Commission nationale de l'informatique et des libertés · Numérique & IA

Outils collaboratifs à l’école : les vérifications RGPD à mener avant usage

Publié le 28/08/2026 · Contrôle et évaluation

Par la rédaction d'Impact Éducation, d'après la source officielle · politique éditoriale et sources

La CNIL rappelle que les outils collaboratifs utilisés dans le premier et le second degrés impliquent souvent des données personnelles et doivent être encadrés avant leur mise en œuvre.

La CNIL souligne que l’usage d’outils collaboratifs en ligne dans les écoles, collèges et lycées s’accompagne, dans la plupart des cas, de traitements de données personnelles. Sont notamment concernés les communications entre personnels, élèves et responsables légaux, les travaux et documents des élèves, les notes ou les appréciations.

Avant de déployer ces services, les responsables de traitement doivent déterminer la base légale de chaque traitement. Lorsque l’usage répond aux missions de service public des établissements scolaires, la CNIL indique que la base de l’exécution d’une mission d’intérêt public peut être mobilisée. Elle estime en revanche que le consentement est difficile à retenir, car il doit être libre et sans conséquence négative en cas de refus.

Les établissements doivent aussi informer les élèves, leurs responsables légaux et les personnels de manière concise, transparente, compréhensible et accessible. Pour les mineurs, cette information doit être simple et pédagogique. Elle doit être disponible avant la mise en œuvre du traitement, par exemple lors de la première connexion à l’outil.

La CNIL rappelle également l’importance de l’analyse d’impact relative à la protection des données lorsque les traitements présentent des risques élevés. Elle précise qu’une telle analyse est probablement nécessaire dans la majorité des cas, notamment en présence de mineurs, de traitements à grande échelle ou de données sensibles.

Le choix du fournisseur fait partie des points de vigilance. Le responsable de traitement doit vérifier les garanties du sous-traitant, encadrer le contrat, désactiver les éventuels traceurs publicitaires et s’assurer que les transferts hors Union européenne ou les risques d’accès par des États tiers sont suffisamment protégés.