Protection des données dans l'enseignement supérieur : cadre juridique des outils collaboratifs en ligne

La digitalisation croissante des établissements d’enseignement supérieur s’accompagne d’un recours accru aux outils collaboratifs en ligne, qu’il s’agisse d’espaces numériques de travail (ENT) ou de solutions alternatives. Ces plateformes, souvent hébergées dans le cloud, facilitent les échanges entre enseignants, administratifs, étudiants et responsables légaux. Leur utilisation implique systématiquement des traitements de données personnelles, couvrant notamment les communications pédagogiques, les travaux étudiants, les documents personnels ou encore les évaluations.

Pour encadrer ces traitements, les responsables de traitement – à savoir les établissements eux-mêmes – doivent veiller à leur conformité avec le Règlement général sur la protection des données (RGPD). Cette conformité repose sur plusieurs piliers, dont le choix d’une base légale appropriée et la transparence envers les personnes concernées.

Sélectionner une base légale conforme au RGPD

L’utilisation d’outils collaboratifs dans un cadre pédagogique ou administratif doit s’appuyer sur une base légale valide. Pour les établissements publics ou privés, la mission de service public peut constituer une base légale pertinente, à condition que le traitement soit strictement nécessaire à l’exécution de cette mission. Le consentement, bien que souvent évoqué, présente des limites majeures : il doit être libre, spécifique, éclairé et univoque. Dans un contexte où les étudiants ou personnels sont en situation de subordination, le consentement ne peut être considéré comme valable, car il ne répond pas au critère de liberté.

Maîtriser les traceurs et fonctionnalités des outils

Les établissements doivent évaluer les fonctionnalités des outils collaboratifs, notamment la présence de traceurs ou de dispositifs de suivi intégrés par les fournisseurs. La CNIL recommande de privilégier des solutions exemptes de mécanismes d’exploitation publicitaire, de profilage ou de réutilisation commerciale des données. Lorsque ces fonctionnalités existent, elles doivent pouvoir être désactivées par l’établissement pour garantir la conformité.

Garantir une information transparente et accessible

Les personnes concernées – étudiants, enseignants et administratifs – doivent recevoir une information claire, concise et accessible sur les traitements de données mis en œuvre. Cette information, conforme aux articles 12, 13 et 14 du RGPD, doit préciser :

• L’identité et les coordonnées du responsable de traitement, ainsi que celles du délégué à la protection des données (DPO) le cas échéant ;
• Les finalités et bases légales des traitements ;
• Les destinataires ou catégories de destinataires des données, ainsi que les éventuels transferts hors Union européenne ;
• La durée de conservation des données ou les critères permettant de la déterminer ;
• Les droits des personnes concernées (accès, rectification, limitation, opposition, effacement).

Cette information doit être disponible avant la première utilisation de l’outil, par exemple lors de la première connexion, et peut être complétée par des envois directs (courriels) ou des rappels en début d’année. Pour les publics en situation de handicap ou présentant des difficultés de compréhension, les mentions d’information peuvent être rédigées en langage clair (normes ISO 24495-1:2023 et ISO 24495-2:2025) ou selon la méthode « facile à lire et à comprendre » (FALC).

Réaliser une analyse d’impact relative à la protection des données (AIPD)

L’AIPD est un outil essentiel pour démontrer la conformité des traitements au principe de responsabilité. Elle est obligatoire lorsque le traitement est susceptible d’engendrer des risques élevés pour les droits et libertés des personnes, par exemple :

• Un traitement concernant des personnes vulnérables (mineurs, personnels en situation de subordination) ;
• Un traitement à grande échelle (nombre élevé de personnes concernées, volume important de données, durée prolongée) ;
• Un traitement incluant des données sensibles (santé, origines ethniques, etc.).

Si au moins deux de ces critères sont remplis, une AIPD doit être réalisée avant la mise en œuvre du traitement. En cas de doute, la CNIL recommande de procéder systématiquement à une AIPD, en s’appuyant sur des outils dédiés comme l’outil PIA. Le DPO peut accompagner le responsable de traitement dans cette démarche, et le fournisseur de l’outil peut également apporter son soutien en tant que sous-traitant.

Source : CNIL