École, fac, et notes en ligne, la CNIL remet les pendules à l'heure sur vos données avant la rentrée

La CNIL a publié lundi deux fiches pratiques pour encadrer l'usage des outils collaboratifs en ligne dans l'enseignement. Ces recommandations précisent les règles de protection des données personnelles des élèves, étudiants et enseignants, du premier degré jusqu'au supérieur.

Plus que jamais, on peut dire qu'entre les espaces numériques de travail (ENT), les messageries scolaires et les multiples applications qui gravitent autour, plus ou moins sécurisés d'ailleurs , la vie éducative a largement migré vers le cloud. C'est donc une masse considérable de données personnelles qui transite chaque jour par des serveurs distants, souvent sans que grand monde ne s'y attarde vraiment. Alors que la rentrée se profile, la Commission nationale de l'informatique et des libertés, la CNIL, a ainsi publié ce lundi 24 août deux fiches pratiques, une pour les écoles, collèges et lycées, et l'autre pour l'enseignement supérieur, histoire de remettre un peu d'ordre juridique dans ce joyeux bazar numérique.

Derrière l'appellation certes un peu austère d'« outils collaboratifs en ligne », on retrouve des messages échangés entre enseignants, élèves et familles, des copies rendues en ligne, des appréciations glissées dans un bulletin, ou encore des documents personnels rangés dans un coffre-fort numérique. Dans le supérieur, les mêmes catégories de données circulent, en intégrant cette fois les échanges avec les chercheurs. Pour ne pas se perdre dans cette forêt réglementaire, les établissements sont censés s'appuyer sur leur délégué à la protection des données, leur boussole interne face au RGPD, le Règlement général sur la protection des données .

La mécanique repose, dans l'écrasante majorité des cas, sur des traitements de données personnelles soumis à ce fameux RGPD. En fait, chaque établissement doit identifier une base légale solide avant de déployer le moindre outil, qu'il s'agisse d'un ENT institutionnel ou d'une solution alternative. Pour les écoles, collèges et lycées, ce cadre est même consolidé de longue date, très exactement depuis la loi du 8 juillet 2013, qui a instauré un service public du numérique éducatif, aujourd'hui inscrit dans le code de l'éducation.

C'est là que la CNIL intervient. Pour utiliser un outil collaboratif, un établissement doit s'appuyer sur une base légale, autrement dit une justification prévue par le RGPD pour traiter des données personnelles. Le consentement, souvent perçu comme la solution la plus simple, pose ici problème : pour être valable, il doit être donné librement, sans pression ni crainte de conséquences en cas de refus. Or, un élève, un étudiant, un parent ou un enseignant reste soumis à l'autorité de son établissement, ce qui rend ce choix difficile à garantir en pratique. C'est pourquoi la CNIL recommande plutôt de s'appuyer sur la mission d'intérêt public. Les écoles et universités remplissent une mission prévue par la loi, ce qui leur permet de traiter ces données sans avoir à demander l'accord individuel de chacun.

Publicité, traceurs et transparence : les points de vigilance Les traceurs publicitaires, voilà un autre sujet sensible.