Règlement (UE) 2016/679, article 8

DPO externalisé pour les écoles, les établissements d'enseignement et l'edtech

L'enseignement traite des données de personnes que le règlement (UE) 2016/679 désigne comme méritant une protection spécifique : son considérant 38 relève que les enfants ont moins conscience des risques et des conséquences des traitements, ainsi que de leurs droits. Cette protection renforcée n'est pas un principe décoratif ; elle change la base légale mobilisable, le contenu de l'information, et l'exigence portée sur les outils choisis.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que la minorité change concrètement

Le règlement ne soumet pas tout traitement de données de mineurs à l'accord des parents. L'article 8 vise une hypothèse précise : l'offre directe de services de la société de l'information à un enfant, lorsque le traitement repose sur le consentement. Dans ce cas seulement, le consentement doit être donné ou autorisé par le titulaire de la responsabilité parentale en dessous d'un âge fixé entre treize et seize ans selon les États membres.

La plupart des traitements d'un établissement ne reposent pas sur le consentement : la gestion de la scolarité, l'évaluation, la sécurité relèvent de l'exécution d'une mission ou d'un contrat. L'accord des parents n'y est donc pas la question. Ce que la minorité impose, en revanche, est transversal : une information rédigée dans des termes que l'enfant peut comprendre, comme l'exige l'article 12.1, et une mise en balance plus stricte dès qu'un traitement dépasse le strict nécessaire.

C'est ce second point qui écarte, dans le contexte scolaire, la plupart des usages accessoires : la photographie de classe diffusée en ligne, l'usage d'un outil grand public non contractualisé, ou l'exploitation statistique des parcours d'apprentissage ne trouvent pas de fondement dans la mission d'enseignement.

Les outils numériques sont des sous-traitants, et se contractualisent

Un espace numérique de travail, une application de vie scolaire, une plateforme d'exercices, un outil de visioconférence : chacun traite des données d'élèves pour le compte de l'établissement, et relève à ce titre de l'article 28 du règlement. Le contrat doit comporter les clauses obligatoires du paragraphe 3, et l'établissement doit s'assurer que le prestataire présente les garanties suffisantes exigées par le paragraphe 1.

Deux vérifications comptent davantage que les autres dans ce secteur. Que l'outil n'exploite pas les données scolaires pour ses propres finalités, ce qui le ferait sortir du mandat de sous-traitance et le rendrait responsable d'un traitement qu'aucune base ne couvre. Et que la localisation des données et des accès administrateurs soit établie, car les services les plus répandus reposent sur des infrastructures opérées depuis des pays tiers.

L'adoption d'un outil par un enseignant à titre individuel, hors de tout contrat, est le point d'entrée le plus fréquent des écarts : l'établissement en répond comme responsable du traitement, alors même qu'il n'a rien décidé.

Résultats, évaluation et orientation

Les notes, appréciations et résultats sont des données personnelles dont la diffusion doit être limitée aux destinataires qui en ont besoin. L'affichage public de résultats nominatifs, la transmission à des tiers non prévus ou la constitution d'historiques au-delà de ce que la scolarité exige excèdent la finalité du traitement.

Les dispositifs d'orientation et d'affectation qui reposent sur un algorithme posent, eux, la question de l'article 22 du règlement : une affectation décidée exclusivement de façon automatisée affecte la personne de manière significative. Lorsqu'un tel dispositif est mis en œuvre, l'information sur la logique sous-jacente, prévue aux articles 13.2 f) et 14.2 g), et la possibilité d'obtenir une intervention humaine sont des obligations, non des gages de bonne volonté.

Ce qu'un éditeur edtech doit pouvoir produire

Un éditeur qui vend à des établissements se trouve dans la position du sous-traitant, et son cycle de vente est désormais conditionné par des pièces qu'il doit tenir prêtes : l'accord de traitement conforme à l'article 28.3, le registre du sous-traitant prévu à l'article 30.2, la liste des sous-traitants ultérieurs et leur localisation, et la description des mesures de sécurité de l'article 32.

S'y ajoute une exigence propre au secteur : démontrer qu'aucune exploitation publicitaire ou commerciale des données d'élèves n'a lieu, y compris par le biais de traceurs tiers embarqués dans l'application. C'est le premier point vérifié par un établissement attentif, et l'un des rares dont la réponse ne peut pas être contractuelle : il se vérifie sur le comportement réel du produit.

Questions fréquentes

Faut-il l'accord des parents pour tout traitement de données d'élèves ?

Non. L'article 8 du règlement (UE) 2016/679 ne vise que l'offre directe de services de la société de l'information à un enfant lorsque le traitement repose sur le consentement. Les traitements de scolarité reposent sur d'autres bases, et l'accord parental n'y est pas requis. L'information des titulaires de l'autorité parentale, elle, reste due dans tous les cas.

Un enseignant peut-il utiliser un outil en ligne gratuit avec sa classe ?

Pas sans contrat. Un outil qui traite des données d'élèves pour le compte de l'établissement est un sous-traitant au sens de l'article 28 du règlement, et la relation doit être régie par un acte juridique écrit comportant les clauses du paragraphe 3. L'établissement répond du traitement comme responsable, même lorsque l'initiative a été individuelle.

Peut-on publier les photos de classe sur le site de l'école ?

La publication d'une photographie identifiant un élève est un traitement distinct de la mission d'enseignement et n'est couverte par aucune base légale propre à celle-ci. Elle suppose un consentement spécifique, libre et révocable, donné ou autorisé par le titulaire de la responsabilité parentale, et le refus ne peut avoir aucune conséquence sur la scolarité de l'enfant.

Un établissement privé doit-il désigner un délégué à la protection des données ?

L'obligation de l'article 37.1 a) du règlement vise les autorités et organismes publics, ce qui couvre les établissements publics d'enseignement. Un établissement privé relève du droit commun des points b) et c), dont l'application dépend de l'échelle et de la nature des traitements. La désignation volontaire est fréquente et produit les mêmes obligations, notamment d'indépendance.

Ce que ce régime déclenche ailleurs

L'article 12.1 impose une information compréhensible par son destinataire : dans l'enseignement, cela suppose un document distinct pour les familles et pour les élèves.

Ce que doit contenir la politique de confidentialité

Fichier des adhérents, opinions révélées par l'objet social, donateurs et appels aux dons, bénévoles, et outils mutualisés dans des structures sans ressources dédiées.

Associations

Désignation obligatoire sans seuil, bases légales propres au secteur public, état civil et services à la population, périscolaire, vidéoprotection et ouverture des données.

Collectivités

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.