↓ Version .md brute (pour NotebookLM)

L'école, le cloud et la souveraineté : ce que la CNIL a écrit à quelques jours de la rentrée 2026

De quoi parle-t-on

Le 24 août 2026, la Commission nationale de l'informatique et des libertés a publié deux fiches jumelles consacrées aux outils collaboratifs en ligne dans l'enseignement : l'une pour le premier et le second degrés, l'autre pour l'enseignement supérieur. Le vocabulaire administratif — « outils collaboratifs en ligne » — recouvre une réalité que des millions de familles françaises manipulent tous les jours : l'espace numérique de travail, ou ENT, et les solutions qui en tiennent lieu. Concrètement, la CNIL énumère elle-même les données en cause : le contenu des communications entre les personnels administratifs et enseignants, les élèves et leurs responsables légaux ; les travaux des élèves ; les documents personnels stockés dans un coffre-fort numérique ; les notes et les appréciations. Autrement dit, presque tout ce qu'un établissement sait d'un enfant ou d'un étudiant, et une partie de ce qu'il sait de ses professeurs.

Ces plateformes reposent, dans la très grande majorité des cas, sur de l'informatique en nuage. La question n'est donc pas seulement « quelles données sont traitées », mais « par qui, sous quel droit, et avec quelle possibilité pour un tiers d'y accéder » — ce qui rend ces deux fiches intéressantes bien au-delà du monde éducatif.

Le premier verrou : la base légale

Tout traitement de données personnelles doit reposer sur l'une des six bases légales de l'article 6 du RGPD. La CNIL tranche nettement : lorsque l'usage d'outils collaboratifs répond aux missions de service public des établissements — qu'ils soient publics ou privés —, la base légale est l'exécution d'une mission d'intérêt public, prévue à l'article 6, paragraphe 1, point e). Pour le scolaire, elle rattache explicitement cette mission au service public du numérique éducatif institué par la loi du 8 juillet 2013 et codifié à l'article L. 131-2 du code de l'éducation.

Le corollaire est plus important encore que le principe : le consentement est écarté. La CNIL rappelle qu'un consentement, pour valoir base légale, doit être libre, c'est-à-dire ni contraint ni influencé, notamment par la position d'autorité du responsable de traitement. Or un élève, son représentant légal ou un personnel subordonné ne disposent pas d'un choix réel : refuser l'ENT, c'est se couper du cahier de textes, des devoirs, des notes et de la communication avec l'établissement. L'analyse découle de la définition du consentement à l'article 4, point 11, du RGPD, mais son application explicite à l'école ferme une porte que beaucoup d'organisations utilisaient comme paratonnerre : tant qu'on pouvait invoquer une case cochée, le débat sur l'hébergement restait théorique. En imposant la mission d'intérêt public, la CNIL replace la charge de la démonstration sur l'établissement — c'est à lui, et non à la famille, de prouver que le traitement est nécessaire, proportionné et sécurisé.

Le deuxième verrou : la neutralité commerciale

La fiche consacrée au premier et second degrés introduit un raisonnement que l'on rencontre rarement dans les analyses RGPD. Certains traitements, rappelle la CNIL, sont réalisés par le fournisseur de l'outil pour son propre compte — traceurs, dispositifs de suivi, profilage, réutilisation commerciale. Or ces pratiques sont, dans le contexte scolaire, « en principe interdites » : non pas seulement au regard de la protection des données, mais au regard du principe de neutralité du service public de l'éducation, incluant la neutralité commerciale. Si l'outil en comporte, le responsable de traitement « devra désactiver ces fonctionnalités ».

Le fondement est donc administratif autant que réglementaire, ce qui change la nature de l'obligation : il ne s'agit pas d'obtenir un consentement à des cookies publicitaires, il s'agit de constater qu'un service public ne peut pas être un support de captation commerciale sur des mineurs. Pour le supérieur, la formulation est plus souple — la CNIL « recommande de privilégier » les outils sans traceurs publicitaires ou dont ces fonctions sont désactivables — mais la direction est la même.

Le troisième verrou : l'analyse d'impact

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données, ou AIPD, dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Pour déterminer ce seuil, on applique les critères du Comité européen de la protection des données, issus des lignes directrices WP248 rev.01. La CNIL en rappelle trois qui frappent de plein fouet le cas d'espèce : traitement portant sur des personnes vulnérables — mineurs, mais aussi personnels en relation de subordination ; traitement à grande échelle, apprécié au regard du nombre de personnes, du volume, de la durée et de l'étendue géographique ; traitement incluant des données sensibles, par exemple des données de santé.

Dès que deux critères sont réunis, l'AIPD est obligatoire, et elle doit être réalisée avant la mise en œuvre. La CNIL le dit sans détour : « dans la majorité des cas, il est probable qu'une AIPD soit nécessaire ». Un ENT de collège coche mécaniquement mineurs et grande échelle. La conclusion pratique est brutale : un établissement qui a ouvert son ENT sans AIPD antérieure est, sauf exception, en défaut — et ce défaut est documentable en une question.

Le quatrième verrou : la chaîne de sous-traitance

L'article 28, paragraphe 1, du RGPD n'autorise le recours qu'à des sous-traitants « qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». C'est au responsable de traitement d'évaluer ce caractère suffisant et de démontrer qu'il l'a fait. La CNIL énumère les pièces attendues : politique de protection des données, conditions générales, politique de sécurité de l'information, adhésion à un code de conduite, certification RGPD ou certification de la famille ISO 27000. Le contrat de l'article 28, paragraphe 3, doit couvrir l'objet, la durée, la finalité, les obligations de sécurité et la fin de contrat — réversibilité et suppression des données.

Surtout, la CNIL renvoie à l'avis 22/2024 du CEPD sur les sous-traitants ultérieurs : la vérification ne s'arrête pas au premier rang contractuel, elle descend la chaîne. Dans un ENT réel, cette chaîne comprend l'éditeur, l'hébergeur, souvent un fournisseur de visioconférence, un service de messagerie et une brique d'authentification — chacun avec ses propres sous-traitants.

Le cinquième verrou : le risque d'accès par un État tiers

C'est le point le plus politique. Le chapitre V du RGPD encadre les transferts hors Union européenne, mais la CNIL formule ici une exigence qui déborde le transfert au sens strict : le responsable doit s'assurer que ces transferts « ou le recours à des fournisseurs soumis à des réglementations étrangères » soient suffisamment sécurisés, juridiquement et en termes de cybersécurité, par des mesures techniques supplémentaires. Puis elle recommande, en raison de la vulnérabilité des personnes concernées et du volume traité, « d'assurer une protection des données contre les risques de divulgation à des autorités publiques de pays tiers », et cite en exemple le recours à un prestataire bénéficiant de la qualification SecNumCloud de l'ANSSI, qui « permet de garantir la soumission exclusive du prestataire au droit européen ».

Cette position s'inscrit dans une continuité documentée. Dès le 27 mai 2021, la CNIL avait écrit aux établissements d'enseignement supérieur pour recommander, en l'absence de mesures supplémentaires garantissant une protection adéquate, des suites collaboratives proposées par des fournisseurs exclusivement soumis au droit européen, hébergeant les données dans l'Union et ne les transférant pas vers les États-Unis. Le 15 novembre 2022, répondant à la question écrite n° 971 du député Philippe Latombe — publiée au Journal officiel le 30 août 2022 —, le ministère de l'Éducation nationale confirmait la fin du déploiement des offres gratuites Microsoft Office 365 et Google Workspace dans les établissements scolaires, en s'appuyant sur la doctrine « cloud au centre » de la circulaire du Premier ministre et sur l'extraterritorialité du droit américain. Enfin, le décret n° 2025-1165 du 5 décembre 2025 relatif au cadre de référence du numérique pour l'éducation impose désormais aux collèges et lycées publics des prescriptions techniques de sécurité, d'interopérabilité et de numérique responsable fixées par le ministre.

Ce que cela change pour un praticien de la sécurité

L'intérêt de ces fiches, pour qui audite des systèmes, est qu'elles convertissent des principes en artefacts vérifiables : une AIPD datée d'avant la mise en production ; un contrat article 28 avec clauses de réversibilité et de suppression ; un inventaire à jour des sous-traitants ultérieurs ; une preuve de désactivation effective des traceurs, mesurable sur le trafic sortant plutôt que dans une brochure ; une localisation juridique du prestataire, distincte de la localisation physique des serveurs. Cette dernière distinction est le nœud : héberger en Europe ne suffit pas si l'entité qui exploite relève d'un droit qui l'oblige à répondre à une réquisition. Le traitement de ce risque est architectural — chiffrement dont l'établissement conserve les clés, cloisonnement des environnements d'administration, ou prestataire relevant du seul droit européen — et non contractuel.

Enfin, un rappel utile : ces fiches sont de la doctrine, pas une sanction, et n'ont pas la force d'une délibération de la formation restreinte. Mais elles décrivent la grille qu'un contrôle appliquerait, et valent à ce titre feuille de route — pour se mettre en conformité comme pour évaluer un tiers.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Voici cinq angles de traitement possibles de ce dossier. Choisissez celui qui correspond à ce que vous voulez entendre et collez-le tel quel dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Audit offensif d'un ENT : les points de contrôle. Traite ce document comme une checklist d'audit et non comme un commentaire juridique. Déroule, dans l'ordre où un auditeur les demanderait, les artefacts que la CNIL rend exigibles : AIPD antérieure à la mise en production, contrat article 28 avec clauses de réversibilité et de suppression, inventaire des sous-traitants ultérieurs, preuve de désactivation effective des traceurs mesurée sur le trafic sortant, mentions d'information à la première connexion. Explique pour chacun comment le vérifier techniquement plutôt que sur pièces déclaratives.

Angle 2 — Architecture, identité et flux dans un espace numérique de travail. Concentre-toi sur la mécanique technique d'un ENT : fédération d'identité et authentification des élèves, parents et personnels, API entre l'éditeur, l'hébergeur, les briques de visioconférence et de messagerie, coffre-fort numérique et gestion des clés, journalisation des accès aux notes et appréciations. Discute des endroits où la donnée sort du périmètre européen sans qu'on le voie — télémétrie, traceurs tiers, CDN, sauvegardes, support technique — et de ce que « soumission exclusive au droit européen » implique concrètement dans un diagramme de flux.

Angle 3 — Comparaison avec les autres régimes déjà traités dans le dépôt. Mets ce dossier en regard des modules précédents de Droit Vivant : la violation de données du ministère de l'Éducation nationale et l'obligation de communication de l'article 34 du RGPD, l'obligation de sécurité de l'article 32 discutée à propos de la DGFiP, l'obligation de signalement à 24 heures du Cyber Resilience Act, et la sanction de 825 millions d'euros infligée à Uber sur le fondement de l'article 22. Montre que le point d'imputation change à chaque fois — l'entité victime, l'éditeur du produit, la plateforme décisionnaire, l'acheteur public — et explique pourquoi c'est ici l'acheteur, c'est-à-dire l'établissement, qui porte la charge de la preuve.

Angle 4 — Veille réglementaire automatisée sur le cloud public et l'éducation. Propose une méthode concrète pour construire une veille continue sur ce dossier : sources à surveiller (actualités et délibérations de la CNIL, publications de l'ANSSI sur SecNumCloud et la liste des prestataires qualifiés, référentiels et arrêtés du ministère de l'Éducation nationale pris en application du décret du 5 décembre 2025, avis et lignes directrices du CEPD, questions écrites parlementaires sur le cloud public), fréquence utile, mots-clés de filtrage et déclencheurs d'alerte — nouvelle qualification SecNumCloud, mise à jour du cadre de référence, première sanction visant un établissement.

Angle 5 — Prospective contentieuse : de la doctrine à la sanction. Explore ce qui se passera si un contentieux survient. Que vaut une fiche pédagogique de la CNIL devant le juge administratif saisi d'un marché public d'ENT ? Un établissement qui a déployé sans AIPD s'expose-t-il à une injonction, à une mise en demeure publique, à une sanction ? Comment s'articulent la responsabilité de l'établissement, celle de la collectivité qui finance et celle de l'éditeur ? Et que devient l'argument de la neutralité commerciale du service public si l'outil intègre demain des fonctions d'IA générative dont les journaux de conversation alimentent l'entraînement du fournisseur ?