Logiciel scolaire et RGPD : ce qui compte vraiment
Logiciel scolaire et RGPD – la question de fond est presque toujours la même : qui peut voir quelles données, où sont-elles hébergées et qui en porte la responsabilité ? Réponse brève : le responsable du traitement au sens du RGPD est l'établissement scolaire, ni l'enseignant à titre individuel, ni le fournisseur. Celui-ci traite les données pour le compte de l'école et reste lié à ses instructions. Tout le reste – contrat, rôles, durées de conservation, registres – découle de cette répartition. Cette page remet les notions en ordre et montre les points à clarifier avant un déploiement. Elle ne remplace pas un conseil juridique : le droit scolaire relève des États fédérés, et seules la déléguée ou le délégué à la protection des données de l'école et l'autorité de contrôle du Land répondent de manière contraignante.
Bientôt disponible
- Conforme au RGPD
- Hébergé en Allemagne
- Gratuit pour les enseignants
Un produit de SavePaper.work
Quatre points à clarifier avant tout déploiement
L'école est responsable
Le RGPD désigne un seul responsable du traitement : l'établissement scolaire. C'est lui qui détermine les finalités et les moyens – y compris lorsque les données se trouvent en fait sur l'appareil personnel d'un enseignant.
Un contrat au titre de l'article 28
Quiconque traite des données pour le compte de l'école a besoin d'un contrat. Il précise quelles données sont traitées à quelles fins, quels sous-traitants ultérieurs interviennent et ce que deviennent les données à la fin du contrat.
Un accès selon le rôle
Tout le personnel n'a pas besoin de chaque information. Un modèle de rôles limite la vue à ce qu'exige la mission – et permet ensuite d'établir qui a consulté quoi, et quand.
Les durées relèvent du Land
La durée de conservation des documents scolaires est réglée différemment selon l'État fédéré, et elle varie aussi selon la catégorie de données. Un logiciel devrait pouvoir refléter ces écarts au lieu de tout traiter pareillement.
Comment se déroule un examen de conformité à l'école
L'examen suit presque toujours le même ordre : clarifier d'abord qui est responsable, décrire ensuite ce qui est traité, lire le contrat, puis fixer enfin les rôles et les durées.
-
1
Clarifier la responsabilité
Qui décide des finalités et des moyens – l'école, la collectivité, ou les deux ensemble ? Cette question vient en premier, car elle détermine qui signe le contrat et qui répond aux familles.
-
2
Décrire le traitement
Quelles données, à quelle fin, visibles par qui, pendant combien de temps ? Ces mentions ont leur place dans le registre des activités de traitement, tenu par l'école elle-même. Un fournisseur peut en livrer les éléments.
-
3
Examiner contrat et mesures
Le contrat de sous-traitance et la description des mesures techniques et organisationnelles se lisent ensemble : lieu d'hébergement, sous-traitants ultérieurs, chiffrement, effacement en fin de contrat et voie par laquelle l'école donne ses instructions.
-
4
Fixer rôles et durées
La configuration vient en dernier : quel rôle voit quelle information, quelle durée de conservation vaut pour quelle catégorie ? Les deux dépendent du droit du Land et se règlent une fois pour toute l'école, non par enseignant.
Les mêmes données, deux façons de les tenir
Les notions qui reviennent dans chaque examen
Sous-traitance, responsabilité et instructions
Le contrat de sous-traitance prévu à l'article 28 du RGPD n'est pas un formulaire, mais la description d'une relation. L'école demeure responsable et détermine quelles données sont traitées à quelles fins ; le fournisseur les traite uniquement sur instruction et jamais à ses propres fins. Le contrat règle aussi la durée et l'objet, les catégories de personnes concernées, les mesures de protection, l'assistance en cas de demande d'accès, la notification des incidents, le recours à des sous-traitants ultérieurs et le sort des données à l'échéance. Cette même répartition explique pourquoi une liste de notes sur un ordinateur portable privé est un problème de l'école : elle en reste responsable, mais sur un appareil étranger elle ne peut ni limiter l'accès ni établir ce qu'il est advenu du fichier.
Notes, absences et article 9
Toutes les données scolaires ne sont pas également sensibles. Le motif d'une absence pour maladie est une donnée de santé et relève donc des catégories particulières de l'article 9 du RGPD, soumises à des exigences renforcées. En pratique, cela se désamorce : pour une justification, il suffit le plus souvent de savoir que l'absence était liée à la maladie – le motif reste facultatif. Les notes et appréciations, elles, ne relèvent pas de l'article 9, ce qui ne les rend pas anodines : elles décrivent des résultats sur des années et pèsent sur les passages et les diplômes. La conclusion est la même – lier la visibilité à la mission, user des champs libres avec parcimonie et chiffrer les contenus sensibles plutôt que les disséminer en fichiers et pièces jointes.
Conserver, effacer, informer
Chaque examen finit sur trois questions : combien de temps les données restent, comment elles disparaissent et ce qui se passe si une famille demande à les voir. Les durées de conservation des documents scolaires relèvent du droit du Land et varient selon la catégorie : présences au cahier de textes, données de bulletins, justificatifs d'absence et communication avec les familles ne se conservent pas aussi longtemps. Tableurs et messageries ne savent pas les distinguer : rien n'y est effacé. Les articles 15 et 20 exigent en outre que tout ce qui concerne une personne puisse être remis, lisible et exploitable par machine. SchuleVernetzt réunit cela dans une vue dédiée à la direction : journal des accès et modifications, durée par catégorie selon le Land, export par personne.
Ce qu'une école peut demander au fournisseur
Avant de décider, quatre documents peuvent être exigés : le contrat de sous-traitance, la description des mesures techniques et organisationnelles, la liste des sous-traitants ultérieurs avec leur localisation et une description des traitements que l'école pourra reprendre dans son propre registre des activités de traitement. Un fournisseur qui ne réunit ces pièces que sur demande retarde l'examen de plusieurs semaines. SchuleVernetzt les tient prêtes, afin que les collectivités et les délégués à la protection des données n'aient rien à reconstituer. L'application et les données scolaires sont hébergées en Allemagne.
Questions fréquentes sur le logiciel scolaire et la protection des données
Soyez au rendez-vous du lancement de SchuleVernetzt
Nous développons SchuleVernetzt à plein régime. Laissez-nous votre e-mail et nous vous préviendrons dès que votre école pourra se lancer – gratuitement et sans engagement.
Nous utilisons votre adresse uniquement pour vous prévenir au lancement, et vous pouvez vous désabonner à tout moment.