Qu'est-ce que le RGPD et pourquoi concerne-t-il aussi l'école ?

Le RGPD, ou Règlement Général sur la Protection des Données, est un texte de l'Union européenne applicable depuis le 25 mai 2018. Il protège les personnes dont les données sont traitées et s'impose à toute organisation, publique ou privée, quelle que soit sa taille, y compris les établissements scolaires.

Une application de classe demande le nom, la photo et les résultats de chaque élève : qui a le droit de les conserver, et combien de temps ? Un ENT, une tablette ou un capteur connecté collectent des informations dès la première journée de cours. Beaucoup pensent que le RGPD ne regarde que les géants du numérique. C'est faux : une école, une association ou un enseignant peuvent être concernés.

Le RGPD en clair : définition et origine du règlement

Le RGPD, ou Règlement Général sur la Protection des Données, est un texte de l'Union européenne applicable directement dans tous les États membres depuis le 25 mai 2018. Il s'agit du règlement européen adopté en 2016, qui remplace l'ancienne directive européenne sur la protection des données. Il s'appuie sur la Charte des droits fondamentaux de l'UE et poursuit un double objectif : protéger les droits et libertés des personnes dont les données sont traitées, tout en permettant la libre circulation de ces données. Le texte n'interdit donc pas de collecter, il encadre. Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou par recoupement : le nom d'un élève, son identifiant sur l'ENT, une adresse IP, ou encore la donnée émise par une tablette ou un capteur connecté rattaché à un compte. Erreur fréquente : croire qu'une donnée « anonyme en apparence » échappe au règlement, alors qu'un simple identifiant suffit souvent à relier l'information à un enfant. En France, la CNIL fait office d'autorité de contrôle. Elle conseille, contrôle et sanctionne, et elle a publié en mai 2026 son bilan annuel consacré à l'année 2025. Pour approfondir : Qu’est-ce que l’Identité numérique et à quoi sert-elle ?.

Qui doit appliquer le RGPD, y compris à l'école ?

Non, le RGPD ne vise pas que les géants du numérique. Il s'applique à toute structure, publique ou privée, quelle que soit sa taille, dès qu'elle traite des données personnelles : paie, recrutement, fichier de clients ou de fournisseurs. À l'école, les situations ne manquent pas. Un établissement qui déploie un ENT, une association de parents qui tient un fichier de contacts, un enseignant qui teste une application de classe, un capteur connecté en salle de sciences : chacun réalise un traitement. Il faut alors distinguer le responsable de traitement, qui décide des finalités et des moyens (l'établissement, l'association), du sous-traitant, qui agit pour son compte (l'éditeur de l'outil, l'hébergeur). Le DPO, ou délégué à la protection des données, conseille et veille à la conformité. Deux vigilances s'imposent. Les mineurs appellent une attention renforcée, car ils comprennent mal ce qu'ils acceptent. Et les transferts hors UE ne sont simples que vers les pays couverts par une décision d'adéquation, ce qui se vérifie avant d'adopter une solution américaine comme Microsoft Teams. Pour approfondir : L'affiche contre le harcèlement à l'école : ce qu'elle doit montrer.

Les principes et les droits à connaître pour comprendre le règlement

Un traitement n'est licite que s'il repose sur une base légale. L'article 6 en fixe les conditions : consentement, contrat, obligation légale, mission d'intérêt public, intérêt légitime, entre autres. Nuance utile : le consentement n'est pas la seule porte d'entrée. Un établissement public qui gère les inscriptions s'appuie plutôt sur sa mission d'intérêt public, tandis qu'une application facultative aux fins commerciales relèvera du consentement. Les personnes doivent être informées au moment de la collecte directe, ou dans un délai raisonnable ne dépassant pas 1 mois en cas de collecte indirecte. Elles disposent de droits : accès, rectification, effacement, opposition. Quatre principes guident l'ensemble : une finalité précise, la minimisation (ne collecter que le nécessaire), une durée de conservation limitée et la sécurité. Le cadre évolue par la doctrine : en avril 2026, la CNIL a ainsi publié ses recommandations sur les pixels de suivi dans les courriers électroniques, ce qui concerne aussi les newsletters d'établissement.

Sanctions et risques : ce qu'encourt une organisation qui ignore le RGPD

Ces montants concernent ce défaut précis. La CNIL peut en outre contrôler une organisation et la sanctionner, sans que l'on puisse résumer ses pouvoirs à un barème unique. Le risque est aussi concret côté sécurité : la presse spécialisée signale en 2026 la France parmi les pays les plus touchés par les fuites de données, à prendre avec prudence, mais qui rappelle qu'un ENT ou un fichier d'élèves mal protégé attire les convoitises.

À retenir : la conformité commence par de petits gestes, pas par un grand chantier. Cinq étapes d'amorçage :

1. Recenser les traitements (ENT, applications, objets connectés, fichiers de contacts).
2. Informer les familles et les personnes concernées, en termes clairs.
3. Limiter les accès aux seules personnes qui en ont besoin.
4. Sécuriser : mots de passe robustes, mises à jour, sauvegardes.
5. Désigner un référent, ou un DPO, pour suivre le sujet.

Le RGPD n'est pas réservé aux grandes entreprises : dès qu'un outil numérique manipule des données d'élèves, il s'applique. Commencez par lister les outils utilisés dans votre classe ou votre établissement, vérifiez quelles données ils collectent, puis interrogez la personne chargée de la protection des données. Ce premier inventaire suffit souvent à repérer les points de vigilance. Pour approfondir : Qu'est-ce que l'Identité numérique d'une personne ?.

Ce que vous nous demandez

Que signifie l'acronyme RGPD ?

RGPD signifie Règlement Général sur la Protection des Données. C'est un texte voté par l'Union européenne, adopté sous la forme d'un règlement en 2016. Il fixe les règles de collecte et d'utilisation des données personnelles, et s'applique de la même façon dans tous les États membres.

Qui est concerné par le RGPD ?

Toute structure publique ou privée qui traite des données personnelles, quelle que soit sa taille. Entreprises, associations, collectivités et établissements scolaires sont concernés, dès qu'ils gèrent par exemple une paie, un recrutement, un fichier de contacts ou un espace numérique de travail.

Depuis quand le RGPD s'applique-t-il ?

Le RGPD s'applique directement dans tous les États membres de l'Union européenne depuis le 25 mai 2018. Il avait été adopté en 2016 et a remplacé l'ancienne directive européenne sur la protection des données, ce qui a unifié les règles de protection des données en Europe.

Qu'est-ce qu'une donnée personnelle selon le RGPD ?

C'est toute information se rapportant à une personne identifiée ou identifiable, directement ou par recoupement. À l'école : le nom d'un élève, son identifiant ENT, son adresse IP ou une donnée produite par un objet connecté associé à un compte.