Le règlement général sur la protection des données (RGPD) est en vigueur depuis 2018. Il a vocation à s'appliquer à l'ensemble des acteurs présents en Europe et en dehors dès lors que sont en cause les données personnelles des européens.
Le RGPD s'applique indistinctement à tout type d'organisme : entreprises, auto-entrepreneurs, établissements publics y compris l'ensemble des établissements de l'éducation nationale. Le RGPD s'applique également dès lors qu'il est question de données personnelles, c'est-à-dire toutes les informations directes ou indirectes relatives à toutes personnes physiques identifiables. Cette définition inclut toutes les données relatives à une personne mineure pour lesquelles le RGPD prévoit une protection renforcée.
Dès lors, une attention particulière doit être portée à la protection des données personnelles des élèves, mais également des enseignants et des parents d'élèves.
Et le sujet est d'autant plus important que les établissements scolaires utilisent de plus en plus d'outils informatiques, et en particulier depuis la crise du covid-19 qui a conduit beaucoup d'établissements à se munir d'outils technologiques pour assurer la continuité de l'enseignement à distance.
Pour toutes ces raisons, les directeurs d'établissements et personnels chargés de l'enseignement doivent redoubler de vigilance. Voici quelques clés 🔑
RGPD et éducation nationale : quels établissements sont concernés ?
L'ensemble des organismes collectant de la donnée sont concernés par le RGPD. Cela inclut l'ensemble des administrations, y compris l'éducation nationale.
Lorsqu'on parle d'éducation nationale, il convient de préciser que les établissements qui en dépendent sont les suivants : écoles maternelles, écoles élémentaires (primaire), collèges et lycées (secondaire).
Sont donc exclus de cette catégorie l'enseignement supérieur et les crèches qui n'en sont pas moins soumis au RGPD, mais dépendent d'un autre ministère et rencontrent des problématiques différentes liées à l'âge des élèves.
RGPD et éducation nationale : quelles données protéger ?
On entend par données personnelles toutes les informations qui permettent d'identifier directement ou indirectement une personne physique. Il peut s'agir d'un nom, d'un pseudonyme, d'une adresse électronique ou physique, d'un numéro de carte de crédit ou de sécurité sociale, d'un historique de navigation web, d'une photographie, de données de géolocalisation ou encore d'un avatar.
Appliqué à l'éducation nationale, il peut s'agir des informations du formulaire de contact dans lequel les parents doivent fournir un certain nombre d'informations concernant leurs situations professionnelles, leurs coordonnées etc.
Beaucoup d'informations sont naturellement relatives aux élèves : notes obtenues, absences, retards des élèves, emploi du temps, cahiers de textes, informations de contact, dossiers disciplinaires etc. De plus, beaucoup d'établissements scolaires utilisent l'outil Pronote qui est un logiciel de gestion de la vie scolaire. Dans ce logiciel circulent toutes les informations sur le résultat des élèves, leurs emplois du temps, leurs devoirs, leurs absences etc.
L'ensemble de ces informations doivent être protégées au regard de la protection des données personnelles.
RGPD et éducation nationale : qui est le chef d'orchestre ?
Le responsable de traitement
L'article 4 du RGPD prévoit que le responsable du traitement des données est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.
Concrètement, c'est la personne qui décide quelles données sont collectées, comment, pourquoi, pour en faire quoi et combien de temps. C'est celui qui a le pouvoir de donner des instructions sur la manipulation des données. Et un grand pouvoir implique une grande responsabilité. La question est donc importante.
Dans l'éducation nationale, le responsable de traitement est désigné par la loi :
- Pour les collèges, lycées et établissements privés sous contrat : c'est le chef de l'établissement.
- Pour les écoles maternelles et élémentaires : c'est le DASEN (directeur académique des services de l'Education nationale) car le directeur de l'école n'a pas la personnalité morale.
C'est à eux que revient la charge de déterminer les finalités et les modalités de traitement des données personnelles. Le responsable de traitement est responsable de la protection des données personnelles et de la conformité de l'organisme au RGPD.
Le délégué à la protection des données personnelles (DPO)
En vertu de l'article 37 du RGPD, les établissements publics ont l'obligation de désigner un délégué à la protection des données personnelles (DPO). C'est la personne qui veille à la conformité au RGPD. Un DPO est présent dans chaque académie.
Attention, le DPO n'est pas responsable de la protection des données personnelles, cette charge incombe au responsable de traitement. Le DPO a pour rôle d'assister le responsable de traitement dans cette tâche notamment par ses recommandations.
Plus largement, le DPO a pour mission de veiller à tous les aspects de la conformité :
Assurer la tenue du registre de traitement de données personnelles
C'est le document central dans la conformité RGPD. Le registre de traitements est un document qui décrit la manière dont sont effectués les traitements, c'est-à-dire l'utilisation des données personnelles.
Par exemple, concernant les informations relatives à la notation des élèves, un traitement doit renseigner les éléments suivants :
- Noms et coordonnées du responsable de traitement et DPO,
- Nom du traitement. Par exemple "notation des élèves de terminale générale".
- Finalité, c'est-à-dire l'objectif de la collecte de ces données. Par exemple : assurer le contrôle continu pour le baccalauréat.
- Base légale, c'est-à-dire le fondement juridique qui autorise le traitement de cette donnée : consentement, l'obligation légale, l'exécution d'un contrat, l'intérêt public (souvent réservé à des administrations), l'intérêt légitime (souvent réservé à des entreprises), et la sauvegarde de l'intérêt vital. Par exemple : dans notre cas, le relevé de note est imposé par la loi pour la note finale au baccalauréat. Donc la base légale est "obligation légale".
- Durée de conservation des données. Par exemple : dans notre exemple, la loi elle-même peut imposer une assez longue durée de conservation des notes de terminale dans l'hypothèse d'une contestation des résultats obtenus au baccalauréat.
- Les personnes ayant accès à ces données (enseignants etc.)
- Et enfin, une description de la manière dont sont sécurisées les données.
Ce dernier élément concernant la sécurité des données est très important, notamment si les données sont transférées à un sous-traitant comme un logiciel (par exemple Pronote). Mais nous y reviendrons car il s'agit du sujet des sous-traitants de l'éducation nationale.
Veiller au respect du cadre légal de la conformité RGPD
Le DPO doit être consulté avant tout nouveau traitement de données personnelles envisagé par le responsable de traitement afin de délivrer ses avis et recommandations. Il vérifie la légalité de chaque traitement et la manière dont elles sont sécurisées.
Être l'interlocuteur privilégié
Le DPO est la personne à contacter si vous souhaitez être informé sur l'utilisation des données personnelles, obtenir une copie, demander leur modification ou même leur suppression.
Il est également chargé d'interagir avec les autorités de contrôle, en l'occurrence la CNIL. Par exemple, si les systèmes informatiques d'un établissement scolaire sont piratés, l'ensemble des données personnelles est en danger : le responsable de traitement doit notifier la violation à la CNIL dans les 72 heures (article 33 du RGPD), et en informer les personnes concernées en cas de risque élevé (article 34). Le DPO est l'interlocuteur de la CNIL dans cette démarche.
Présenter un rapport annuel au recteur
Le DPO est tenu de présenter annuellement un rapport au recteur décrivant les différentes actions qu'il a menées au cours de l'année écoulée.
RGPD et éducation nationale : soyez vigilant dans le choix de vos sous-traitants
Le sous-traitant est la personne ou l'organisme qui traite des données à caractère personnel pour le compte et sur les instructions du responsable de traitement.
En pratique, le sous-traitant est un prestataire de service. Il peut s'agir d'un outil informatique utilisé ou par exemple d'une entreprise chargée de composer les menus de la cantine scolaire.
Le responsable de traitement, en passant par un sous-traitant, lui transfère un ensemble de données personnelles. Par exemple, l'outil Pronote est le sous-traitant de beaucoup d'établissements de l'éducation nationale. Ce logiciel informatique est le lieu de beaucoup de transfert de données personnelles : notes obtenues, absences, retards des élèves, emploi du temps, cahiers de textes, informations de contact du personnel enseignant, parents, élèves etc.
Pour cette raison, le RGPD impose aux sous-traitants les mêmes obligations que le responsable de traitement en matière de protection des données personnelles.
Mais comme nous l'avons déjà précisé, le responsable de traitement reste la personne responsable de la protection des données personnelles. C'est donc à lui, avant de faire appel aux services d'un sous-traitant, de s'assurer qu'il peut valablement protéger ces données.
Comme tout autre acteur public, la conformité au RGPD est un élément à prendre en compte pour l'attribution d'un marché public. Des clauses spécifiques au RGPD doivent être intégrées dans le cahier des charges et, à terme, dans le contrat public.
Ces clauses spécifiques doivent respecter plusieurs éléments listés à l'article 28 RGPD :
- Les rapports entre les parties
- Leurs obligations respectives à l'égard de la protection des données personnelles.
- L'objet, la durée, la nature et la finalité du traitement
- Les catégories de données à caractère personnel et les catégories de personnes concernées.
- La manière dont sont gérés les exercices de droits.
- Surtout, la manière dont sont sécurisées les données.
Toute opération de traitement non prévue dans le contrat devra faire l'objet d'un avenant au contrat.
L'élément important à vérifier est la manière dont sont hébergées les données par le sous-traitant.
Par exemple, dans le cas de Pronote, il s'agit d'un organisme français dont les données sont hébergées en France. Sans avoir accès aux contrats que Pronote signe avec les établissements, il existe de bonnes chances pour que l'outil puisse assurer une protection des données personnelles dans la mesure où l'organisme est français et donc également soumise au RGPD.
Le cas des outils américains : ce que change le Data Privacy Framework, et ce qu'il ne change pas
La question se pose autrement pour une suite collaborative éditée par une entreprise américaine, comme Microsoft Teams ou Google Workspace. Depuis la décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023 (Data Privacy Framework), les données personnelles peuvent être transférées vers une entreprise américaine certifiée sans garanties supplémentaires. Affirmer qu'un tel outil n'est « pas conforme au RGPD » par principe est donc inexact : le transfert dispose d'un fondement juridique.
Le risque n'a pas disparu pour autant, et il pèse plus lourd dans l'éducation qu'ailleurs. Un éditeur soumis au droit américain peut être contraint de communiquer des données à des autorités américaines, quel que soit le lieu d'hébergement. C'est ce risque que vise la doctrine du ministère. Dans sa réponse à la question écrite n° 971 du député Philippe Latombe, publiée au Journal officiel le 15 novembre 2022, le ministère de l'Éducation nationale indique avoir informé les recteurs, en octobre 2021, de la doctrine « cloud au centre » et de l'avis de la CNIL, et leur avoir demandé d'arrêter tout déploiement ou extension de Microsoft Office 365 et de la solution équivalente de Google.
La CNIL a confirmé cette ligne le 24 août 2026 dans ses règles et bonnes pratiques pour les outils collaboratifs du premier et du second degrés. En raison de la vulnérabilité des élèves mineurs et du volume de données traitées, elle recommande de protéger les données contre les risques de divulgation à des autorités publiques de pays tiers, par exemple en recourant à un prestataire qualifié SecNumCloud par l'ANSSI. Elle rappelle aussi que le décret n° 2025-1165 du 5 décembre 2025 impose aux collèges et lycées publics des outils numériques respectant des prescriptions techniques de sécurité et d'interopérabilité fixées par le ministre (notre décryptage).
La solidité du Data Privacy Framework lui-même est par ailleurs de nouveau discutée depuis l'été 2026 (voir notre article). En pratique, avant de retenir un outil américain : vérifiez le contrat de sous-traitance, la certification de l'éditeur au Data Privacy Framework, la localisation des données et l'existence d'une alternative soumise au seul droit européen, puis documentez ce choix dans l'analyse d'impact (AIPD), que la CNIL juge nécessaire dans la majorité des cas pour ces outils.
Pour un DPO académique, ou celui d'un réseau d'établissements privés, cet audit des sous-traitants (ENT, vie scolaire, visioconférence, cantine) est un chantier qui revient à chaque nouvel outil. C'est ce que Leto outille au quotidien, avec un audit des sous-traitants assisté par Hari, son IA : voir une démo.
RGPD et éducation nationale : quels sont les droits des personnes ?
L'un des piliers du RGPD est d'accorder des droits aux personnes dont les données sont collectées et utilisées. Les articles 15 à 22 du RGPD en prévoient plusieurs :
- le droit d'accès permet à un utilisateur de savoir où en est le traitement de ses données ;
- le droit de rectification permet la modification et la correction des données personnelles ;
- le droit d'opposition permet de s'opposer à l'utilisation de ses données pour un objectif précis ;
- le droit à l'effacement permet d'obtenir l'effacement de ses données ;
- le droit à la limitation permet d'arrêter temporairement l'utilisation des données ;
- le droit à la portabilité permet à la personne de récupérer une partie de ses données dans un format lisible pour son usage personnel ou pour les transmettre à un autre organisme (copie des données) ;
Or dans le cas de l'éducation nationale il y a une subtilité : certains de ces droits sont fortement limités.
En effet, une grande majorité des données collectées par l'Etat et ses démembrements le sont en vertu de la loi ou pour l'exercice d'un service public. Et ce sont deux hypothèses dans lesquelles le responsable de traitement peut refuser la suppression des données personnelles car il existe un intérêt plus grand en balance : l'intérêt public ou une obligation légale.
Prenons le cas d'un élève qui change d'établissement scolaire. L'élève, ou le parent d'élève souhaite que son dossier scolaire (notation, appréciations, mesures disciplinaires etc.) soit détruit au profit d'un dossier vierge afin de garantir l'intégration dans le nouvel établissement. Dans cette hypothèse, le responsable de traitement (chef d'établissement) peut refuser une telle demande dans la mesure où il est tenu de garder une trace de ces éléments dans un dossier. Il ne peut ni supprimer ces éléments ni les modifier. Ce refus est motivé par la base légale du traitement : obligation légale ou intérêt public.
En revanche, l'élève ou le parent d'élève peut tout à fait demander une information sur le contenu du dossier et une copie de ces éléments (droit d'accès, article 15). Le droit à la portabilité, lui, ne s'applique pas ici : l'article 20 le réserve aux traitements fondés sur le consentement ou sur un contrat.
RGPD et éducation nationale : une particularité liée à des données sur des mineurs
Le sujet de la protection des données personnelles dans l'éducation nationale appelle un autre sujet : celui de la protection des données de mineurs. Le RGPD leur reconnaît une protection spécifique, et c'est sur le consentement que les règles sont le plus souvent mal comprises.
Ce que disent l'article 8 du RGPD et l'article 45 de la loi Informatique et Libertés
L'article 8 du RGPD ne pose pas une règle générale sur le consentement des mineurs. Il vise une situation précise : un traitement fondé sur le consentement (article 6, paragraphe 1, point a), dans le cadre de l'offre directe de services de la société de l'information aux enfants, c'est-à-dire un service en ligne proposé directement à l'enfant. Le RGPD fixe alors l'âge à 16 ans et permet aux États membres de l'abaisser, sans descendre sous 13 ans.
La France a retenu 15 ans. L'article 45 de la loi Informatique et Libertés prévoit qu'à partir de 15 ans, le mineur peut consentir seul. En dessous, le traitement n'est licite que si le consentement est donné conjointement par le mineur et par le ou les titulaires de l'autorité parentale. Ce ne sont donc pas les parents qui consentent à la place de l'enfant : les deux consentent ensemble. Le même article impose une information rédigée en termes clairs et simples, compréhensibles par le mineur.
Ce que cela change pour un établissement scolaire
Dans la grande majorité des cas, l'établissement ne se fonde pas sur le consentement : il traite les données en vertu d'une obligation légale ou pour l'exécution de sa mission de service public. La CNIL l'a rappelé le 24 août 2026 pour les outils collaboratifs (ENT et outils alternatifs) : la base légale adaptée est la mission d'intérêt public, notamment celle du service public du numérique éducatif (article L.131-2 du code de l'éducation), et le consentement « semble difficilement pouvoir être retenu », car dans une relation d'autorité, le choix de l'élève ou de ses responsables légaux n'est pas réellement libre.
Un ENT ou une application imposée par l'établissement n'entre donc pas dans le champ de l'article 8 : le traitement ne repose pas sur le consentement, et le service n'est pas proposé directement à l'enfant. L'article 8 et l'article 45 trouvent en revanche à s'appliquer lorsqu'un élève crée lui-même un compte sur un service en ligne grand public dont l'éditeur se fonde sur le consentement.
Restent les traitements qui ne sont pas nécessaires à la mission de l'établissement et pour lesquels le consentement est la seule base possible : diffusion de photos d'élèves, dispositif biométrique facultatif, etc. Le consentement doit alors être libre, éclairé, spécifique et documenté. Pour un élève mineur, la CNIL demande celui de ses responsables légaux, qui associent l'enfant à la décision selon son âge et son degré de maturité, comme le prévoit le Code civil.
L'exemple des données biométriques dans les cantines scolaires
Certains établissements scolaires ont mis en place un dispositif de reconnaissance biométrique pour l'accès des élèves à la cantine. Concrètement, ce dispositif reconnaît le contour de la main d'un élève pour lui ouvrir l'accès.
💡Pour rappel, les données biométriques sont les données à caractère personnel résultant d'une caractéristique spécifique d'une personne qui permet de l'identifier. Par exemple, une image d'un visage sur un passeport.
Ce sont des données sensibles au sens de l'article 9 RGPD. C'est-à-dire qu'elles sont interdites de traitements sauf exceptions. Parmi ces exceptions il y a le consentement explicite.
Dans sa fiche du 18 août 2021, la CNIL rappelle plusieurs éléments à propos de ce système :
- Les personnes concernées doivent être préalablement informées.
- Le responsable de traitement doit obtenir un consentement explicite : celui de l'élève majeur, ou celui de ses responsables légaux s'il est mineur.
- Il doit être possible de refuser librement le dispositif : l'élève reçoit alors un badge ou un autre moyen d'accès, sans subir de préjudice (par exemple une attente supplémentaire).
- Le responsable de traitement doit assurer une sécurité particulière de ces données (vérifier le sous-traitant etc.)
- Les personnes concernées peuvent retirer leurs consentements à tout moment et demander la suppression de ces données.
La CNIL a détaillé ces éléments dans un article dédié. Par conséquent, soyez vigilant dans la manipulation de ces données, particulièrement en ce qui concerne des données sensibles sur des mineurs.
Questions fréquemment posées
Le RGPD s'applique-t-il aux établissements scolaires ?
Oui. Le RGPD s'applique à tous les organismes publics et privés traitant des données personnelles de résidents européens, y compris les établissements scolaires, universités, collectivités territoriales de tutelle et le ministère de l'Éducation nationale. Les données d'élèves mineurs bénéficient d'une protection renforcée.
Qui est le DPO dans l'éducation nationale ?
Le ministère de l'Éducation nationale a désigné des DPO mutualisés au niveau des rectorats et des académies. Chaque établissement scolaire dépend de l'académie pour ses obligations RGPD. Les établissements privés hors contrat ou les établissements d'enseignement supérieur privés doivent en revanche désigner leur propre DPO si les critères de l'article 37 du RGPD sont remplis.
Quelles données personnelles sont traitées dans l'éducation nationale ?
Les établissements scolaires traitent des données d'identité et de scolarité des élèves, des données de santé (PAI, allergies), des données des familles, des résultats scolaires, des données de présence, et parfois des données biométriques (accès cantines). Certaines de ces données nécessitent des mesures de protection renforcées.
Comment les établissements scolaires doivent-ils gérer le consentement des parents ?
Le consentement n'est pas la base légale par défaut : la plupart des traitements scolaires reposent sur une obligation légale ou sur la mission d'intérêt public, et la CNIL estime que le consentement peut difficilement être retenu pour les outils collaboratifs, faute d'être réellement libre. Quand un traitement facultatif repose sur le consentement (photos, dispositif biométrique), celui des responsables légaux est requis pour un élève mineur, et il doit être libre, éclairé, spécifique et documenté. La règle du consentement conjoint du mineur de moins de 15 ans et des titulaires de l'autorité parentale (article 8 du RGPD, article 45 de la loi Informatique et Libertés) ne vise que les services en ligne proposés directement à l'enfant sur la base de son consentement.
Les outils numériques pédagogiques (ENT, applications) sont-ils conformes au RGPD ?
Aucun outil n'est conforme par principe : c'est l'usage qu'en fait l'établissement qui l'est ou non. Chaque outil doit être encadré par un contrat de sous-traitance (article 28 du RGPD), inscrit au registre des traitements et, dans la majorité des cas, précédé d'une AIPD. Pour les éditeurs soumis au droit américain, la décision d'adéquation du 10 juillet 2023 fournit une base au transfert, mais la CNIL recommande, dans ses bonnes pratiques du 24 août 2026, de protéger les données des élèves contre l'accès d'autorités de pays tiers, par exemple avec un prestataire qualifié SecNumCloud.
