Foire aux questions RGPD - 1D | Délégation Régionale Au Numérique Educatif

Cette FAQ est proposée par le Groupe Académique RGPD, regroupant le DPD de l’Académie, des CPD numériques et Référents numériques de chaque département.

Elle contient :
- d’une part des réponses produites par le groupe lui-même 🟢
- d’autre part des réponses produites par CANOPE 🇨 au sein de leur documentation « Les données à caractère personnel : Comprendre et appliquer les nouvelles réglementations dans les établissements scolaires »

NB : Les réponses fournies par CANOPE concernent parfois le 1er et le 2nd degrés.

Si les écoles collectent des données pour alimenter des applications locales ou des services numériques ou réutilisent des données extraites des applications métiers, il s’agit de traitements à part entière qui doivent être recensés.

En revanche, le périmètre fonctionnel des applications métiers nationales ou académiques (ONDE, AFFELNET, LSU, LPI, …) est défini par les directions métiers de l’administration centrale ou du rectorat qui en sont les responsables de traitement et en assument la responsabilité. Les écoles n’ont pas à déclarer les traitements associés, dans la mesure où ils sont exploités conformément à leur documentation et n’ont pas été modifiés au niveau de l’école.

🟢 Réponse proposée par le groupe de travail RGDP académique 1D.

Dans la mesure où il implique la collecte de données relatives à l’identité et à la vie scolaire des élèves, un tel fichier, qu’il soit ou non diffusé sur le réseau local de l’école, constitue un traitement de données à caractère personnel au sens du RGPD. Comme tout traitement de données à caractère personnel mis en œuvre dans une école, il doit donc faire l’objet d’une inscription dans le registre de traitement départemental.

Il est essentiel que les caractéristiques du traitement soient portées à la connaissance des personnes concernées dans les conditions prévues par les articles 13 et 14 du RGPD. Elles doivent être informées de l’identité et des coordonnées du responsable de traitement et du délégué à la protection des données, des finalités, de la base juridique du traitement, du caractère obligatoire ou facultatif du recueil des données et des conséquences pour la personne en cas de non-fourniture des données, des destinataires, de la durée de conservation des données, du droit des personnes concernées (opposition, accès, rectification, effacement, limitation), du droit d'introduire une réclamation (plainte) auprès de la Commission nationale de l'informatique et des libertés (CNIL).

🟢 Réponse proposée par le groupe de travail RGDP académique 1D.

Au sens de l’article 28 du RGPD, un prestataire qui édite un ENT ou un outil de gestion de vie scolaire et qui accède aux données à caractère personnel (notamment lorsqu’il propose l’hébergement de telles données) est considéré comme un sous-traitant.

En conséquence, une convention de sous-traitance doit être conclue entre le responsable de traitement et le sous-traitant. Le responsable de traitement doit en effet s’assurer que le sous-traitant présente des garanties suffisantes au regard du RGPD. Pour les prestataires conventionnés et pour lesquels une fiche de traitement a pu être renseignée dans le registre de traitement (*) , les écoles doivent simplement déclarer leur utilisation via la plateforme Ouranos. Pour tout autre prestataire, leur usage ne peut être déclaré et envisagé avant conventionnement et inscription au registre de traitement.

🟢 Réponse proposée par le groupe de travail RGDP académique 1D.

Dans la mesure où elle implique la collecte de données relatives à l’identité des élèves, une fiche de suivi constitue un traitement de données à caractère personnel. Dès lors, ce traitement propre à l’école doit, avant sa mise en œuvre, faire l’objet d’une analyse au regard des exigences du RGPD et être inscrit sur le registre de traitement du département.

Il est notamment nécessaire de faire preuve d’une vigilance particulière si le fichier comporte des champs de commentaires libres. La CNIL rappelle que les appréciations mentionnées dans les champs libres doivent toujours être objectives et jamais excessives ou insultantes, et ne pas comporter de données sensibles. Par exemple, lorsqu’il s’agit de suivre des élèves présentant des troubles, les données de santé les concernant constituent des données sensibles, dont le traitement est en principe interdit, sauf exception prévue par le RGPD concernant les traitements mis en œuvre par les acteurs de santé dont ne font pas partie un enseignant ou un directeur.

En application de l’article 5 du RGPD, la durée de conservation des données ne devrait pas excéder celle nécessaire au regard des finalités pour lesquelles les données sont traitées. Il faudrait, par conséquent, que le responsable de traitement soit en mesure de justifier la conservation pluriannuelle des fichiers.

Enfin, les personnes concernées devraient être dûment informées des caractéristiques du traitement dans les conditions prévues aux articles 13 et 14 du RGPD.

🟢 Réponse proposée par le groupe de travail RGDP académique 1D.