Outils collaboratifs à l'école : ce que la CNIL impose désormais aux établissements
La CNIL a publié le 24 août 2026 un rappel des règles applicables aux écoles, collèges et lycées qui utilisent des outils collaboratifs en ligne — espaces numériques de travail (ENT) ou solutions alternatives. Un cadrage qui tombe alors que la transformation numérique de l'enseignement s'accélère, avec son lot de données sensibles : travaux d'élèves, notes, appréciations, coffres-forts numériques et échanges avec les familles.
Ce que dit la CNIL
Le régulateur rappelle d'abord que le cadre RGPD applicable à l'éducation nationale impose de choisir une base légale adaptée avant tout déploiement d'un outil collaboratif. Pour la CNIL, le consentement des élèves ou de leurs responsables légaux « semble difficilement pouvoir être retenu » : dans une relation d'autorité comme celle de l'école, le choix n'est jamais totalement libre. Les établissements, publics comme privés, doivent donc s'appuyer sur l'exécution d'une mission d'intérêt public, prévue par l'article L.131-2 du code de l'éducation.
Deuxième point sensible : les traceurs publicitaires. Le principe de neutralité du service public — y compris commerciale — interdit en principe leur usage. Si l'outil choisi en contient, l'établissement doit les faire désactiver par l'éditeur, sans quoi le traitement devient irrégulier.
Pourquoi c'est important pour les DPO du secteur scolaire
Cette publication densifie une pile d'obligations déjà lourde pour des structures qui, souvent, n'ont pas de DPO dédié à temps plein. L'information des personnes doit être « concise, transparente, compréhensible » (articles 12 à 14 du RGPD), et surtout adaptée à des mineurs : la CNIL recommande un langage clair, voire la méthode FALC pour les élèves en situation de handicap.
Surtout, la CNIL confirme que l'analyse d'impact relative à la protection des données (AIPD) sera obligatoire dans la quasi-totalité des cas : dès que deux critères du CEPD sont réunis — personnes vulnérables (mineurs), traitement à grande échelle, données sensibles — l'AIPD s'impose avant la mise en œuvre. Pour construire ce document, notre guide complet pour réaliser une AIPD détaille la méthodologie recommandée par la CNIL, mise à jour des derniers critères 2025.
Le régulateur insiste enfin sur les garanties dues par l'éditeur de l'outil collaboratif, qui agit comme sous-traitant au sens de l'article 28 du RGPD : contrat encadrant précisément l'objet, la durée, la finalité du traitement, la sécurité et le sort des données en fin de contrat.
Ce que ça change concrètement pour les établissements
Trois chantiers ressortent de cette publication. D'abord, documenter la base légale de chaque usage (ENT, messagerie, stockage de travaux) plutôt que de se reposer, par facilité, sur un consentement fragile. Ensuite, systématiser l'AIPD dès qu'un nouvel outil collaboratif est envisagé, en s'appuyant sur l'outil PIA de la CNIL en cas de doute. Enfin, auditer les garanties du prestataire avant signature — un exercice que notre guide sur l'audit des sous-traitants permet de structurer point par point.
La question des transferts hors UE mérite une attention particulière : la CNIL recommande de privilégier les prestataires qualifiés SecNumCloud par l'ANSSI, seule garantie d'une soumission exclusive au droit européen. Un enjeu très concret pour les établissements qui s'appuient, comme beaucoup, sur des suites collaboratives américaines — notre guide sur la sécurisation d'Office 365 détaille les réglages à vérifier dans ce type de configuration. Le décret n° 2025-1165 du 5 décembre 2025 va d'ailleurs plus loin pour les collèges et lycées publics, en imposant des prescriptions techniques de sécurité et d'interopérabilité aux outils numériques utilisés.
Ce que Leto pense de cette décision
Cette clarification est bienvenue, mais elle expose une fragilité structurelle : la charge de conformité qu'elle décrit — cartographie des bases légales, AIPD quasi systématique, audit des sous-traitants, vérification SecNumCloud — dépasse largement les moyens humains d'une école ou d'un collège isolé. Sans mutualisation du DPO à l'échelle académique et sans outils simplifiés pour documenter l'AIPD, ce texte restera, dans les faits, difficile à appliquer pour une large part des établissements du premier degré.
