La CNIL a publié le 24 août 2026, à la veille de la rentrée, deux fiches consacrées aux outils collaboratifs en ligne, l'une pour l'enseignement du premier et du second degrés, l'autre pour l'enseignement supérieur. Elles visent les messageries, espaces de stockage, outils de visioconférence et plateformes de travail partagé utilisés en classe, en complément ou en remplacement des espaces numériques de travail. Les communes pour les écoles, les départements pour les collèges et les régions pour les lycées financent et déploient une part croissante de ces services. La question posée est celle de la répartition des responsabilités et des vérifications à conduire avant de mettre un outil entre les mains d'élèves mineurs.
La mission d'intérêt public est la base légale, le consentement des familles est écarté
La CNIL retient que les traitements liés au service public du numérique éducatif, visé à l'article L. 131-2 du code de l'éducation, reposent sur la mission d'intérêt public au sens de l'article 6, paragraphe 1, point e, du RGPD. Le consentement est jugé difficilement mobilisable, la position d'autorité de l'établissement à l'égard des familles et des personnels le privant de son caractère libre. La pratique consistant à faire signer aux parents une autorisation d'usage d'un outil ne dispense donc d'aucune obligation et crée une insécurité juridique en cas de retrait.
Le fournisseur de l'outil agit en qualité de sous-traitant. Le responsable de traitement doit vérifier ses garanties et conclure un contrat conforme à l'article 28 du RGPD, précisant l'objet, la durée, la finalité, les mesures de sécurité, la réversibilité et la suppression des données à l'issue du contrat. Les conditions générales d'un service grand public ne satisfont pas, en règle générale, à cette exigence.
Les traceurs publicitaires doivent être désactivés et une analyse d'impact est presque toujours requise
La neutralité du service public, y compris commerciale, interdit l'exploitation publicitaire des données des élèves. Le responsable de traitement doit s'assurer que l'outil n'utilise aucun traceur publicitaire et, lorsque le service intègre des fonctions de profilage ou de publicité, les désactiver avant toute mise à disposition. Les traitements concernant des personnes vulnérables, à grande échelle ou portant sur des données sensibles réunissent souvent au moins deux des critères du Comité européen de la protection des données qui déclenchent l'analyse d'impact ; la CNIL l'estime nécessaire dans la majorité des cas et recommande de la réaliser en cas de doute, avec l'aide du sous-traitant et de son outil PIA.
Les transferts hors de l'Union doivent être encadrés et l'hébergement soumis au seul droit européen est recommandé
Les transferts de données vers des pays tiers obéissent au chapitre V du RGPD. Pour les mineurs, la CNIL recommande de se prémunir contre la divulgation aux autorités publiques d'États tiers et cite le recours à un prestataire qualifié SecNumCloud par l'ANSSI comme garantie d'une soumission exclusive au droit européen. Elle rappelle qu'un décret du 5 décembre 2025 impose déjà aux collèges et lycées publics des prescriptions techniques de sécurité, d'interopérabilité et de numérique responsable pour leurs outils, prescriptions qui ne couvrent pas expressément les écoles. L'information des élèves, des responsables légaux et des personnels doit être délivrée avant la mise en service, rappelée à chaque rentrée et rédigée dans un langage accessible aux mineurs, le cas échéant en facile à lire et à comprendre.
Ce que la fiche induit pour les collectivités qui équipent les établissements scolaires
La collectivité qui acquiert ou met à disposition un outil collaboratif doit d'abord clarifier, avec le directeur d'école ou le chef d'établissement et les services académiques, qui est responsable du traitement et qui agit pour le compte de qui ; une convention tripartite est souvent nécessaire. Les marchés de fourniture de services numériques éducatifs doivent intégrer un contrat de sous-traitance conforme à l'article 28, une clause d'interdiction des traceurs publicitaires et du profilage, une clause de localisation des données dans l'Union et, pour les données les plus sensibles, l'exigence d'une qualification SecNumCloud ou d'une garantie équivalente. L'analyse d'impact doit être conduite avant le déploiement et versée au dossier du délégué à la protection des données de la collectivité ou de l'établissement. Les outils gratuits installés à l'initiative d'enseignants doivent être recensés et, à défaut de conformité, remplacés par les services de l'espace numérique de travail.
Références : CNIL, « Enseignement du premier et du second degrés : quelles règles pour utiliser des outils collaboratifs en ligne ? », 24 août 2026 ; CNIL, « Enseignement supérieur : bonnes pratiques pour les outils collaboratifs en ligne », 24 août 2026 ; Article L. 131-2 du code de l'éducation (service public du numérique éducatif) ; Décret n° 2025-1165 du 5 décembre 2025 (prescriptions techniques applicables aux outils numériques des collèges et lycées publics), cité par la CNIL.
