Le RGPD dans le secteur de l'éducation : ce que les établissements scolaires doivent réellement mettre en place

Pour un établissement scolaire, le RGPD, connu aux Pays-Bas sous le nom d’AVG, se résume à un principe : vous ne pouvez utiliser les données des élèves qu’aux fins pour lesquelles vous les avez collectées, vous ne pouvez les conserver que le temps nécessaire, et vous devez être en mesure de démontrer que vous les traitez avec soin. Cela peut sembler être une simple formalité administrative, mais dans la pratique quotidienne, il s'agit avant tout d'une question de comportement : qui partage quel fichier avec qui, par quel canal, et qui a encore accès à un système qu'il a quitté il y a deux ans.

Nous examinons ci-dessous quelles données les établissements scolaires traitent concrètement, qui en assume la responsabilité, quels accords conclure avec les fournisseurs de vos outils pédagogiques numériques, comment les fuites de données se produisent réellement dans un établissement scolaire, et comment tout cela s'inscrit dans le cadre normatif IBP vers lequel tendent les établissements scolaires.

Quelles sont les données traitées par les établissements scolaires, et pourquoi sont-elles sensibles ?

Les établissements scolaires détiennent davantage de données à caractère personnel que la plupart des organisations de même taille, et une grande partie de ces données concerne des mineurs. C'est précisément pour cette raison que la réglementation y est plus stricte que dans une entreprise comptant le même nombre d'employés.

• Données de base sur les élèves : noms, adresses, dates de naissance, numéros d'identification nationale, coordonnées des parents ou tuteurs. D'apparence anodine, ces informations sont précieuses pour quiconque cherche à établir un profil.
• Progrès et résultats scolaires. Notes, résultats d'évaluations, bulletins, remarques figurant dans le système de suivi des élèves. Données sensibles, car elles concernent un enfant pendant plusieurs années.
• Dossiers relatifs à la prise en charge et à l'accompagnement. Attestations de dyslexie, certificats médicaux, rapports des équipes d'accompagnement. Il s'agit de données relevant d'une catégorie particulière qui doivent faire l'objet d'une gestion extrêmement rigoureuse au sein de l'établissement.
• Images et enregistrements. Photos publiées sur le site web de l'école, vidéo d'une sortie scolaire, enregistrements d'un cours. Dans ce contexte, le consentement est spécifique, révocable et souvent oublié.
• Communication avec les parents. E-mails et messages concernant chaque élève, notamment les conflits et les situations difficiles à la maison.

Ce qui distingue cette situation d'une entreprise, c'est la combinaison de plusieurs facteurs : les données sont sensibles, les personnes concernées sont des enfants qui ne peuvent pas en mesurer les conséquences, et celles qui les traitent sont des enseignants dont le métier est d'enseigner et non d'assurer la protection des données.

Qui est responsable du RGPD dans un établissement scolaire ?

D'un point de vue formel, c'est le conseil d'établissement qui est le responsable du traitement. C'est lui qui détermine les finalités et les modalités du traitement des données à caractère personnel, et c'est à lui que l'Autoriteit Persoonsgegevens s'adressera en cas de problème. De nombreux conseils d'établissement désignent un délégué à la protection des données, et dans le secteur de l'éducation, il existe généralement aussi un coordinateur IBP chargé de veiller au bon fonctionnement de la sécurité de l'information et de la protection de la vie privée dans la pratique.

Le fossé le plus problématique est celui qui sépare cette responsabilité formelle de la réalité quotidienne. C’est le conseil d’administration qui en assume la responsabilité, mais la mise en œuvre concrète se fait en classe et au secrétariat : un enseignant qui exporte la liste de sa classe, un administrateur qui transmet un dossier de suivi, un remplaçant qui se connecte avec un compte partagé. Une politique qui n’atteint jamais ces acteurs n’est pas une question de conformité, mais de simple formalité administrative.

Accords de sous-traitance avec vos fournisseurs

Les établissements scolaires utilisent des outils externes : le système de suivi des élèves, des ressources pédagogiques numériques, une application de communication destinée aux parents, un service de stockage dans le cloud. Chaque prestataire qui traite les données des élèves pour votre compte est considéré comme un sous-traitant, et cette relation doit faire l'objet d'un accord de sous-traitance précisant ce qu'il est autorisé à faire avec ces données, comment il les sécurise, pendant combien de temps il les conserve et ce qu'il advient de ces données à l'expiration du contrat.

Deux points pratiques. Premièrement, vérifiez si un tel accord existe bel et bien pour chaque outil utilisé, y compris ceux qu’un enseignant passionné aurait introduits sans en parler à personne. Deuxièmement, n’oubliez pas que le fait de le signer ne vous dégage pas de votre responsabilité : si un fournisseur divulgue des données, l’établissement reste le responsable du traitement et doit toujours informer les personnes concernées.

Comment se produisent concrètement les fuites de données dans les établissements scolaires ?

Presque jamais à la suite d'un piratage spectaculaire. Les signalements transmis à l'Autoriteit Persoonsgegevens par le secteur de l'éducation sont, dans leur grande majorité, d'une banalité affligeante, et c'est une bonne nouvelle, car ce sont justement ces causes banales qu'il est possible d'éliminer grâce à la formation.

1. Un destinataire erroné. Une liste d'élèves, un relevé de notes ou un bulletin scolaire envoyé par e-mail à une mauvaise adresse, ou à l'ensemble d'un groupe de parents dans le champ « À » au lieu du champ « Cci ». Il s'agit là de la violation la plus courante dans le secteur de l'éducation.
2. Identifiants partagés. Un seul compte pour le système de suivi des élèves, utilisé par toute l'équipe, car la création de comptes distincts prenait trop de temps. Personne ne peut savoir après coup qui a consulté quoi.
3. Des appareils et des supports de stockage qui disparaissent. Un ordinateur portable laissé dans une voiture, une clé USB contenant une sauvegarde des résultats, un téléphone personnel sur lequel se trouvent des photos d'école.
4. Hameçonnage visant les comptes scolaires. Les pirates savent qu'une boîte mail scolaire leur ouvre l'accès à de nombreuses données concernant des mineurs. Un simple clic sur une fausse page de connexion suffit.
5. Un accès qui n'a jamais été révoqué. Le remplaçant du printemps dernier dont le compte est toujours actif, le collègue parti dont personne n'a désactivé l'accès au disque partagé.

Lorsqu’un incident survient, le temps est un facteur crucial. Une violation de données présentant un risque pour les personnes concernées doit être signalée à l’Autoriteit Persoonsgegevens sans retard injustifié et, en principe, dans un délai de 72 heures ; les personnes concernées doivent être informées lorsque le risque qu’elles encourent est élevé. Ce délai n’est réaliste que si un enseignant qui soupçonne un problème le signale le matin même, ce qui relève davantage d’une question de culture que de procédure. Il est utile de maintenir le sujet à l'ordre du jour : une sensibilisation à la protection de la vie privée dispensée par petites doses est plus efficace qu'une réunion d'information annuelle, et un format ludique, tel que des jeux de formation au RGPD, suscite davantage de participation au sein d'une équipe très occupée qu'un document de politique générale.

Le lien avec le Normenkader IBP

La protection de la vie privée et la sécurité de l'information vont de pair dans les établissements scolaires. Le cadre normatif IBP pour l'enseignement primaire et secondaire regroupe ces deux aspects en exigences concrètes, et les établissements s'efforcent de s'y conformer d'ici au 1er janvier 2027. Une grande partie des exigences de ce cadre recoupe ce que le RGPD prévoyait déjà : connaître les données que l'on détient, organiser correctement les accès, conclure des accords avec les prestataires et être en mesure de démontrer que le personnel sait comment agir.

Il vaut la peine de tirer parti de ce recoupement. Une école qui prend au sérieux le volet « sensibilisation » du programme Normenkader s'acquitte en même temps de ses obligations au titre du RGPD, et inversement. C'est en traitant ces deux aspects comme deux projets distincts que les conseils d'administration finissent par faire deux fois le même travail, avec deux séries de formalités administratives différentes.

Comment Guardey aide les établissements scolaires à prendre en compte l'aspect humain

La formation à la sensibilisation à la sécurité proposée par Guardey est conçue pour les équipes qui n’ont pas de temps à perdre : des défis hebdomadaires d’environ trois minutes, une approche ludique avec des classements et des séries de succès, ainsi qu’un contenu qui suit les menaces réellement en circulation. Pour les établissements scolaires, cela se traduit par des scénarios familiers, allant d’un e-mail de hameçonnage ciblant un compte de l’établissement à la question de savoir quelle photo peut être publiée sur le site web.

KONOT, un organisme scolaire spécialisé dans l’éducation, utilise Guardey pour renforcer la sensibilisation à la sécurité de ses enseignants ; notre formation à la sensibilisation à la sécurité destinée aux établissements scolaires est conçue spécialement pour ce contexte. Les enseignants suivent la formation via l’application mobile pour iOS et Android ou simplement dans leur navigateur ; des simulations de hameçonnage intégrées permettent de vérifier si la reconnaissance des menaces se traduit par un changement de comportement, et les rapports fournis offrent au conseil d’administration des éléments concrets à présenter dans le cadre du Normenkader IBP. La mise en place ne prend que quelques minutes.

Foire aux questions sur le RGPD dans le secteur de l'éducation

Une école a-t-elle le droit de publier des photos d'élèves ?

Ce n'est possible qu'avec un consentement valide, ce qui, pour les jeunes enfants, implique le consentement des parents ou des tuteurs ; ce consentement doit préciser clairement où l'image sera utilisée et peut être retiré à tout moment. Dans la pratique, la difficulté réside rarement dans le formulaire de consentement lui-même, mais plutôt dans le fait de garder une trace des personnes qui ont refusé et de s'assurer que le collègue chargé de publier sur les réseaux sociaux en soit informé.

Pendant combien de temps un établissement scolaire peut-il conserver les données des élèves ?

Uniquement pendant la durée nécessaire à la finalité visée, certaines parties du dossier étant soumises à des délais de conservation légaux. La question pratique ne porte pas sur la durée exacte, mais sur le fait de savoir si quelqu’un supprime réellement quoi que ce soit : de nombreux établissements scolaires conservent des dossiers datant de plusieurs années simplement parce que personne n’a été chargé de les éliminer.

Un enseignant est-il personnellement responsable d'une violation de données ?

Presque jamais. C'est le conseil d'établissement qui exerce le contrôle et qui en assume la responsabilité. Cela mérite d'être dit haut et fort dans la salle des professeurs, car la crainte d'être tenu pour responsable est la principale raison pour laquelle une erreur est signalée tardivement, et c'est justement ce retard qui transforme un incident mineur en un problème de supervision.

Avons-nous besoin d'un délégué à la protection des données ?

Les pouvoirs publics et les organismes publics doivent en désigner un ; les établissements scolaires entrent généralement dans cette catégorie, même si leur mode d'organisation varie : certains conseils d'administration désignent leur propre interlocuteur, tandis que d'autres en partagent un avec un groupe d'établissements. Ce qui importe avant tout, c'est que ce rôle soit réellement accessible aux personnes qui ont des questions au quotidien.

Les établissements scolaires qui ont mis en place un RGPD efficace sont rarement ceux qui possèdent le plus gros classeur de règlements. Ce sont ceux où un enseignant sait comment réagir face à un e-mail suspect, où un compte est désactivé dès la semaine suivant le départ d’un collaborateur, et où signaler une erreur est considéré comme normal plutôt que gênant. C’est une culture, et les cultures se construisent petit à petit.