Données personnelles et respect de la vie privée

Le « sharenting » ou surpartage parental désigne la publication de contenus concernant des enfants, par leurs propres parents, sur des plateformes en ligne. Cette pratique s’est massifiée ces dernières années et présente des risques cybermalveillants. La loi vise à encadrer le travail des enfants influenceurs de moins de 16 ans, sur les plateformes de vidéos type volgs ou Youtube.

Une loi qui définit les 3 principales caractéristiques des réseaux sociaux :

• la mobilisation des données personnelles afin de créer des « profils »
• la création d’un espace personnel paramétré de présentation et de représentation de l’utilisateur
• la mise à disposition d’outils d’interaction et de partage entre les contacts

 De nouvelles obligations pour les réseaux sociaux

La loi oblige les plateformes en ligne telles que Snapchat, TikTok, Instagram, à respecter certaines obligations :

• refuser l’inscription des mineurs de moins de 15 ans, sauf si un des parents a donné son accord
• permettre aux parents de demander la suspension du compte de leur enfant de moins de 15 ans
• informer, lors de l’inscription, des conditions d’utilisation de leurs données personnelles
• informer des risques liés aux usages numériques et des moyens de les prévenir
• activer, lors de l’inscription d’un mineur, un dispositif de contrôle du temps passé en ligne sur la plateforme

La « majorité numérique à 15 ans » (l’âge pour s’inscrire seul sur les réseaux sociaux)

Actuellement, la collecte de données personnelles sur des jeunes de moins de 13 ans n’est pas autorisée.
Au sens du RGPD, les réseaux sociaux sont donc interdits aux enfants de moins de 13 ans. Pour les 13-14 ans le consentement des parents, en plus de celui du mineur, est requis.
La loi instaure la majorité numérique à 15 ans : autrement dit, les mineurs devraient avoir au moins 15 ans pour pouvoir s’inscrire seuls (sans autorisation de leurs parents) sur les réseaux sociaux.

La loi impose également aux réseaux sociaux des contraintes afin de mieux prévenir et poursuivre le cyberharcèlement.

Tout ce qui est publié en ligne peut avoir des répercussions sur le futur d’un mineur ou sur sa réputation, c’est pourquoi chaque publication doit faire l’objet d’une attention accrue, a fortiori en raison des capacités évolutives de l’intelligence artificielle.

La loi adoptée à l’unanimité en 2024 est une réponse aux potentielles dérives. Elle vise plus largement à rappeler que les parents ne disposent pas d’un droit absolu sur l’image de leurs enfants et elle introduit la notion de vie privée de l’enfant dans la définition de l’autorité parentale du code civil. En d’autres mots, en matière de droit à l’image, « les enfants ne sont pas des sous-citoyens » ; leur avis doit être pris en compte.

« Filtre anti-arnaque, blocage rapide des sites pornographiques accessibles aux mineurs, peine de bannissement des réseaux sociaux pour les cyber-harceleurs… Voici quelques-unes des mesures de loi dite SREN pour mieux réguler l’espace numérique et protéger les internautes, notamment les plus jeunes. »
La loi confie, entre autres, à l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) le soin d’établir un référentiel fixant les exigences techniques minimales auxquelles devront se conformer les systèmes de vérification d’âge des sites pornographiques, sous peine de lourdes amendes

Aujourd’hui, aucune réglementation ne consacre de majorité numérique globale à 15 ans.
En principe, conformément à l’article 45 de la Loi Informatique et Libertés et sous réserve de l’appréciation souveraine des tribunaux, les titulaires de l’autorité parentale doivent donner leur accord conjointement avec celui de leur enfant si celui-ci a moins de 15 ans.
Les mineurs de plus de 15 ans, eux, sont juridiquement considérés comme capables de conclure des contrats ayant pour objet le traitement de leurs données dans le cadre de services en ligne, telle qu’une messagerie électronique, si et seulement si :

• ces services sont adaptés aux publics mineurs qu’ils accueillent ;
• ces traitements respectent strictement les règles de protection des données personnelles telles que fixées par le RGPD et la Loi Informatique et Libertés (minimisation des données collectées, pour une finalité bien déterminée, une durée limitée et de manière sécurisée…) ;
• le mineur est informé de façon claire et adaptée des conditions d’utilisation de ses données et de ses droits informatiques et libertés, afin qu’il puisse comprendre le sens et la portée de son engagement ;
• les parents disposent d’une voie de recours pour demander la suppression du compte de leur enfant s’ils l’estiment nécessaire afin de protéger son intérêt supérieur.

Les enseignants mobilisent parfois les réseaux sociaux pour des projets pédagogiques parce que ce sont des outils du quotidien des élèves et parce qu’ils proposent des espaces collaboratifs intuitifs et ergonomiques. Or, ces réseaux sociaux sont mis à disposition par d’opérateurs privés et conçus pour des usages privés.  L’utilisation des réseaux sociaux à des fins pédagogiques pose donc la question de la responsabilité de l’enseignant et des risques qu’il encourt en matière de données personnelles: pour créer un compte. Doit-il utiliser un pseudonyme ? Doit-il utiliser son adresse courriel ou celle de l’ENT ? Quelle est sa marge de manœuvre au regard de la modération des comptes « classes » ?

L’exploitation des réseaux sociaux dans une intention pédagogique, nécessite, comme tout autre service numérique en ligne, que les conditions générales d’utilisation du service fassent l’objet d’un contrôle par les services du ministère ou du rectorat d’académie. Ils doivent présenter des garanties suffisantes au niveau de la sécurité des données. Les opérateurs de ces réseaux sociaux devraient normalement accepter de faire un traitement des données des élèves seulement sur demande ou instruction du responsable de traitement (chef d’établissement ou IA-DASEN). En dehors d’un tel cadre, qui implique donc des CGU spécifiques négociées par les services du ministère, dites « CGU éducation », il faut considérer que les conditions de sécurité adéquates en matière de protection des données personnelles ne sont pas réunies.

Par conséquent, il est fortement recommandé aux enseignants de s’abstenir d’utiliser les réseaux sociaux avec des élèves de moins de 13 ans (l’accès étant interdit par le RGPD avant cet âge).

Il est de plus en plus fréquent d’enregistrer les voix d’élèves pour des raisons pédagogiques (cela diffère des activités de communication qui consistent à valoriser le travail des élèves), par exemple :

• Tout au long de l’année, à la demande de l’enseignant de langue, les élèves utilisent l’enregistreur de l’ENT pour enregistrer leur voix puis échanger ces enregistrements avec l’enseignant en question (l’échange se fait donc à l’attention exclusive de l’enseignant sur le serveur de l’établissement).
• Dans le cadre d’un projet EMI, les élèves du Club WebTV/Webradio, sous la houlette d’un binôme d’enseignants, enregistrent des JT ou des podcasts qui sont hébergés sur PodEduc et seront publiées sur le blog de l’établissement.
• Un professeur de français conseille à ses élèves de s’entrainer à l’oral pour préparer une épreuve, de s’enregistrer à l’aide de leur smartphone et de lui transmettre ces enregistrements via la messagerie ENT.

Dans tous les cas, la demande d’autorisation doit se faire avant les enregistrements et ce, même si aucune diffusion n’est prévue.

Un blog pédagogique est un site internet. Si les élèves ou leurs parents sont autorisés à intervenir sur le blog, leurs données de connexion devront faire l’objet d’une inscription sur le registre de l’EPLE qui le met en œuvre ou sur le registre des activités de traitement tenu par les DSDEN ou les rectorats d’académie.
Par ailleurs, l’ouverture d’un blog à des fins pédagogiques nécessite l’avis préalable du conseil d’administration qui pose les principes de choix des manuels scolaires, des logiciels et des outils pédagogiques.