Outils collaboratifs dans l’enseignement et conformité au RGPD : les recommandations de la CNIL
Ce qu’il faut retenir
Le 24 août 2026, la CNIL a publié deux recommandations consacrées aux outils collaboratifs numériques : l’une pour l’enseignement des premier et second degrés et l’autre pour l’enseignement supérieur.
Espaces numériques de travail (ENT), messageries, suites bureautiques en ligne, espaces de stockage ou plateformes collaboratives : les établissements scolaires et universitaires recourent largement à des outils collaboratifs, souvent hébergés dans le cloud, qui impliquent, dans la plupart des cas, des traitements de données personnelles.
Le 24 août 2026, quelques jours avant la rentrée, la CNIL a publié deux recommandations consacrées à ces outils : l’une pour l’enseignement du premier et du second degré et l’autre pour l’enseignement supérieur. (1)
Ces recommandations sont très similaires. Elles comprennent cependant quelques points spécifiques à l’enseignement scolaire. Il est utile, par ailleurs, de rappeler les critères rendant nécessaire la désignation d’un DPO par les établissements d’enseignement.
1. Les recommandations communes à l’enseignement scolaire et à l’enseignement supérieur
Les deux recommandations reposent sur un socle largement commun, dont la détermination de la base légale, l’information des utilisateurs, la réalisation d’une analyse d’impact, les conditions de recours à un sous-traitant et le contrôle des transferts de données hors de l’Union européenne.
1.1 Déterminer la base légale des traitements
L’utilisation d’un outil collaboratif peut mettre en œuvre plusieurs traitements de données distincts. Le responsable du traitement doit donc déterminer la base légale de chacun d’eux avant leur déploiement.
Pour le premier et le second degré, la CNIL rattache cette analyse au principe de service public du numérique éducatif et de l’enseignement à distance, mis en place par la loi du 8 juillet 2013. (2)
Le service public du numérique éducatif a notamment pour mission de mettre à disposition des écoles et établissements des services numériques permettant d’enrichir les enseignements, de fournir aux enseignants des ressources et outils de suivi des élèves et de faciliter la communication avec les familles.
Lorsque les traitements répondent aux missions de service public des établissements scolaires, qu’ils soient publics ou privés, la CNIL indique que le responsable du traitement peut s’appuyer sur la base légale de l’exécution d’une mission d’intérêt public. (3)
1.2 Informer les utilisateurs
En application de l’obligation de transparence, les élèves, étudiants, responsables légaux et personnels doivent recevoir une information claire et accessible sur les traitements mis en œuvre au moyen de l’outil collaboratif. (4) Cette information doit être concise, transparente, compréhensible et facilement accessible.
Pour rappel, cette information, qui doit en principe être accessible lors de la première connexion à l’outil, doit identifier le responsable du traitement et indiquer notamment les finalités et bases légales, les droits des personnes, les destinataires des données, les durées de conservation, et le cas échéant, les coordonnées du DPO.
1.3 Examiner la nécessité d’une analyse d’impact
En application de l’article 35 du RGPD, une analyse d’impact relative à la protection des données (AIPD) doit être réalisée lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
Selon la CNIL, l’utilisation d’outils numériques collaboratifs dans l’enseignement nécessite de réaliser une AIPD si au moins deux des critères identifiés par le CEPD sont réunis. (5) Parmi les critères pertinents figurent notamment :
· le traitement de données concernant des personnes vulnérables, dont les mineurs ;
· le traitement de données à grande échelle ;
· le traitement de données sensibles.
La CNIL considère ainsi que, dans la majorité des cas, il est probable qu’une AIPD soit nécessaire pour l’utilisation de tels outils dans l’enseignement.
1.4 Les conditions de recours à des sous-traitants
L’article 28 du RGPD impose au responsable du traitement qui a recours à des sous-traitants de ne sélectionner que des prestataires présentant des garanties suffisantes (mise en œuvre de mesures techniques et organisationnelles appropriées) et d’encadrer la relation par un contrat répondant aux exigences du règlement.
Il convient donc de vérifier les conditions d’utilisation de l’outil, les politiques de confidentialité et de sécurité, les éventuelles certifications du fournisseur et le recours éventuel à des sous-traitants ultérieurs.
1.5 Contrôler les transferts de données hors de l’Union européenne
Le responsable du traitement doit vérifier les conditions dans lesquelles les données sont hébergées et si elles sont transférées vers un pays tiers à l’UE. (6) Dans ce cas, il convient de prendre en compte les risques d’accès par les autorités publiques de ce pays.
Compte tenu de la vulnérabilité de certaines personnes concernées et de la nature des données susceptibles d’être traitées, la CNIL mentionne la possibilité de recourir à un prestataire qualifié SecNumCloud par l’ANSSI comme une solution permettant de renforcer la protection des données contre les risques d’accès par des autorités de pays tiers.
2. Les recommandations spécifiques à l’enseignement scolaire
Certaines recommandations s’appliquent plus particulièrement l’enseignement scolaire, primaire et secondaire, dans la mesure où les traitement vont généralement concerner des mineurs.
2.1 Une protection particulière des mineurs
Dans les premier et le second degrés, une part importante des personnes concernées sont mineures. L’information qui leur est destinée doit donc être formulée dans des termes particulièrement clairs et compréhensibles et être adaptée à leur tranche d’âge.
2.2 Une position stricte sur les traceurs publicitaires
Le responsable du traitement doit s’assurer que l’outil ne recourt pas à des traceurs publicitaires, ceux-ci étant interdits au regard du principe de neutralité du service public de l’éducation, dont la neutralité commerciale. Au cas où l’outil comporterait des dispositifs de suivi destinés à l’exploitation publicitaire ou au profilage, ces fonctionnalités devront être désactivées.
Cette interdiction ne s’applique pas à l’enseignement supérieur, même si la CNIL recommande de privilégier les outils qui ne permettent pas au fournisseur d’utiliser des dispositifs de suivi à des fins publicitaires, de profilage ou de réutilisation commerciale, ou qui permettent de les désactiver.
2.3 Des règles techniques propres aux collèges et lycées publics
Le décret du 5 décembre 2025 prévoit que « Les systèmes d'information, services et outils numériques mis en œuvre dans les collèges et lycées publics dans l'exercice de leurs missions éducatives sont conformes à des référentiels d'interopérabilité, de sécurité et de numérique responsable (…).” (7)
Une exception est prévue pour les outils conçus pour une utilisation dans le monde professionnel et nécessaires aux seuls enseignements technologiques et professionnels.
3. Les établissements d’enseignement doivent-ils obligatoirement désigner un DPO ?
Les recommandations de la CNIL indiquent que les responsables de traitement peuvent s’appuyer sur les conseils de leur délégué à la protection des données (DPO). Or, tous les établissements ne sont pas tenus de désigner individuellement leur propre DPO.
3.1 Les établissements scolaires publics
Pour les établissements scolaires publics, l’obligation de désignation d’un DPO est obligatoire en application de l’article 37.1 a) du RGPD. Cette mission peut être mutualisée.
Ainsi, dans l’Éducation nationale, cette fonction est organisée au niveau académique : un DPO académique intervient pour les traitements mis en œuvre dans les écoles et établissements de l’académie. Selon les traitements concernés, le responsable du traitement peut être le chef d’établissement pour les établissements publics locaux d’enseignement (EPLE), le directeur académique des services de l’Éducation nationale (DASEN) pour les écoles primaires par délégation du recteur, ou le recteur pour les traitements académiques.
3.2 Les établissements scolaires privés
Pour les établissements scolaires privés, l’exercice d’une mission de service public ne suffit pas, à lui seul, à rendre la désignation d’un DPO obligatoire dans chaque établissement.
Toutefois, lorsqu’un établissement remplit l’un des autres critères prévus à l’article 37 du RGPD, notamment lorsque les activités de base impliquent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de catégories particulières de données, un DPO doit alors être désigné. Sa fonction peut être mutualisée, par exemple au niveau d’un groupe ou d’un organisme représentant plusieurs établissements.
3.3 L’enseignement supérieur
Dans l’enseignement supérieur, les établissements publics disposent en principe de leur propre DPO, sur le fondement de l’article 37.1 a) du RGPD.
Pour les établissements privés d’enseignement supérieur, la désignation dépend, comme pour les établissements scolaires privés, des autres critères prévus à l’article 37.
* * * * * * * * * * *
(1) “Enseignement du premier et du second degrés : les règles et bonnes pratiques pour utiliser les outils collaboratifs en ligne" et “Enseignement supérieur : les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne”, CNIL 24 août 2026
(2) Art. 16 de la loi n°2013-595 du 8 juillet 2013 d’orientation et de programmation pour la refondation de l’école de la République, codifié à l’article L.131-2 du code de l’éducation
(3) Voir RGPD art. 6 §1 e)
(4) Voir RGPD art. 12, 13 et 14
(5) « Lignes directrices sur l'analyse d'impact relative à la protection des données (AIPD) et à la détermination du caractère « susceptible d'entraîner un risque élevé » d'un traitement au sens du règlement 2016/679 », CEPD, 4 avril 2017 (et révisées le 4 octobre 2017) (en anglais)
(6) Voir RGPD chapitre V
(7) Décret n°2025-1165 du 5 décembre 2025 relatif au cadre de référence du numérique pour l'éducation et art. R.421-78-3 du code de l’éducation
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
Septembre 2026