RGPD et outils numériques à l'école : ce que vous pouvez utiliser

Choisir un outil numérique pour l'école commence par son usage : préparer une fiche générique, partager des appréciations et faire répondre des élèves à un quiz ne mettent pas en jeu les mêmes données. Le nom du fournisseur ou la mention « hébergé en France » ne suffisent pas à décider.

Ce guide propose une grille de vérification pour l'équipe pédagogique. Les exemples sont fictifs. Pour un traitement concernant des élèves, l'interlocuteur à associer est le délégué à la protection des données (DPD, ou DPO) de votre institution.

Le cadre juridique applicable à l'école

Le RGPD s'applique notamment aux noms, coordonnées, photographies et résultats scolaires permettant d'identifier une personne. Ses principes de protection des données imposent une finalité précise, une base légale, des données limitées au nécessaire, une durée de conservation adaptée et une sécurité appropriée. Informer les familles fait partie de la démarche ; leur consentement n'est pas automatiquement la base légale de tout traitement scolaire.

Le responsable de traitement dépend du dispositif et de l'autorité qui en détermine les finalités et les moyens. Le directeur d'une école primaire ne doit donc pas être présenté automatiquement comme responsable de tous ses traitements. Pour l'usage pédagogique d'un système d'IA traitant des données personnelles, la CNIL précise la responsabilité du DASEN dans le premier degré et du chef d'établissement dans le second degré. Le DPO accompagne l'analyse, sans se substituer au responsable.

Trois questions à poser avant d'adopter un outil

Quelles données faut-il réellement transmettre ? Écrivez le besoin en une phrase. Un exercice vierge peut-il remplacer une copie réelle ? Faut-il un compte élève ? Quels renseignements sont obligatoires, et qui pourra voir les réponses ?

Quel cadre couvre cette utilisation ? Vérifiez l'offre exacte, le contrat de sous-traitance lorsqu'il est applicable, les destinataires, les sous-traitants et les conditions de réutilisation. La fiche CNIL sur la sous-traitance rappelle aussi de contrôler la localisation effective et le cadre des transferts hors de l'Union européenne. L'hébergement européen ne dispense pas des autres obligations.

Qui a validé le périmètre et les réglages ? Recherchez les consignes de votre institution et contactez le DPO si le nouvel usage n'est pas couvert. Une convention pour une offre institutionnelle ne s'étend pas automatiquement à un compte personnel chez le même fournisseur.

Étude comparative des principales familles d'outils

Ce tableau compare des situations d'usage. Il ne constitue pas une certification des marques citées.

Le cas particulier des outils IA

Le cadre ministériel d'usage de l'IA, publié en juin 2025, exclut la saisie de données personnelles ou confidentielles dans les IA grand public. Il demande également de ne pas faire créer de comptes personnels aux élèves auprès de ces services. Pour préparer un support, partez d'un programme public et d'un exemple inventé, puis vérifiez le contenu produit.

Remplacer un prénom par « élève A » ne suffit pas. Une copie peut contenir une histoire familiale ou d'autres détails reconnaissables. La CNIL distingue anonymisation et pseudonymisation : des données reliables à une personne avec des informations supplémentaires restent personnelles. Un pseudonyme réduit l'identification directe ; il ne rend pas l'activité automatiquement conforme.

Le cas des ENT et de Pronote

Pour les échanges et le suivi scolaire, utilisez le dispositif prévu par votre institution dans son périmètre autorisé. Une difficulté d'ergonomie mérite d'être remontée : partage trop large, comptes mal attribués ou exports conservés ailleurs demandent aussi une correction. Aucun produit ne garantit à lui seul tous les usages possibles.

Le cas Pronote dans le débat public

Pour comparer un logiciel de vie scolaire à une autre solution, séparez les besoins pédagogiques, le coût, la récupération des données et les garanties contractuelles. L'identité de son actionnaire ne permet pas de conclure à la conformité de chaque traitement. Demandez à l'équipe chargée du déploiement quelles fonctions et quels utilisateurs sont couverts.

Checklist conformité RGPD pour une classe

Cette fiche de préparation aide à formuler une demande précise au DPO. Elle ne remplace pas l'analyse du traitement.

1. Décrire l'activité et son intérêt pédagogique.
2. Lister les données, les personnes concernées et les destinataires.
3. Identifier le responsable de traitement et la base légale retenue.
4. Vérifier le contrat, les sous-traitants et les éventuels transferts.
5. Définir les accès, les réglages de partage et les mesures de sécurité.
6. Prévoir l'information des familles et l'exercice des droits.
7. Fixer les durées de conservation et la procédure de suppression ou d'archivage applicable.

Une analyse d'impact relative à la protection des données est requise lorsque le traitement est susceptible de présenter un risque élevé pour les droits et libertés. Ce n'est pas une obligation déclenchée par la seule présence d'un outil tiers. La présence de mineurs et les modalités d'évaluation font partie des éléments à examiner avec le DPO.

Anatomie d'une non-conformité courante

Exemple fictif. Une équipe partage un tableau de suivi nominatif avec un lien accessible à toute personne qui le reçoit. Un parent signale qu'il peut consulter les résultats d'autres enfants. Le problème immédiat est l'accès non autorisé, quel que soit le pays d'hébergement.

Restreignez cet accès et avertissez rapidement le DPO selon la procédure locale. Relevez les informations utiles à l'analyse : données exposées, personnes concernées, période et destinataires connus. Le guide CNIL sur les violations de données dans l'éducation accompagne ces premiers réflexes. Le responsable de traitement détermine les suites à donner avec le DPO, notamment les éventuelles notifications. Déplacer le fichier ne clôt pas à lui seul l'incident.

Comparer les coûts cachés

Pour choisir entre deux solutions, ajoutez au prix la formation, l'administration des comptes, l'assistance et le temps de récupération des documents. Testez ces points sur des fichiers fictifs : un collègue trouve-t-il le bon dossier ? Peut-on retirer un accès ? Un export reste-t-il lisible ? La gratuité ou le paiement ne constituent pas un verdict de conformité.

Bonnes pratiques par usage pédagogique

Préparation personnelle des séances

Séparez les supports génériques des documents de suivi. Une demande telle que « proposer trois exercices de soustraction pour des CE1 » peut être préparée sans informations sur votre classe. Conservez votre jugement pédagogique et respectez les consignes institutionnelles ainsi que les droits sur les contenus utilisés.

Communication avec les familles

Utilisez le canal professionnel prévu pour cet échange. Vérifiez les destinataires et les pièces jointes avant l'envoi, notamment pour un bilan individuel. Un compte personnel ne bénéficie pas automatiquement du cadre prévu pour la messagerie institutionnelle.

Photos, vidéos et productions d'élèves

Avant une diffusion, faites préciser le support, le public et la durée prévus ainsi que les autorisations nécessaires. Une autorisation pour un usage déterminé ne vaut pas autorisation générale de publier ailleurs. Vérifiez également ce que révèlent les travaux : signature, photographie ou récit personnel.

Évaluations et suivi des acquis

Une note ou une appréciation associée à un élève est une donnée personnelle. Elle ne relève pas automatiquement des catégories particulières de données de l'article 9 du RGPD ; une information de santé, par exemple, demande une attention distincte. Utilisez le dispositif de suivi autorisé et limitez les exports au besoin réel.

Activités numériques en classe

Avant un quiz, essayez le parcours avec un compte de test autorisé : que voit un participant des réponses des autres ? Les résultats sont-ils publics ? Un identifiant peut-il être relié à un élève ? Un pseudonyme est une mesure possible de réduction des données exposées, pas une dispense de vérifier le traitement.

Mutualisation entre collègues

Préparez un dossier de supports vierges destiné au partage. Pour proposer une analyse collective d'erreurs, rédigez si possible des exemples fictifs. Les documents de suivi individuels restent dans leur espace prévu, accessible aux seules personnes habilitées.

Pièges fréquents à neutraliser

• Confondre une marque, une offre commerciale et le service effectivement sous contrat.
• Croire qu'un serveur français règle les questions de finalité, d'accès et de conservation.
• Assimiler pseudonyme et anonymat.
• Étendre une autorisation ou une convention au-delà de son périmètre.
• Conserver chaque année des exports sans vérifier leur durée de conservation.

FAQ

Puis-je utiliser ChatGPT pour corriger des copies ?

N'envoyez pas de copie permettant d'identifier un élève à un service d'IA grand public. Pour travailler une grille, utilisez une production fictive et contrôlez la pertinence des retours. Le cadre ministériel s'applique aussi aux autres services grand public.

Mon académie a une convention avec Microsoft 365, je peux utiliser tous les services Microsoft ?

Vérifiez le texte applicable : offre, comptes, services et usages couverts. La convention ne permet pas de déduire que tous les produits ou un compte personnel sont autorisés.

La CNIL contrôle-t-elle vraiment les écoles primaires ?

Les obligations s'appliquent indépendamment de la fréquence des contrôles. Pour les questions pratiques, commencez par les ressources de la CNIL et votre DPO, plutôt que par une estimation de la probabilité d'un contrôle.

Que faire si on a déjà utilisé un outil non conforme ?

Signalez la situation au DPO et à l'interlocuteur institutionnel prévu. Faites cesser l'exposition éventuelle et convenez des mesures correctrices. Une suppression ou une migration doit s'inscrire dans cette démarche ; aucune absence de sanction ne peut être promise.

L'IA générative pour produire des supports, c'est conforme ?

La préparation de supports génériques peut entrer dans le cadre ministériel, sous ses conditions. Le résultat doit être relu. Nos exemples de prompts pour enseignants peuvent servir de point de départ à adapter sans données personnelles.

Qui est responsable en cas de fuite ?

Il faut identifier le responsable du traitement concerné. Le DPO aide à qualifier l'incident et à organiser la réponse. N'attribuez pas automatiquement cette responsabilité au directeur d'école ni au seul fournisseur.

Synthèse opérationnelle

Pour la rentrée, faites l'inventaire des outils réellement utilisés et notez les questions à résoudre. Pour chaque nouvel usage, préparez un exemple sans données réelles et vérifiez son cadre avant de l'étendre à la classe. Réexaminez les accès et la conservation aux moments utiles, notamment lors d'un changement d'équipe ou d'outil.

Pour poursuivre la préparation pédagogique, consultez nos ressources gratuites pour enseignants, le guide IA et correction de copies et le comparatif des outils IA pour enseignants. Les mêmes vérifications s'appliquent à tout service, y compris Prépare Mes Cours.