RGPD et outils numériques à l'école : ce que vous pouvez utiliser

En 2024, 74 % des écoles primaires françaises utilisent au moins un service numérique dont les conditions de traitement n'ont jamais été vérifiées par leur académie, selon un panorama publié par la CNIL dans son bilan annuel consacré au secteur éducatif. Le chiffre interroge moins par sa valeur brute que par ce qu'il révèle : la majorité des enseignants composent au jour le jour avec une mosaïque d'outils dont la conformité reste un angle mort. Google Classroom dans une classe, Microsoft Teams dans la suivante, un ENT régional pour la messagerie officielle, ChatGPT pour préparer une dictée, Canva pour fabriquer des affichages, un groupe WhatsApp pour les parents. Chaque outil pris isolément paraît anodin. Mis bout à bout, ils dessinent un système où des données de mineurs circulent en permanence vers des serveurs dont personne ne maîtrise réellement le contrôle.

Cette étude comparative passe en revue les principales familles d'outils utilisées dans les écoles primaires françaises et confronte leurs caractéristiques aux exigences du Règlement Général sur la Protection des Données. L'objectif n'est pas de dresser une liste d'interdits, mais de fournir une grille de lecture permettant à chaque enseignant, directeur ou équipe pédagogique de classer les outils qu'il utilise déjà, et d'arbitrer en connaissance de cause. Le sujet déborde largement le confort de l'utilisateur : il engage la responsabilité institutionnelle de l'école et, à terme, la confiance des familles dans le service public éducatif.

Le terrain a évolué très vite depuis 2020. L'arrivée massive de l'IA générative dans les pratiques enseignantes, la diffusion de plateformes collaboratives comme Padlet ou Wakelet, la généralisation des ENT de seconde génération et l'invalidation successive des cadres de transfert transatlantique ont rebattu les cartes. Une décision prise en 2018 sur le choix d'un outil n'est plus nécessairement valable en 2026, et inversement, certaines pratiques jugées risquées il y a quatre ans bénéficient désormais d'un cadre juridique stabilisé. Lire la conformité comme un état figé conduit à des erreurs d'arbitrage. Mieux vaut la lire comme une trajectoire à entretenir, au même titre que l'on actualise ses propres pratiques pédagogiques.

Le cadre juridique applicable à l'école

Le RGPD est entré en application le 25 mai 2018. Il s'impose à toute entité qui traite des données personnelles sur le territoire de l'Union européenne, y compris aux écoles publiques et privées sous contrat. Le texte fondateur est consultable intégralement sur le portail officiel de la Commission européenne, notamment via la page dédiée aux règles relatives à la protection des données dans l'Union. La loi française dite Informatique et Libertés, refondue en 2018, articule ce cadre européen avec les particularités nationales et reste la référence pour les contrôles menés par la CNIL ; sa version consolidée est disponible sur Légifrance.

Pour l'école, deux principes structurent toute la suite. Le premier est la minimisation : on ne collecte que ce qui est strictement nécessaire à la mission éducative, et pas davantage. Le second est la responsabilité du responsable de traitement, en l'occurrence l'établissement scolaire représenté par son directeur ou son chef d'établissement, sous l'autorité du ministère de l'Éducation nationale. Cette responsabilité ne se délègue pas à l'éditeur d'outil. Même si Google ou Microsoft fournit la plateforme, c'est l'école qui répond du choix de la plateforme et de son adéquation au cadre légal.

« La protection des données des élèves constitue une responsabilité partagée entre l'institution scolaire, les éditeurs et les enseignants. L'absence de contrôle direct au quotidien ne dispense en rien d'une vigilance sur les outils retenus pour des données de mineurs. » Extrait d'une recommandation de la CNIL relative au secteur éducatif

Le ministère de l'Éducation nationale a publié sa propre doctrine sur l'usage du numérique dans les écoles, accessible sur education.gouv.fr. Le portail Eduscol décline cette doctrine en ressources pratiques pour les équipes, notamment via sa rubrique consacrée à la protection des données personnelles. Lire ces deux sources avant de choisir un outil épargne énormément de temps : la majorité des questions courantes y trouvent une réponse officielle.

Trois questions à poser avant d'adopter un outil

Avant d'introduire un service numérique dans la classe, trois interrogations suffisent à éliminer 90 % des risques. La première concerne le lieu d'hébergement des données. Un outil dont les serveurs sont situés exclusivement dans l'Union européenne se trouve par défaut dans le périmètre du RGPD. Un outil hébergé aux États-Unis pose la question du cadre juridique du transfert, particulièrement depuis l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne en 2020. Le nouveau cadre Data Privacy Framework apporte une réponse partielle mais reste fragile sur le plan contentieux.

La deuxième question porte sur la finalité du traitement. Un service qui exploite les données saisies pour entraîner ses modèles, cibler de la publicité ou enrichir un graphe utilisateur dépasse la finalité éducative annoncée et tombe alors hors du périmètre acceptable. Cette information se lit dans les conditions générales d'utilisation et dans la politique de confidentialité, à condition d'aller jusqu'aux clauses sur la réutilisation et le partage avec des tiers.

La troisième question est administrative : existe-t-il une convention ou un référencement de l'outil par l'académie ou par le ministère ? Plusieurs services ont été négociés au niveau institutionnel avec des conditions particulières qui ne sont pas accessibles aux utilisateurs grand public. La signature d'une convention ne signifie pas conformité automatique, mais elle traduit au minimum une analyse partagée du risque entre l'éditeur et l'autorité publique.

Étude comparative des principales familles d'outils

Outil	Hébergement	Conformité RGPD	Limitations
ENT académique	France, infrastructure publique	Élevée, cadre institutionnel	Ergonomie variable selon les académies
APPS.education.fr	France, ministère	Élevée, suite souveraine	Catalogue plus restreint que les géants
Pronote (Index Education, groupe Docaposte)	France	Élevée pour le périmètre scolaire	Coût d'abonnement à charge des collectivités
Microsoft 365 Education	UE pour certains tenants, US pour d'autres	Conditionnelle, convention requise	Configuration fine à valider académie par académie
Google Workspace for Education	États-Unis, options UE partielles	Discutée, transferts internationaux	Privacy Shield invalidé, DPF fragile
Canva	Australie et États-Unis	Faible pour des données d'élèves	À cantonner à un usage personnel enseignant
ChatGPT, Claude, Gemini grand public	États-Unis	Inadaptée pour des données élèves identifiantes	Acceptable uniquement avec anonymisation totale
Klassroom, Beneylu School	France	Élevée, conçus pour l'école française	Modèle freemium, vérifier les limites de l'offre gratuite
LearningApps	Suisse, hébergement européen	Acceptable, pas de données sensibles requises	Activités exposées publiquement par défaut
Quizinière (Réseau Canopé)	France, opérateur public	Élevée, outil institutionnel	Centré sur le quiz, périmètre limité

Le tableau ne tranche pas en lui-même, il met en regard les paramètres décisifs. Un même outil peut être pleinement conforme dans un cadre conventionné et inacceptable hors de ce cadre. Microsoft 365 Education en fournit l'illustration la plus nette : déployé via le contrat-cadre négocié par certaines régions académiques avec un hébergement européen dédié et un avenant sur la non-réutilisation des données, l'environnement devient utilisable. Le même Microsoft 365, ouvert avec un compte gratuit en dehors de tout cadre, ne présente pas les mêmes garanties.

Le cas particulier des outils IA

Les outils d'intelligence artificielle générative déplacent le curseur. La question n'est plus seulement « où sont stockées les données » mais aussi « les données saisies servent-elles à entraîner un modèle qui mémorisera des fragments du prompt ». Les conditions varient selon les offres : ChatGPT en version gratuite réutilise les conversations par défaut, ChatGPT Team et Enterprise ne les réutilisent pas, Claude affiche une politique de non-réutilisation par défaut pour les utilisateurs professionnels. Ces politiques évoluent rapidement, il est prudent de vérifier la mention exacte sur la page éditeur au moment de l'inscription. Pour l'usage en classe, la règle pratique reste simple : aucune donnée identifiante d'élève dans un prompt, jamais. Avec cette discipline, les outils IA deviennent utilisables pour la préparation des séances et la production de supports.

Le cas des ENT et de Pronote

Les ENT académiques et Pronote occupent une position particulière dans le paysage : ils sont conçus depuis l'origine pour le cadre scolaire français, hébergés en France, et soumis à un cahier des charges institutionnel. Leur conformité n'est jamais remise en cause sur le périmètre métier qu'ils couvrent. La difficulté est ailleurs : leur ergonomie a longtemps souffert face aux interfaces des géants américains, ce qui pousse certains enseignants à les contourner pour des usages annexes. Le contournement réintroduit alors le risque que l'ENT avait précisément vocation à neutraliser. L'Institut français de l'éducation a publié plusieurs rapports sur les usages réels des ENT par les enseignants, disponibles via le portail de l'IFE de l'ENS de Lyon : ces travaux soulignent que l'adoption tient autant à l'accompagnement humain qu'aux fonctionnalités elles-mêmes.

Sur le terrain, le clivage le plus net oppose les écoles dont la collectivité a investi dans la formation des équipes à celles qui ont reçu l'outil sans accompagnement. Dans le premier cas, l'ENT devient un réflexe naturel et le contournement disparaît. Dans le second, l'outil institutionnel cohabite avec une nébuleuse de services parallèles, chacun bricolé par tel ou tel enseignant selon ses préférences. Cette nébuleuse parallèle représente le principal foyer de non-conformité en école primaire. La régler ne suppose pas de bannir les usages individuels, mais de canaliser les besoins légitimes vers des outils conformes équivalents, en associant les enseignants à la sélection de ces alternatives.

Le cas Pronote dans le débat public

Pronote a fait l'objet de discussions récurrentes sur la concentration du marché de la vie scolaire numérique, depuis son rachat par Docaposte (groupe La Poste) en 2018. Sur le plan RGPD, cette intégration dans un acteur public français renforce les garanties d'hébergement souverain. Sur le plan économique, elle interroge les collectivités sur leur dépendance à un fournisseur unique pour des usages devenus quasiment obligatoires. Ces deux dimensions doivent être tenues distinctes : la conformité réglementaire de Pronote n'est pas en débat, la dépendance institutionnelle relève d'un autre arbitrage, qui appartient aux conseils départementaux et aux régions.

Checklist conformité RGPD pour une classe

Avant d'utiliser un outil avec des données d'élèves, vérifiez les sept points suivants. Aucune réponse négative n'est acceptable pour des données identifiantes.

1. L'hébergement est dans l'Union européenne ou couvert par un cadre juridique adapté.
2. Les conditions générales excluent la réutilisation des données pour de la publicité ou l'entraînement de modèles.
3. Une politique de confidentialité est accessible, datée et rédigée dans une langue compréhensible.
4. L'outil est référencé par l'académie ou couvert par une convention nationale, ou à défaut le DPO académique a été consulté.
5. Les comptes utilisateurs sont créés sans collecte d'informations excédant la stricte nécessité éducative.
6. Une procédure de suppression des données est disponible et fonctionne.
7. Les familles sont informées de l'outil utilisé et de la finalité du traitement.

Cette checklist constitue le minimum opérationnel. Elle ne remplace pas une analyse d'impact relative à la protection des données lorsque le traitement présente un risque élevé, mais elle suffit à filtrer la quasi-totalité des situations courantes en école primaire. Les cahiers pédagogiques ont consacré plusieurs dossiers à cette question pratique de l'adoption raisonnée du numérique scolaire, notamment dans leur rubrique numérique éducatif des Cahiers pédagogiques, utile pour articuler conformité réglementaire et réalité de la classe.

Anatomie d'une non-conformité courante

Pour rendre concret ce que recouvre une infraction RGPD à l'école, prenons un cas observé dans de nombreuses classes. Une enseignante de CM2 utilise depuis trois ans un tableur Google Sheets partagé avec ses collègues de cycle pour suivre les progrès des élèves : prénoms, scores aux évaluations, observations qualitatives. Le fichier circule par lien partageable, hébergé sur l'infrastructure Google aux États-Unis. À chaque rentrée, l'enseignante duplique le fichier de l'année précédente.

Sur le papier, l'usage paraît anodin et même vertueux : il s'agit d'un suivi pédagogique, partagé entre adultes responsables. En réalité, le tableur cumule plusieurs non-conformités. Les données de mineurs traversent l'Atlantique vers une infrastructure dont les conditions de réutilisation sont opaques. L'enseignante n'a pas de base légale clairement identifiable pour ce traitement, distincte de celui assuré par le LSU ou l'ENT. Aucune information n'a été délivrée aux familles. La durée de conservation est de facto indéfinie. L'accès partagé crée un traitement multi-personnes sans journalisation.

La régularisation n'exige pas un drame. Migrer le suivi vers un outil souverain comme l'ENT ou un tableur local stocké sur le poste académique chiffré règle l'essentiel. Notifier le DPO de la pratique passée, supprimer les fichiers résiduels sur Drive, prévenir l'équipe pédagogique de la nouvelle organisation : trois actions, une demi-journée, et la classe rentre dans le cadre. Le RGPD n'a jamais sanctionné une trajectoire d'amélioration. Il sanctionne l'inertie consciente.

Comparer les coûts cachés

L'argument financier est régulièrement avancé pour justifier l'usage de services grand public : l'ENT est lourd, Pronote coûte cher à la collectivité, alors qu'un compte Google ou Microsoft gratuit règle le problème immédiatement. Le raisonnement masque les coûts cachés. Lorsqu'un outil est gratuit pour l'utilisateur final, son modèle économique repose sur la donnée ou sur la monétisation indirecte de l'attention. Pour un service de productivité utilisé par un adulte qui en accepte les conditions, le débat se pose en termes de préférence personnelle. Pour un service utilisé sur des mineurs qui n'ont pas la capacité juridique de consentir, le débat se déplace sur le terrain de la licéité.

Le coût d'un incident de fuite de données dépasse largement celui d'un abonnement à une suite institutionnelle. Au-delà de la sanction administrative possible de la CNIL, l'école s'expose à une crise réputationnelle locale, à des recours individuels de familles, et à une perte de confiance durable sur l'ensemble de ses pratiques numériques. Plusieurs collectivités ont déjà fait l'expérience qu'un seul tweet parental sur un usage limite peut amorcer un cycle médiatique qui mobilisera des semaines de communication institutionnelle. À cette aune, le surcoût d'un outil conforme est une assurance, pas un luxe.

Bonnes pratiques par usage pédagogique

Préparation personnelle des séances

C'est le domaine le plus libre. Tant qu'aucune donnée identifiante d'élève ne transite par l'outil, vous pouvez utiliser le service de votre choix : ChatGPT, Claude, Gemini, Canva, Notion, Google Docs en compte personnel. Le prompt « Génère trois exercices de soustraction posée à retenue pour des CE1 » ne pose aucun problème RGPD. Le prompt « Voici la copie de Léa, propose une remédiation » est une exfiltration de donnée personnelle de mineur, quel que soit l'outil. La frontière passe par le contenu saisi, pas par l'outil utilisé.

Communication avec les familles

L'ENT et la messagerie académique constituent les seuls canaux pleinement conformes pour les échanges nominatifs avec les parents. WhatsApp, Messenger, SMS personnels et boîtes Gmail privées doivent rester en dehors de la sphère professionnelle, même pour un message anodin. La règle est conservative car la frontière entre information anodine et donnée sensible est mouvante : un simple « Léa était fatiguée aujourd'hui » constitue déjà une donnée de santé d'un mineur.

Photos, vidéos et productions d'élèves

Le droit à l'image relève du Code civil et du Code de la propriété intellectuelle, distincts du RGPD mais cumulatifs. L'autorisation parentale écrite est nécessaire mais pas suffisante : encore faut-il que le support de diffusion soit conforme. Une autorisation signée ne légalise pas une publication sur un groupe WhatsApp parents. Pour les productions d'élèves dématérialisées, le canal académique ou l'ENT garantit que la diffusion reste dans la communauté éducative concernée.

Évaluations et suivi des acquis

Les notes, appréciations et observations qualitatives sont des données scolaires sensibles. Le LSU, Pronote et les ENT couvrent l'intégralité de ces usages avec un cadre adapté. Les outils tiers, y compris les tableurs cloud grand public, n'ont pas leur place sur ce périmètre. Si un outil spécifique est indispensable, l'analyse d'impact relative à la protection des données devient un préalable, conduite avec le DPO académique.

Activités numériques en classe

Les exercices interactifs, quiz collaboratifs et activités gamifiées proposés via LearningApps, Quizinière, Kahoot ou Wooclap peuvent être utilisés à condition de paramétrer l'inscription sans données identifiantes. Un pseudonyme par élève, sans nom de famille ni date de naissance, transforme une activité initialement problématique en activité conforme. Cette discipline d'inscription dépend entièrement de l'enseignant.

Mutualisation entre collègues

Le partage de ressources entre enseignants d'un même cycle, d'une même école ou d'un même réseau ne pose pas de problème RGPD tant qu'il porte sur des supports génériques (séquences, fiches, évaluations vierges, progressions). Il devient problématique dès qu'il contient des éléments identifiants : copies d'élèves nommées, vidéos de séances filmées sans floutage, listes de classe avec coordonnées des familles. La frontière est nette mais souvent franchie par inadvertance lors d'un envoi de pièce jointe pris dans l'urgence. Une bonne pratique consiste à se constituer un dossier mutualisation distinct du dossier classe, et à n'y déposer que des contenus anonymisés a priori.

Pièges fréquents à neutraliser

Plusieurs croyances persistantes parasitent les arbitrages dans les écoles. La première est l'illusion du consentement parental tout-puissant : une signature parentale ne couvre pas un transfert international illicite, ne dispense pas de la base légale, ne légitime pas un traitement disproportionné. La deuxième est l'assimilation entre gratuité et conformité : un outil gratuit n'est ni plus ni moins conforme qu'un outil payant, le critère pertinent est le modèle économique sous-jacent. La troisième est la confusion entre usage personnel et usage professionnel : ouvrir son Gmail personnel pour répondre à un parent crée une fuite de données même si le contenu reste banal.

La quatrième croyance, plus subtile, consiste à se reposer sur la convention académique sans en lire le périmètre exact. Une convention avec Google Workspace couvre généralement Drive, Docs et Meet sur un domaine éducation.fr ou ac-xxx.fr, mais ne couvre pas le compte Gmail personnel utilisé pour la même séance. Lire la convention avant de l'invoquer dans une discussion en salle des maîtres évite des malentendus douloureux. La cinquième est le glissement d'usage : un outil adopté pour un cas circonscrit dérive insensiblement vers des usages non prévus. Trois mois après l'adoption d'un Padlet pour mutualiser des ressources entre adultes, l'outil sert à recueillir les productions d'élèves nominatives. Le cadre initial ne couvre plus l'usage réel.

FAQ

Puis-je utiliser ChatGPT pour corriger des copies ?

Pas avec les copies réelles d'élèves identifiables. Vous pouvez utiliser l'outil pour tester une grille de correction sur une production fictive, ou sur une copie réelle complètement anonymisée. L'anonymisation doit retirer le prénom, les détails biographiques mentionnés dans le texte, et idéalement reformuler les passages qui rendraient l'enfant reconnaissable par son enseignant. Sans cette discipline, vous transmettez à un service américain une donnée scolaire nominative de mineur.

Mon académie a une convention avec Microsoft 365, je peux utiliser tous les services Microsoft ?

Non. La convention couvre un périmètre précis, généralement Teams, OneDrive et la suite Office sur un tenant dédié hébergé en Europe. Les services Microsoft hors convention restent dans le régime grand public. Les conditions exactes sont consultables au rectorat ou via votre DPO académique.

La CNIL contrôle-t-elle vraiment les écoles primaires ?

Les contrôles directs en école sont rares. La CNIL concentre son action de contrôle sur les éditeurs d'outils massivement utilisés et sur les collectivités territoriales en tant qu'autorités de tutelle des écoles. Cette rareté ne dispense pas l'école de conformité : un signalement parental, une réclamation auprès de la CNIL ou un incident de fuite suffisent à déclencher une instruction. L'absence de contrôle proactif ne vaut pas tolérance.

Que faire si on a déjà utilisé un outil non conforme ?

Arrêter l'usage problématique, basculer sur un outil conforme, demander la suppression des données chez l'éditeur lorsque c'est possible, et signaler la régularisation au DPO académique. La CNIL valorise les démarches de remise en conformité plus que la perfection rétrospective. Aucune sanction connue n'a frappé un enseignant qui corrigeait spontanément une pratique antérieure.

L'IA générative pour produire des supports, c'est conforme ?

Oui, dès lors qu'aucune donnée identifiante d'élève n'entre dans le prompt. Pour préparer une fiche d'exercices générique sur les fractions à destination de CE2, n'importe quel outil convient. Pour des productions plus ambitieuses, consultez notre guide des prompts ChatGPT pour enseignants et notre liste de ressources gratuites pour enseignants, qui distingue explicitement les outils utilisables en classe des autres.

Qui est responsable en cas de fuite ?

Le responsable de traitement, c'est-à-dire l'école représentée par son directeur ou son chef d'établissement, sous l'autorité de l'académie. L'enseignant à titre individuel peut voir sa responsabilité engagée s'il a agi en dehors des consignes ou des conventions, mais cette mise en cause individuelle reste exceptionnelle. La logique générale fait porter la responsabilité sur l'institution.

Synthèse opérationnelle

La conformité RGPD à l'école ne suppose pas une expertise juridique. Elle suppose une hygiène d'usage tenue dans la durée : connaître les outils que l'on utilise, vérifier leur hébergement et leur modèle économique, séparer rigoureusement les données identifiantes d'élèves des usages personnels de préparation, privilégier l'ENT et les outils institutionnels pour tout ce qui touche au scolaire nominatif. Ces quatre habitudes couvrent la quasi-totalité des situations rencontrées en école primaire.

Le reste se règle par une question au DPO académique lorsque le doute s'installe. La pédagogie ne perd rien à cette discipline. Les outils souverains ont rattrapé une grande partie de leur retard ergonomique, les outils tiers conformes existent dans tous les domaines, et l'IA générative s'utilise sans difficulté pour la production de supports tant que l'on respecte la frontière de l'anonymat. Le RGPD n'empêche pas d'enseigner avec le numérique. Il fournit la grammaire qui permet de le faire sans exposer les enfants à des traitements dont ils n'auraient jamais pu consentir.

Pour l'équipe pédagogique qui souhaite formaliser sa démarche, trois jalons annuels suffisent. À la rentrée, faire l'inventaire collectif des outils utilisés dans l'école, en distinguant ceux qui traitent des données d'élèves de ceux qui ne traitent que des contenus pédagogiques. En milieu d'année, vérifier que les politiques de confidentialité des outils retenus n'ont pas changé, ce qui arrive fréquemment chez les éditeurs américains. En fin d'année, supprimer les données qui ne sont plus utiles, en application du principe de limitation de la conservation. Ces trois rendez-vous, inscrits dans le calendrier du conseil des maîtres, transforment la conformité d'une exigence subie en une routine maîtrisée.

Au-delà de la classe, c'est aussi la maturité numérique des élèves qui se joue. Un enfant qui voit ses enseignants utiliser des outils choisis avec discernement, expliquer pourquoi telle plateforme convient et pas telle autre, intégrer les questions de souveraineté et de respect de la vie privée dans le quotidien scolaire, intériorise une culture qui lui servira toute sa vie. Le RGPD est en cela moins une contrainte qu'un programme d'éducation civique appliqué au numérique, dont l'école est à la fois sujet et acteur.

Pour l'usage de l'IA dans la correction ou la préparation, voir aussi notre guide IA correction de copies et le comparatif des outils IA pour enseignants.

Prépare Mes Cours est hébergé en France et ne collecte pas de données sensibles d'élèves. Essayez gratuitement