Enseignement du premier et du second degrés : les règles et bonnes pratiques pour utiliser les outils collaboratifs en ligne

L'accélération de la transformation numérique dans l'enseignement conduit à l'utilisation de plus en plus fréquente d'outils collaboratifs en ligne (il peut s'agir d'espaces numériques de travail (ENT) ou d'outils alternatifs aux ENT). Ces outils permettent la mise à disposition de services s'appuyant souvent sur l'informatique en nuage (cloud computing) qui facilitent la collaboration entre les personnels administratifs et enseignants, les élèves et leurs responsables légaux. Ces services impliquent, dans la très grande majorité des cas, des traitements de données personnelles, tels que :

• le contenu des communications entre les personnels administratifs et enseignants, les élèves et leurs responsables légaux ;
• les travaux des élèves ;
• les documents personnels des élèves stockés dans un coffre-fort numérique ;
• les notes des élèves et les appréciations des enseignants ; etc.

Pour pouvoir les utiliser, les responsables de ces traitements doivent s'assurer de leur conformité à la réglementation en matière de protection des données. Ils pourront, pour ce faire, s'appuyer sur les conseils de leur délégué à la protection des données.

L'utilisation des outils collaboratifs en ligne peut impliquer des traitements de données personnelles soumis au RGPD

Le choix d'une base légale adéquate

La transformation numérique dans l'enseignement a pour objectif de moderniser le service public de l'éducation en développant les usages du numérique dans les établissements scolaires.

Depuis la loi du 8 juillet 2013, un service public du numérique éducatif et de l'enseignement à distance accompagne cette évolution. Il a pour missions notamment de :

• proposer des services numériques pour compléter et enrichir les enseignements ;
• mettre à disposition des enseignants des ressources pédagogiques, des contenus de formation et des outils de suivi des élèves ;
• faciliter la communication entre les établissements et les familles.

Lorsque l'utilisation d'outils collaboratifs dans un cadre pédagogique entraîne des traitements de données personnelles, le responsable de traitement ne pourra mettre en œuvre ce dispositif qu'après avoir déterminé la base légale de chacun d'entre eux.

Si les traitements répondent aux missions de service public des établissements scolaires, qu'ils soient publics ou privés, (et en particulier du service public du numérique éducation (article L.131-2 du code de l'éducation), le responsable du traitement peut s'appuyer sur la base légale de l'exécution d'une mission d'intérêt public.

D'une manière générale, le consentement semble difficilement pouvoir être retenu comme base légale pour ces traitements, car pour constituer une base légale valable, le consentement doit notamment être libre, c'est-à-dire ni contraint ni influencé (par exemple par la position d'autorité du responsable de traitement). Les personnes concernées (telles que l'élève, et/ou dans la grande majorité des cas son responsable légal, ou le personnel administratif et enseignant) doivent se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus.

Attention au(x) traitement(s) de données mis en œuvre par le fournisseur de l'outil collaboratif

Certains traitements sont réalisés par le fournisseur de l'outil collaboratif pour son propre compte. Le responsable de traitement doit s'assurer que l'outil n'a pas recours à des traceurs publicitaires, ces derniers étant en principe interdits, au regard du principe de neutralité du service public de l'éducation, incluant la neutralité commerciale.

Si toutefois l'outil collaboratif utilise des dispositifs tels que des traceurs de suivi à des fins d'exploitation publicitaire ou de profilage par exemple, le responsable de traitement devra désactiver ces fonctionnalités.

L'information des personnes afin d'assurer la transparence

Les personnes concernées (les élèves, leurs responsables légaux et le personnel administratif et enseignant) doivent être informées de tous les traitements de données les concernant mis en œuvre via ces outils collaboratifs en ligne.

L'information doit être concise, transparente, compréhensible et aisément accessible (articles 12, 13 et 14 du RGPD) et doit notamment préciser :

• l'identité et les coordonnées de l'organisme responsable de traitement, ainsi que les coordonnées du délégué à la protection des données, s'il y en a un ;
• la finalité et la base légale de tous les traitements (voir ci-dessus « le choix d'une base légale adéquate ») ;
• les destinataires ou les catégories de destinataires des données, ainsi que des précisions sur les transferts envisagés de ces données vers un pays hors Union européenne ;
• la durée de conservation des données (ou, à défaut, les critères permettant de la déterminer) ;
• les droits des personnes concernées (les droits d'accès, de rectification, à la limitation, le droit d'opposition, et éventuellement le droit à l'effacement).

Cette information doit être adaptée en fonction des personnes concernées.

Ainsi, pour les mineurs, l'information doit être simple et pédagogique, adaptée à cette tranche d'âge. À titre d'exemple, les mentions d'information peuvent être écrites en langage clair (normes ISO 24495-1:2023 et ISO 24495-2:2025) ou s'inspirer de la méthode « facile à lire et à comprendre » (FALC) pour les usagers en situation de handicap ou présentant des difficultés de lecture et de compréhension du français.

Pour aller plus loin sur les méthodes de conception d'une information adaptée :