art. 6, §1, e) RGPD — licéité : exécution d'une mission d'intérêt public, base légale retenue par la CNIL pour l'école publique comme privéeart. 4, 11) RGPD — le consentement doit être libre : difficilement valable en situation d'autorité ou de subordinationart. 12, art. 13, art. 14 RGPD — information concise, transparente, compréhensible, aisément accessible ; adaptée à l'âge du mineurart. 28, §1, §3 et §3, f) RGPD — garanties suffisantes du sous-traitant, contrat, sécurité, réversibilité et suppression en fin de contratart. 35 RGPD — AIPD obligatoire dès que le traitement est susceptible d'engendrer un risque élevéchapitre V RGPD — encadrement des transferts hors Union européenneart. L. 131-2 code de l'éducation — service public du numérique éducatif (loi du 8 juillet 2013)décret n° 2025-1165 du 5 déc. 2025 — cadre de référence du numérique pour l'éducation, opposable aux collèges et lycées publicsWP248 rev.01 — critères de risque élevé ; avis 22/2024 — sous-traitants ultérieurs ; LD 07/2020 — responsable / sous-traitantLe 24 août 2026, à quelques jours de la rentrée, la CNIL a publié deux fiches jumelles — l'une pour le premier et le second degrés, l'autre pour l'enseignement supérieur — sur l'usage des outils collaboratifs en ligne, ENT ou solutions alternatives. Sont visés nommément les traitements en jeu : contenu des communications entre enseignants, élèves et responsables légaux, travaux des élèves, documents personnels stockés dans un coffre-fort numérique, notes et appréciations.
Quatre exigences structurent le texte. D'abord la base légale : la mission d'intérêt public, le consentement étant écarté parce qu'il ne peut être libre face à l'autorité de l'établissement. Ensuite les traceurs : dans le scolaire, la CNIL rattache l'interdiction de principe des traceurs publicitaires au principe de neutralité du service public de l'éducation, incluant la neutralité commerciale ; s'ils existent, l'établissement doit les désactiver. Puis l'AIPD : dès que deux des critères du CEPD sont réunis — personnes vulnérables (mineurs, personnels subordonnés), grande échelle, données sensibles —, elle est obligatoire avant la mise en œuvre ; « dans la majorité des cas », écrit la CNIL, elle sera nécessaire.
Enfin l'hébergement. Compte tenu de la vulnérabilité des personnes et du volume traité, la CNIL recommande de protéger les données « contre les risques de divulgation à des autorités publiques de pays tiers » et cite en exemple le recours à un prestataire qualifié SecNumCloud par l'ANSSI, qui « permet de garantir la soumission exclusive du prestataire au droit européen ».
Le contexte n'est pas neuf. Dès le 27 mai 2021, la CNIL avait écrit aux établissements du supérieur pour recommander, faute de mesures supplémentaires, des suites collaboratives relevant exclusivement du droit européen. Et le 15 novembre 2022, répondant à la question écrite n° 971 du député Philippe Latombe (publiée au JO le 30 août 2022), le ministère de l'Éducation nationale confirmait la fin du déploiement des offres gratuites Office 365 et Google Workspace dans les établissements, en s'appuyant sur la doctrine « cloud au centre » et sur l'extraterritorialité du droit américain.
Ces fiches ne créent pas de règle nouvelle : elles referment une porte de sortie très utilisée. Tant qu'un établissement pouvait invoquer le consentement — la case cochée au moment de la première connexion —, le débat sur l'hébergement restait théorique. En imposant la mission d'intérêt public, la CNIL replace la charge sur l'établissement : c'est lui, et non la famille, qui doit démontrer que le traitement est licite, proportionné et sécurisé. Le point de contrôle se déplace du formulaire vers le contrat de sous-traitance, la chaîne de sous-traitants ultérieurs et la localisation juridique du fournisseur.
Pour qui audite des systèmes, la fiche est une grille d'attaque lisible. Elle désigne les artefacts à exiger : registre et AIPD antérieurs à la mise en production, article 28 signé avec clauses de réversibilité et de suppression, inventaire des sous-traitants ultérieurs, preuve de désactivation effective des traceurs — pas leur simple absence dans la documentation commerciale —, cartographie des flux sortants et des supports d'administration. Elle rappelle surtout que la conformité « papier » d'un transfert (clauses types, mesures supplémentaires) ne dit rien du risque d'accès par une autorité étrangère, qui se traite par l'architecture — chiffrement dont l'établissement garde les clés, cloisonnement, ou prestataire relevant du seul droit européen. Et depuis le décret du 5 décembre 2025, les collèges et lycées publics ont, en plus du RGPD, un cadre technique national opposable.