Guide sectoriel

RGPD pour établissements scolaires : guide complet et audit gratuit 2026

Les établissements scolaires (écoles, collèges, lycées, ESPE, écoles privées) traitent des données particulièrement sensibles : élèves mineurs (Art. 8 RGPD), parents, personnel enseignant et administratif, données de santé scolaire, données socio-économiques (bourses), résultats. Le ministère de l'Éducation Nationale a publié plusieurs notes (2020, 2023) et le RGPD est devenu un point de contrôle systématique des rectorats. Les obligations renforcées sur les mineurs : consentement parental pour < 15 ans, information adaptée à l'âge, restrictions strictes sur le profilage publicitaire (Art. 8.1), exigences renforcées de sécurité. Les ENT (Pronote, EcoleDirecte, Toutatice), outils de visio (Klassroom, Teams Éducation), plateformes pédagogiques (Pearltrees, Genially) sont des sous-traitants imposant conventions Art. 28. La CNIL contrôle particulièrement les écoles privées et leurs sites internet (photos élèves, formulaires).

5 obligations RGPD spécifiques aux établissements scolaires

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Consentement parental pour traitement données < 15 ans

Art. 8 RGPD + LIL FR fixe l'âge à 15 ans en France. En deçà : consentement des deux titulaires de l'autorité parentale obligatoire. Formulaire spécifique à chaque traitement non essentiel (photo, outil numérique optionnel).

2

DPO obligatoire pour établissements publics

Art. 37 RGPD : autorité publique = DPO obligatoire. DPO académique ou mutualisé (souvent au rectorat). Établissements privés : DPO obligatoire si traitement à grande échelle ou données sensibles (santé scolaire).

3

Conventions de sous-traitance Pronote, ENT, Klassroom

Pronote (Index Education), EcoleDirecte, Toutatice, Klassroom, Teams Éducation : sous-traitants Art. 28. Convention spécifique avec engagements renforcés (mineurs), hébergement UE prioritaire, non-réutilisation commerciale.

4

Information adaptée aux élèves et parents

Note d'information école : finalités (scolarité, cantine, transport, santé scolaire), destinataires (rectorat, CAF, mutuelle), droits, DPO. Affichage classe + diffusion via ENT + remise rentrée.

5

Sécurité renforcée et formation enseignants

Authentification 2FA pour personnel sur ENT, chiffrement des ordinateurs portables, formation annuelle RGPD obligatoire (rectorat ou organisme). Procédure breach + notification rectorat + CNIL + parents si risque élevé.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2022
Mise en demeure publique
GUSSDONE (école)

Publication photos d'élèves mineurs sur site sans consentement parental documenté.

CNIL MED-2022-021
2023
30 000 €
Le.Robert (analogie outils éducation IA)

Traitement données mineurs par outil pédagogique sans base légale claire.

CNIL contrôle sectoriel
2023
Recommandations renforcées
Rectorat (audit 2023)

Contrôle de plusieurs collèges/lycées sur usage outils US (Google Workspace) et conformité ENT.

CNIL audit sectoriel 2023

Comment vérifier votre conformité RGPD en tant que écoles

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Pronote est-il conforme RGPD ?
Oui, Index Education (Pronote) est conforme RGPD avec hébergement UE et DPA disponible pour les établissements. Convention Art. 28 obligatoire entre établissement et éditeur.
Puis-je publier des photos d'élèves sur le site de l'école ?
Uniquement avec consentement écrit des deux parents (< 15 ans) ou de l'élève (≥ 15 ans). Formulaire spécifique par usage (trombinoscope, événement, presse). Retrait facile possible.
Mon école utilise Google Workspace : est-ce conforme ?
Sensible. Google Workspace for Education a un DPA mais transferts US problématiques pour données mineurs. Privilégier alternatives EU (Apps.education.fr, EcoleDirecte) ou Microsoft 365 Education UE.
L'école doit-elle nommer un DPO obligatoirement ?
Oui pour le public (Art. 37 RGPD). Privé : recommandé voire obligatoire si > 500 élèves ou données sensibles. DPO académique ou externalisé mutualisé : 200-500 €/mois.
Combien de temps conserver les bulletins scolaires d'un élève ?
Pendant la scolarité + 50 ans (archive publique). Bulletins déposés via ENT : règles du chef d'établissement. Données vie scolaire (sanctions) : limitées à scolarité + 5 ans.
Mon ENT collecte-t-il trop de données ?
Vérifier finalités déclarées. Données strictement nécessaires à la scolarité acceptées (intérêt public). Modules optionnels (devoirs, cantine) : information renforcée, paramétrage opt-out parents.
Klassroom et applications messagerie école sont-elles RGPD ?
Klassroom (FR) est conforme RGPD avec hébergement UE. Pour WhatsApp groupes enseignants-parents : déconseillé (Meta US + données mineurs). Préférer outils dédiés validés rectorat.
Que faire en cas de fuite de données scolaires (cyber-attaque) ?
Notification CNIL + rectorat sous 72h, parents informés si risque élevé, dépôt plainte gendarmerie, restauration depuis sauvegardes chiffrées. ANSSI peut intervenir en appui.

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.