Dossier
Données personnelles et respect de la vie privée
🚩 La DRNE n’est pas spécialisée dans les questions juridiques.
Ce dossier est fourni à titre informatif seulement et n’est pas en soi, un texte juridique.
Comment concilier innovation pédagogique et principes éthiques ?
Les données personnelles des élèves, tout comme celles des enseignants, ne sont pas libres de droit ! Elles leur appartiennent exclusivement et inaliénablement.
Le numérique facilite et multiplie les occasions de copier et diffuser des voix et des images d’individus mais il faut garder en tête que toutes ces données sont des objets juridiques protégés à plusieurs titres. En effet, parallèlement au droit civil et pénal, le droit de la protection des données à caractère personnel a aussi pleinement vocation à s’appliquer via le RGPD.
Toute personne qui souhaite exploiter des données est tenue de se conformer aux règles contractuelles et celles régissant les traitements de données personnelles.
Le cadre juridique touchant à la vie privée convoque plusieurs branches et sous branches du droit (droit civil, droit pénal, droit administratif, Code de la propriété intellectuelle).
L’essentiel à retenir dans toute cette complexité est que, en France, une personne est protégée dans son individualité propre grâce à ce qu’on appelle « le droit à la personnalité » (article 12 de la Déclaration Universelle des Droits de l’Homme de 1948, article 8-1 de la Convention Européenne des Droits de l’Homme ,articles 9 et 16 du Code civil). Ce droit est en fait un ensemble de droits fondamentaux qui se distinguent en deux grandes catégories: les droits protégeant l’intégrité physique et ceux protégeant l’intégrité morale
Le droit au respect de la vie privée
Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. Le droit au respect de la vie privée implique notamment le respect de l’intimité, le secret médical, le droit au changement d’état civil, la protection contre les écoutes téléphoniques, la collecte d’informations à caractère privé par les services de sécurité d’un État et les publications portant atteinte à la vie privée.
Le droit à l’image
Le droit à l’image se distingue du droit de l’image régi par le Code de la propriété intellectuelle et qui suppose, pour tout usage d’une œuvre visuelle, l’autorisation de l’auteur de cette image.
Le droit à l’image est un droit autonome découlant des dispositions de l’article 9 du code civil. Il permet à toute personne physique de s’opposer à l’utilisation (traitement, duplication, diffusion…), commerciale ou non, de son image.
Il appartient donc aux enseignants, avant de diffuser une vidéo ou une photo représentant leurs élèves, d’obtenir le consentement des élèves majeurs et l’autorisation des représentants légaux pour les élèves mineurs). Cet accord doit être écrit et doit préciser l’usage qui sera fait de la vidéo ou de la photo.
Le floutage des visages et la vue de dos permettent de publier une photo de personnes dont on n’a pas obtenu l’autorisation. Il faut toutefois veiller à ce que le contexte de la photo ne permette pas de déduire leur identité.
Le droit à la voix
La voix fait l’objet d’un droit de la personnalité au même titre que l’image. Les élèves ont un droit exclusif sur leur image et leur voix.
Ceci implique que les enregistrements vocaux ne peuvent être faits sans un consentement préalable et ce, même si les productions ne sont pas diffusées.
Cet accord doit être écrit et doit préciser l’usage qui sera fait de la voix.
Captation de la voix et de l’image à l’École
Toute utilisation de la voix (podcast, radio/webradio, chorale…) ou de l’image (évènement, sortie culturelle, voyage scolaire, portes ouvertes…), suppose le consentement de l’élève (s’il est majeur) ou des représentants légaux (s’il est mineur). Par publication, on entend : publication pour un usage interne à la classe ou à l’école, diffusion restreinte aux parents via l’ENT, diffusion plus large sur un blog pédagogique ou le site Internet de l’établissement.
La demande d’autorisation doit se faire avant les enregistrements et ce, même si aucune diffusion n’est prévue. L’autorisation doit être écrite, apposée de la signature authentique des élèves et leurs représentants légaux (pour les mineurs). Elle droit décrire précisément l’usage qui sera fait de la voix et de l’image. Il est nécessaire de faire une demande par projet (c’est-à-dire, un projet avec la même classe, de même nature avec une même destination).
L’autorisation d’un seul parent suffit y compris en cas de parents séparés car c’est une situation considérée comme usuelle par la jurisprudence.
Les enseignants, eux aussi, peuvent être enregistrés ou filmés. Le cours d’un enseignant peut être capté pour des raisons de facilitation pédagogique par exemple, pour un élève qui aurait une mémoire auditive, pour un élève absent ou hospitalisé par exemple, par un élève à besoins particuliers qui aimerait réécouter la leçon etc. Ceci dit, ni les élèves ni leurs éventuels AESH, ne sont autorisés à photographier, enregistrer ou filmer un enseignant sans son consentement et encore moins à les diffuser. Cette interdiction est d’autant plus vraie s’il s’ensuit une publication sur les réseaux sociaux.
Le Règlement Général de Protection des données (RGPD, 2018)
Les données personnelles des élèves et des enseignants
De nombreux usages pédagogiques s’appuient aujourd’hui sur l’utilisation des données personnelles des élèves. Une donnée à caractère personnel est une information relevant de plusieurs domaines de la vie privée de l’élève et qui permet de l’identifier directement, indirectement ou par recoupement.
Données courantes :
- Données d’identification : nom, prénom, adresse postale, adresse e-mail, numéro de téléphone, état civil, photo, voix, etc ;
- Données de vie : passions, loisirs, habitudes de vie, régimes alimentaires, etc ;
- Données professionnelles : CV, diplômes…
- Données financières : situation financière ou fiscale de la famille, etc ;
- Données de connexion : pseudonyme, identifiant, mot de passe, adresse IP etc ;
Données perçues comme sensibles :
- Numéro de registre national
- Données de géolocalisation : déplacements, données GPS, etc ;
- Données scolaires ou professionnelles : évaluations, travaux pédagogiques, etc.
- données de navigation : traçabilité d’activités sur une application…
Données sensibles au sens RGPD :
- opinions philosophiques, politiques, religieuses, syndicales, origines raciales ou ethniques,
- données relatives à la santé, à l’état psychologique ou a l’orientation sexuelle
- données biométriques
Plus une information est sensible, plus il est indispensable de se questionner sur sa collecte et de prendre des précautions au niveau de sa sécurisation.
La collecte et le traitement des données à caractère personnel
La question de la protection des données personnelles est centrale à l’École en raison du suivi administratif et pédagogique de l’élève mais également de l’accès à des ressources et outils-services numériques pédagogiques.
Le RGPD n’a pas vocation à contraindre les innovations pédagogiques mais à rappeler de ne pas transiger sur les principes éthiques. Il renforce les droits des élèves, des enseignants et des chefs d’établissement et il responsabilise les acteurs traitant des données à caractère personnel en obligeant à ce que la collecte et le traitement aient un objectif utile, légitime et clairement énoncé.
On comprend ainsi qu’il n’est pas possible pour un établissement scolaire ni pour un fournisseur de services numériques de collecter les données de leurs élèves juste au cas où cela serait utile un jour.
Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papier sont également concernés.
Le droit à l’oubli numérique
Le droit à l’oubli numérique a deux versants : le droit au déréférencement et le droit à l’effacement, au sens strict,
C’est par abus de langage que ce droit à l’oubli numérique est parfois appelé droit à l’effacement.
Ce droit n’est pas systématique. Il s’étudie au cas par cas, en fonction de certains critères (notoriété de la personne concernée, conditions de mise en ligne, nature du contenu…) et à condition de ne pas aller à l’encontre des différentes branches du droit à l’information (intérêt public, liberté d’expression…). Il faut donc bien réfléchir car il est plus facile de ne pas mettre en ligne un contenu que de le faire retirer plus tard.
Les lois renforçant le protection des données personnelles des mineurs dans le cyberespace
La loi du 7 octobre 2016 pour une République numérique
Cette loi a devancé certains aspects du RGPD applicable au 25 mai 2018.
- Le droit à l’oubli numérique pour les mineurs : en particulier lors de situations de cyberharcèlement sur les réseaux sociaux, les mineurs peuvent demander, sans le consentement de leurs parents, l’effacement des données problématiques.
- Le droit à l’oubli numérique : après un décès, les héritiers disposent d’un droit d’accès et un droit de suppression aux données post-mortem du défunt.
La loi du 19 octobre 2020 encadrant l'exploitation commerciale de l'image d'enfants de moins de 16 ans sur les plateformes de vidéos en ligne
Le « sharenting » ou surpartage parental désigne la publication de contenus concernant des enfants, par leurs propres parents, sur des plateformes en ligne. Cette pratique s’est massifiée ces dernières années et présente des risques cybermalveillants. La loi vise à encadrer le travail des enfants influenceurs de moins de 16 ans, sur les plateformes de vidéos type volgs ou Youtube.
La Loi du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne
Une loi qui définit les 3 principales caractéristiques des réseaux sociaux :
- la mobilisation des données personnelles afin de créer des « profils »
- la création d’un espace personnel paramétré de présentation et de représentation de l’utilisateur
- la mise à disposition d’outils d’interaction et de partage entre les contacts
De nouvelles obligations pour les réseaux sociaux
La loi oblige les plateformes en ligne telles que Snapchat, TikTok, Instagram, à respecter certaines obligations :
- refuser l’inscription des mineurs de moins de 15 ans, sauf si un des parents a donné son accord
- permettre aux parents de demander la suspension du compte de leur enfant de moins de 15 ans
- informer, lors de l’inscription, des conditions d’utilisation de leurs données personnelles
- informer des risques liés aux usages numériques et des moyens de les prévenir
- activer, lors de l’inscription d’un mineur, un dispositif de contrôle du temps passé en ligne sur la plateforme
La « majorité numérique à 15 ans » (l’âge pour s’inscrire seul sur les réseaux sociaux)
Actuellement, la collecte de données personnelles sur des jeunes de moins de 13 ans n’est pas autorisée.
Au sens du RGPD, les réseaux sociaux sont donc interdits aux enfants de moins de 13 ans. Pour les 13-14 ans le consentement des parents, en plus de celui du mineur, est requis.
La loi instaure la majorité numérique à 15 ans : autrement dit, les mineurs devraient avoir au moins 15 ans pour pouvoir s’inscrire seul (sans autorisation de leurs parents) sur les réseaux sociaux.
La loi impose également aux réseaux sociaux des contraintes afin de mieux prévenir et poursuivre le cyberharcèlement.
La loi du 19 février 2024 visant à garantir le respect du droit à l'image des mineurs
Tout ce qui est publié en ligne peut avoir des répercussions sur le futur d’un mineur ou sur sa réputation, c’est pourquoi chaque publication doit faire l’objet d’une attention accrue, a fortiori en raison des capacités évolutives de l’intelligence artificielle.
La loi adoptée à l’unanimité en 2024 est une réponse aux potentielles dérives. Elle vise plus largement à rappeler que les parents ne disposent pas d’un droit absolu sur l’image de leurs enfants et elle introduit la notion de vie privée de l’enfant dans la définition de l’autorité parentale du code civil. En d’autres mots, en matière de droit à l’image, « les enfants ne sont pas des sous-citoyens » ; leur avis doit être pris en compte.
La loi du 21 mai 2024 (loi SREN) visant à sécuriser et à réguler l'espace numérique
« Filtre anti-arnaque, blocage rapide des sites pornographiques accessibles aux mineurs, peine de bannissement des réseaux sociaux pour les cyber-harceleurs… Voici quelques-unes des mesures de loi dite SREN pour mieux réguler l’espace numérique et protéger les internautes, notamment les plus jeunes. »
La loi confie, entre autres, à l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) le soin d’établir un référentiel fixant les exigences techniques minimales auxquelles devront se conformer les systèmes de vérification d’âge des sites pornographiques, sous peine de lourdes amendes
Quelques études de cas spécifiques au milieu scolaire
La vidéoprotection ou vidéosurveillance
Seule une nécessité de sécurité exceptionnelle en raison d’actes de malveillance répétés et d’une implantation dans un lieu particulièrement exposé à des risques d’agression, de vol ou de trafic de stupéfiants, justifie l’installation d’un système de vidéosurveillance dans un établissement scolaire.
Pour installer un dispositif de surveillance à partir de caméras enregistrant et transmettant des images prises aux entrées/sorties ou aux abords des collèges et lycées, les chefs d’établissement doivent obtenir une délibération du conseil d’administration ainsi qu’une demande préalable d’autorisation auprès du préfet du département. L’autorisation, s’il y a lieu, relève du droit au respect de la vie privée et est délivrée pour une durée de 5 ans renouvelable et la durée de leur conservation ne peut excéder un mois, sauf enquête pénale.
En ce qui concerne l’intérieur de l’enceinte scolaire, l’autorisation relève de la loi informatique et libertés, les EPLE n’étant pas considérés comme des lieux ouverts au public. Ni l’autorisation préfectorale ni la demande préalable auprès de la CNIL ne sont requises. Deux conditions doivent être remplies : les images ont vocation à être enregistrées et conservées et non pas seulement visionnées ; les agents responsables du traitement des images doivent être clairement identifiés. Les personnels, élèves, parents et toute autre personne concernée doivent être informés de la finalité du système et des conditions de traitement des images (durée de conservation, sécurisation des données…).
Dans tous les cas, les caméras ne doivent pas être intrusives et doivent être complémentaires à d’autres mesures de sécurité. Ainsi, des caméras de sécurité ne peuvent être installées qu’aux entrées et sorties des établissements scolaires et dans les espaces de circulation (foyer, cantine, CDI, cour de récréation, préau et salle de classe sont exclus).
La photographie scolaire
La photographie est régie par le BO n°24 du 12 juin 2003 qui précise que :
- l’autorisation des titulaires de l’autorité parentale est obligatoire (cette autorisation ne vaut pas engagement d’achat)
- la diffusion électronique de ces photos d’élèves est soumise à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Par ailleurs, le droit à l’image impose de demander une autorisation pour pouvoir afficher les photos d’un voyage ou d’une sortie dans un média scolaire ou encore dans le hall de l’établissement, a fortiori lors de journées portes ouvertes.
Le trombinoscope scolaire
La création d’un trombinoscope de classe suppose la création d’un fichier de données personnelles (la photo, le nom, le prénom, la classe permettent d’identifier l’élève). Il faut donc obtenir, des élèves majeurs ou des responsables légaux pour les élèves mineurs, une autorisation écrite pour les prises de vue et pour la diffusion. Ces photos individuelles doivent montrer l’élève en situation scolaire.
Ni les photos d’identité ni les portraits sur fond peint ne peuvent pas être proposées pour ne pas concurrencer les photographes professionnels locaux.
L’utilisation et la diffusion du trombinoscope doivent faire l’objet d’une déclaration préalable à la CNIL et la finalité du trombinoscope devra être précisée (l’établissement devra prouver la pertinence des données collectées par rapport aux objectifs du trombinoscope).
Dès lors que les élèves sont identifiables, il faut s’interdire la mise en ligne de toute photo (trombinoscope, photo de classe, photos prises dans le cadre d’activités d’enseignement) sur un site accessible au grand public. Il faut préférer les réseaux internes sécurisés, comme par exemple un ENT avec accès par authentification personnalisée ou un site web d’école hébergé sur un serveur du rectorat.
Quel que soit le support de diffusion envisagé (photos numériques, vidéos, tirages papiers), il ne doit pas y avoir d’archivage. Tous les supports doivent être détruits après leur utilisation.
Le livret scolaire unique numérisés (LSUN)
Les livrets personnels de compétences de l’école élémentaire et du collège ont évolué pour ne plus former plus qu’un livret scolaire commun : le Livret Scolaire Unique Numérisé (LSUN). C’est un outil numérique de suivi pour la scolarité obligatoire du CP à la troisième.
Ce livret, accessible en ligne, contient les notes des élèves, les bilans périodiques et de fin de cycle, les appréciations des professeurs et le suivi de l’acquis des compétences. Ces données constituent des données personnelles. Elles sont conservées pendant 4 ans (3 ans de durée d’un cycle scolaire à laquelle on ajoute une année.
Le LSUN est obligatoire (arrêté du 31 décembre 2015) en revanche le téléservice associé est facultatif ; une version papier est transmise aux parents qui ne souhaitent pas utiliser le téléservice.
La gestion des inscriptions et abonnements à des ‘ressources numériques éducatives’ (RNE)
- Les RNE non conventionnées
L’inscription d’élèves à des services numériques non conventionnés avec le Ministère n’est pas recommandée (manuels numériques hors ENT, Doodle, outils Google Docs…) en raison d’une différence de législation du droit américain, d’un éventuel changement unilatéral des conditions d’utilisation, de la cession de certaines données ou de la violation du droit d’auteur. S’il veut, malgré la contre-indication, inscrire ses élèves à des outils hors du cadre officiel, il doit obtenir l’accord -des parents et de la CNIL- pour chaque ressource utilisée. Un accord global n’est pas valable. S’il abonne un établissement ou des élèves hors du champ conventionnel et sans prévenir son institution, l’enseignant est susceptible d’une plainte devant un tribunal.
- Les RNE relevant d’une politique ministérielle
L’accord parental n’est en revanche pas nécessaire pour l’inscription à l’ENT car celui-ci relève d’une politique ministérielle et intègre les élèves à partir d’une base de données de l’Éducation nationale avec un droit d’opposition nul. Le développement de l’usage des ENT répond en grande partie à des soucis légaux. S’il reste encore incomplet, il présente l’avantage de mobiliser différents acteurs dans un cadre juridique sécurisé et simplifié (échange de fichiers avec les élèves dans un but pédagogique, service de messagerie sécurisé, accès à des ressources via le Médiacentre…).
Il convient de privilégier l’abonnement à des ressources institutionnelles ou soutenues par le MENJ (ex : le dispositif EduUp) ou encore des ressources fournies par des partenaires associés GAR/Médiacentre car elles répondent aux normes du RGPD.
La création d'une adresse e-mail pour un élève
Aujourd’hui, aucune réglementation ne consacre de majorité numérique globale à 15 ans.
En principe, conformément à l’article 45 de la Loi Informatique et Libertés et sous réserve de l’appréciation souveraine des tribunaux, les titulaires de l’autorité parentale doivent donner leur accord conjointement avec celui de leur enfant si celui-ci a moins de 15 ans.
Les mineurs de plus de 15 ans, eux, sont juridiquement considérés comme capables de conclure des contrats ayant pour objet le traitement de leurs données dans le cadre de services en ligne, telle qu’une messagerie électronique, si et seulement si :
- ces services sont adaptés aux publics mineurs qu’ils accueillent ;
- ces traitements respectent strictement les règles de protection des données personnelles telles que fixées par le RGPD et la Loi Informatique et Libertés (minimisation des données collectées, pour une finalité bien déterminée, une durée limitée et de manière sécurisée…) ;
- le mineur est informé de façon claire et adaptée des conditions d’utilisation de ses données et de ses droits informatiques et libertés, afin qu’il puisse comprendre le sens et la portée de son engagement ;
- les parents disposent d’une voie de recours pour demander la suppression du compte de leur enfant s’ils l’estiment nécessaire afin de protéger son intérêt supérieur.
Les réseaux sociaux comme outils pédagogiques
Les enseignants mobilisent parfois les réseaux sociaux pour des projets pédagogiques parce que ce sont des outils du quotidien des élèves et parce qu’ils proposent des espaces collaboratifs intuitifs et ergonomiques. Or, ces réseaux sociaux sont mis à disposition par d’opérateurs privés et conçus pour des usages privés. L’utilisation des réseaux sociaux à des fins pédagogiques pose donc la question de la responsabilité de l’enseignant et des risques qu’il encourt en matière de données personnelles: pour créer un compte. Doit-il utiliser un pseudonyme ? Doit-il utiliser son adresse courriel ou celle de l’ENT ? Quelle est sa marge de manœuvre au regard de la modération des comptes « classes » ?
L’exploitation des réseaux sociaux dans une intention pédagogique, nécessite, comme tout autre service numérique en ligne, que les conditions générales d’utilisation du service fassent l’objet d’un contrôle par les services du ministère ou du rectorat d’académie. Ils doivent présenter des garanties suffisantes au niveau de la sécurité des données. Les opérateurs de ces réseaux sociaux devraient normalement accepter de faire un traitement des données des élèves seulement sur demande ou instruction du responsable de traitement (chef d’établissement ou IA-DASEN). En dehors d’un tel cadre, qui implique donc des CGU spécifiques négociées par les services du ministère, dites « CGU éducation », il faut considérer que les conditions de sécurité adéquates en matière de protection des données personnelles ne sont pas réunies.
Par conséquent, il est fortement recommandé aux enseignants de s’abstenir d’utiliser les réseaux sociaux avec des élèves de moins de 13 ans (l’accès étant interdit par le RGPD avant cet âge).
Les enregistrements sonores des élèves comme activités d’apprentissage
Il est de plus en plus fréquent d’enregistrer les voix d’élèves pour des raisons pédagogiques (cela diffère des activités de communication qui consistent à valoriser le travail des élèves), par exemple :
- Tout au long de l’année, à la demande de l’enseignant de langue, les élèves utilisent l’enregistreur de l’ENT pour enregistrer leur voix puis échanger ces enregistrements avec l’enseignant en question (l’échange se fait donc à l’attention exclusive de l’enseignant sur le serveur de l’établissement).
- Dans le cadre d’un projet EMI, les élèves du Club WebTV/Webradio, sous la houlette d’un binôme d’enseignants, enregistrent des JT ou des podcasts qui sont hébergés sur PodEduc et seront publiées sur le blog de l’établissement.
- Un professeur de français conseille à ses élèves de s’entrainer à l’oral pour préparer une épreuve, de s’enregistrer à l’aide de leur smartphone et de lui transmettre ces enregistrements via la messagerie ENT.
Dans tous les cas, la demande d’autorisation doit se faire avant les enregistrements et ce, même si aucune diffusion n’est prévue.
Les blogs pédagogiques d'enseignants
Un blog pédagogique est un site internet. Si les élèves ou leurs parents sont autorisés à intervenir sur le blog, leurs données de connexion devront faire l’objet d’une inscription sur le registre de l’EPLE qui le met en œuvre ou sur le registre des activités de traitement tenu par les DSDEN ou les rectorats d’académie.
Par ailleurs, l’ouverture d’un blog à des fins pédagogiques nécessite l’avis préalable du conseil d’administration qui pose les principes de choix des manuels scolaires, des logiciels et des outils pédagogiques.
Pour aller plus loin sur la protection des données personnelles
Vos contacts à la DRNE
Eric Bernard : eric.bernard@region-academique-bourgogne-franche-comte.fr
Léa Blanquer : lea.blanquer@region-academique-bourgogne-franche-comte.fr
Vincent Mergel : vincent.mergel@region-academique-bourgogne-franche-comte.fr
Page mise à jour le 01/10/2024