# Brief — Notes, devoirs, coffre-fort numérique : près de quatre ans après le « non » de l'Éducation nationale aux offres gratuites Office 365 et Google Workspace, la CNIL publie ses règles de la rentrée — et écarte le consentement des parents

**Thème : données personnelles et souveraineté du cloud — outils collaboratifs et ENT dans l'enseignement, base légale de mission d'intérêt public, AIPD, chaîne de sous-traitance et risque d'accès par une autorité étrangère**

**Mots-clés :** #rgpd #cnil #anssi #education-nationale #mineurs #souverainete-numerique #aipd

Le **24 août 2026**, à quelques jours de la rentrée, la CNIL a publié **deux fiches jumelles** — l'une pour le **premier et le second degrés**, l'autre pour l'**enseignement supérieur** — encadrant l'usage des outils collaboratifs en ligne, espaces numériques de travail (ENT) ou solutions alternatives, dès lors qu'ils traitent le contenu des communications entre enseignants, élèves et responsables légaux, les travaux des élèves, leurs documents stockés dans un coffre-fort numérique ou leurs notes et appréciations. Le point le plus structurant est le choix de la base légale : l'établissement, public **ou privé**, doit se fonder sur l'**exécution d'une mission d'intérêt public** (article 6, §1, e) du RGPD, adossée pour le scolaire à l'article **L. 131-2 du code de l'éducation**), car le **consentement** ne peut être **libre** face à la position d'autorité du responsable de traitement — ce qui ferme la porte de sortie la plus commode, celle de la case cochée à la première connexion.

Trois exigences complètent le dispositif. D'abord les traceurs : dans le scolaire, la CNIL rattache l'interdiction de principe des **traceurs publicitaires** au **principe de neutralité du service public de l'éducation, incluant la neutralité commerciale**, et impose leur **désactivation** lorsqu'ils existent ; dans le supérieur, elle recommande de privilégier des outils qui n'en comportent pas ou permettent de les désactiver. Ensuite l'**analyse d'impact** (article 35 du RGPD) : dès que **deux des critères du CEPD** sont réunis — personnes vulnérables (mineurs, personnels en situation de subordination), traitement à grande échelle, données sensibles —, elle est obligatoire **avant** la mise en œuvre, et la CNIL estime que « dans la majorité des cas » elle sera nécessaire. Enfin les **garanties du sous-traitant** (article 28, §1 et §3), avec un contrat prévoyant sécurité, réversibilité et suppression des données en fin de contrat, et des vérifications qui s'étendent — l'**avis 22/2024 du CEPD** à l'appui — à la **chaîne des sous-traitants ultérieurs**.

Le cœur du sujet reste toutefois l'hébergement. Au titre du **chapitre V du RGPD**, la CNIL recommande de protéger les données « contre les risques de divulgation à des **autorités publiques de pays tiers** » et cite en exemple le recours à un prestataire bénéficiant de la **qualification SecNumCloud** de l'**ANSSI**, qui « permet de garantir la **soumission exclusive du prestataire au droit européen** ». Rien de tout cela n'est neuf : dès le **27 mai 2021**, la CNIL avait écrit aux établissements du supérieur pour recommander, faute de mesures supplémentaires, des suites collaboratives relevant exclusivement du droit européen ; et le **15 novembre 2022**, en réponse à la **question écrite n° 971** du député **Philippe Latombe** (publiée au JO le 30 août 2022), le ministère de l'Éducation nationale confirmait la fin du déploiement des offres **gratuites** Office 365 et Google Workspace dans les établissements, au nom de la doctrine « **cloud au centre** » et de l'extraterritorialité du droit américain. S'y ajoute désormais un texte contraignant : le **décret n° 2025-1165 du 5 décembre 2025** relatif au cadre de référence du numérique pour l'éducation, qui impose aux collèges et lycées publics des prescriptions techniques de sécurité, d'interopérabilité et de numérique responsable fixées par le ministre.

## Sources

- [CNIL — « Enseignement du premier et du second degrés : les règles et bonnes pratiques pour utiliser les outils collaboratifs en ligne », 24 août 2026](https://www.cnil.fr/fr/enseignement-premier-second-degres-bonnes-pratiques-outils-collaboratifs)
- [CNIL — « Enseignement supérieur : les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne », 24 août 2026](https://www.cnil.fr/fr/enseignement-superieur-bonnes-pratiques-outils-collaboratifs)
- [CNIL — Actualités et communiqués (datation des deux fiches au 24 août 2026)](https://www.cnil.fr/fr/actualites)
- [CNIL — « Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles »](https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres)
- [CNIL — Guide « Sécurité des données personnelles », fiche n° 22 « Cloud : informatique en nuage »](https://www.cnil.fr/fr/securite-cloud-informatique-en-nuage)
- [CNIL — Transférer des données hors de l'Union européenne (chapitre V du RGPD)](https://www.cnil.fr/fr/les-outils-de-la-conformite/transferer-des-donnees-hors-de-lue)
- [CNIL — Texte du RGPD, chapitre IV (articles 28 et 35)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4)
- [CNIL — Texte du RGPD, chapitre III (articles 12, 13 et 14)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3)
- [Légifrance — Article L. 131-2 du code de l'éducation (service public du numérique éducatif, loi du 8 juillet 2013)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043982602)
- [Légifrance — Décret n° 2025-1165 du 5 décembre 2025 relatif au cadre de référence du numérique pour l'éducation](https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000052993632)
- [ANSSI — Foire aux questions sur la qualification SecNumCloud](https://cyber.gouv.fr/enjeux-technologiques/cloud/faq-qualification-secnumcloud/)
- [CEPD — Avis 22/2024 relatif à certaines obligations découlant du recours à un ou plusieurs sous-traitant(s) ou sous-traitant(s) ultérieur(s)](https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-222024-certain-obligations-following_fr)
- [CEPD — Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant (PDF)](https://www.edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_fr.pdf)
- [Groupe de l'article 29 / CEPD — Lignes directrices WP248 rev.01 sur l'analyse d'impact relative à la protection des données](https://ec.europa.eu/newsroom/article29/items/611236)
- [Assemblée nationale — Question écrite n° 971 de M. Philippe Latombe, « Gratuité d'Office 365 » (JO du 30 août 2022, réponse publiée le 15 novembre 2022)](https://questions.assemblee-nationale.fr/q16/16-971QE.htm)
- [Ministère de l'Éducation nationale — Les référentiels (doctrine technique du numérique pour l'éducation)](https://www.education.gouv.fr/les-referentiels-450069)