RGPD : quelles données d'élèves un enseignant peut-il collecter ?

Qui est responsable de quoi

C'est le point le plus mal compris, et il conditionne tout le reste.

• L'établissement est responsable de traitement. C'est lui qui décide pourquoi et comment les données sont utilisées. Un enseignant agit dans ce cadre, pas à titre personnel.
• L'éditeur de l'outil est sous-traitant. Il traite les données pour le compte de l'établissement, selon ses instructions, et n'a pas le droit de les utiliser à d'autres fins.
• Un délégué à la protection des données existe dans la plupart des structures — académie, groupe scolaire, organisme de formation. C'est votre interlocuteur avant l'adoption d'un outil, pas après un incident.

Conséquence pratique : un enseignant qui adopte seul un outil engage son établissement sans que celui-ci le sache. Ce n'est pas une faute morale, c'est un angle mort courant — et c'est exactement ce que la démarche ci-dessous permet d'éviter.

Sur quelle base peut-on traiter ces données ?

Tout traitement doit reposer sur une base légale. Dans l'enseignement, la plus fréquente n'est pas celle qu'on croit.

• Mission d'intérêt public — c'est la base habituelle dans l'enseignement public. Faire cours, évaluer, suivre la progression relèvent de la mission de l'établissement.
• Exécution d'un contrat — le cas courant dans le privé et en formation professionnelle : le stagiaire a signé pour recevoir une formation.
• Le consentement est rarement la bonne base. Il suppose un choix libre, ce qui est douteux entre un élève et son professeur. Un consentement qu'on ne peut pas refuser sans conséquence n'est pas un consentement valable.

Le consentement reste pertinent pour ce qui sort du cadre pédagogique : publier une photo, diffuser une production hors de la classe, utiliser un service facultatif.

Ce qui est justifiable, et ce qui ne l'est pas

Le principe de minimisation se teste par une question simple : l'activité fonctionnerait-elle sans cette donnée ? Si oui, ne la collectez pas.

• Un prénom, le temps d'une activité — justifiable dans la quasi-totalité des cas. C'est ce qui permet d'attribuer une réponse pendant la séance, et rien de plus.
• Nom et prénom — justifiable si vous devez suivre la progression d'un élève identifié dans la durée, ou produire une attestation.
• Adresse e-mail personnelle — rarement nécessaire pour une activité en classe. Un lien affiché au tableau évite cette collecte.
• Date de naissance, adresse, téléphone — sans rapport avec une activité pédagogique. Ces données appartiennent au dossier administratif de l'établissement.
• Photos et enregistrements — régime à part, qui demande une information spécifique et, hors cadre strictement pédagogique, un accord.

Le réflexe utile est inverse de l'habitude : ne demandez pas « ai-je le droit de collecter cela ? », mais « qu'est-ce que je peux ne pas collecter ? ». Une activité qui fonctionne avec un prénom saisi à la volée est plus simple à justifier qu'un compte élève rempli.

Combien de temps garder, et comment effacer

La durée de conservation est l'obligation la plus souvent oubliée. Une donnée n'a pas vocation à rester indéfiniment parce qu'elle est utile « au cas où ».

• Les traces d'activité en séance (participations, réponses) n'ont plus d'utilité au-delà de l'année scolaire. Purge en fin d'année.
• Les résultats d'évaluation se conservent le temps du cursus, puis relèvent des règles d'archivage de l'établissement.
• Les comptes d'élèves partis doivent être supprimés. C'est le stock le plus fréquemment oublié, et le plus exposé en cas d'incident.

Vérifiez que l'outil permet réellement d'effacer — et pas seulement de masquer. Un « archivage » qui conserve tout indéfiniment ne satisfait pas l'obligation.

Les personnes concernées disposent de droits qu'il faut pouvoir honorer : accéder à leurs données, les corriger, en demander l'effacement. Une famille qui écrit doit obtenir une réponse dans un délai d'un mois.

Sept questions à poser avant d'adopter un outil

Cette liste tient sur une page et se pose à n'importe quel éditeur. Une réponse évasive est en soi une réponse.

• Quelles données sont collectées, exactement, et lesquelles sont facultatives ?
• Où sont-elles hébergées ? Un hébergement dans l'Union européenne simplifie considérablement le dossier.
• Y a-t-il des transferts hors UE ? Si oui, sur quelle garantie juridique ?
• Existe-t-il un contrat de sous-traitance ? Il est obligatoire et l'éditeur doit pouvoir le fournir sans négociation.
• Quelles durées de conservation sont appliquées, et la suppression est-elle effective ?
• Y a-t-il des traceurs publicitaires ou une revente de données ? En contexte scolaire, la réponse doit être non.
• Les élèves peuvent-ils participer sans créer de compte ? C'est souvent le moyen le plus simple de réduire le sujet à presque rien.

Gardez les réponses par écrit : elles constituent l'essentiel du dossier que votre délégué à la protection des données vous demandera.

Cet article décrit des principes généraux et ne constitue pas un conseil juridique. Pour un cas précis, rapprochez-vous du délégué à la protection des données de votre structure.