

1. Cartographier l’existant : quels outils sont déployés dans vos écoles, quels éditeurs les opèrent, où sont hébergées les données. Notre article sur la gestion des équipements numériques en éducation donne une méthode pour cette cartographie.
2. Intégrer les 5 critères ci-dessus dans le prochain marché public, plutôt que d’attendre une refonte complète du parc.
3. Échanger avec des pairs confrontés aux mêmes choix. C’est l’objet du Club DSI UNOWHY, qui réunit les décideurs IT du public et du privé pour partager leurs bonnes pratiques.