Droit Vivant
Brief

↓ Version .md brute

Brief — Notes, devoirs, coffre-fort numérique : près de quatre ans après le « non » de l'Éducation nationale aux offres gratuites Office 365 et Google Workspace, la CNIL publie ses règles de la rentrée — et écarte le consentement des parents

Thème : données personnelles et souveraineté du cloud — outils collaboratifs et ENT dans l'enseignement, base légale de mission d'intérêt public, AIPD, chaîne de sous-traitance et risque d'accès par une autorité étrangère

Mots-clés : #rgpd #cnil #anssi #education-nationale #mineurs #souverainete-numerique #aipd

Le 24 août 2026, à quelques jours de la rentrée, la CNIL a publié deux fiches jumelles — l'une pour le premier et le second degrés, l'autre pour l'enseignement supérieur — encadrant l'usage des outils collaboratifs en ligne, espaces numériques de travail (ENT) ou solutions alternatives, dès lors qu'ils traitent le contenu des communications entre enseignants, élèves et responsables légaux, les travaux des élèves, leurs documents stockés dans un coffre-fort numérique ou leurs notes et appréciations. Le point le plus structurant est le choix de la base légale : l'établissement, public ou privé, doit se fonder sur l'exécution d'une mission d'intérêt public (article 6, §1, e) du RGPD, adossée pour le scolaire à l'article L. 131-2 du code de l'éducation), car le consentement ne peut être libre face à la position d'autorité du responsable de traitement — ce qui ferme la porte de sortie la plus commode, celle de la case cochée à la première connexion.

Trois exigences complètent le dispositif. D'abord les traceurs : dans le scolaire, la CNIL rattache l'interdiction de principe des traceurs publicitaires au principe de neutralité du service public de l'éducation, incluant la neutralité commerciale, et impose leur désactivation lorsqu'ils existent ; dans le supérieur, elle recommande de privilégier des outils qui n'en comportent pas ou permettent de les désactiver. Ensuite l'analyse d'impact (article 35 du RGPD) : dès que deux des critères du CEPD sont réunis — personnes vulnérables (mineurs, personnels en situation de subordination), traitement à grande échelle, données sensibles —, elle est obligatoire avant la mise en œuvre, et la CNIL estime que « dans la majorité des cas » elle sera nécessaire. Enfin les garanties du sous-traitant (article 28, §1 et §3), avec un contrat prévoyant sécurité, réversibilité et suppression des données en fin de contrat, et des vérifications qui s'étendent — l'avis 22/2024 du CEPD à l'appui — à la chaîne des sous-traitants ultérieurs.

Le cœur du sujet reste toutefois l'hébergement. Au titre du chapitre V du RGPD, la CNIL recommande de protéger les données « contre les risques de divulgation à des autorités publiques de pays tiers » et cite en exemple le recours à un prestataire bénéficiant de la qualification SecNumCloud de l'ANSSI, qui « permet de garantir la soumission exclusive du prestataire au droit européen ». Rien de tout cela n'est neuf : dès le 27 mai 2021, la CNIL avait écrit aux établissements du supérieur pour recommander, faute de mesures supplémentaires, des suites collaboratives relevant exclusivement du droit européen ; et le 15 novembre 2022, en réponse à la question écrite n° 971 du député Philippe Latombe (publiée au JO le 30 août 2022), le ministère de l'Éducation nationale confirmait la fin du déploiement des offres gratuites Office 365 et Google Workspace dans les établissements, au nom de la doctrine « cloud au centre » et de l'extraterritorialité du droit américain. S'y ajoute désormais un texte contraignant : le décret n° 2025-1165 du 5 décembre 2025 relatif au cadre de référence du numérique pour l'éducation, qui impose aux collèges et lycées publics des prescriptions techniques de sécurité, d'interopérabilité et de numérique responsable fixées par le ministre.

Sources