Sector guide

GDPR for Écoles: complete guide and free audit 2026

Les établissements scolaires (écoles, collèges, lycées, ESPE, écoles privées) traitent des données particulièrement sensibles : élèves mineurs (Art. 8 RGPD), parents, personnel enseignant et administratif, données de santé scolaire, données socio-économiques (bourses), résultats. Le ministère de l'Éducation Nationale a publié plusieurs notes (2020, 2023) et le RGPD est devenu un point de contrôle systématique des rectorats. Les obligations renforcées sur les mineurs : consentement parental pour < 15 ans, information adaptée à l'âge, restrictions strictes sur le profilage publicitaire (Art. 8.1), exigences renforcées de sécurité. Les ENT (Pronote, EcoleDirecte, Toutatice), outils de visio (Klassroom, Teams Éducation), plateformes pédagogiques (Pearltrees, Genially) sont des sous-traitants imposant conventions Art. 28. La CNIL contrôle particulièrement les écoles privées et leurs sites internet (photos élèves, formulaires).

5 GDPR obligations specific to Écoles

These points are systematically checked during a DPA audit in your sector.

1

Consentement parental pour traitement données < 15 ans

Art. 8 RGPD + LIL FR fixe l'âge à 15 ans en France. En deçà : consentement des deux titulaires de l'autorité parentale obligatoire. Formulaire spécifique à chaque traitement non essentiel (photo, outil numérique optionnel).

2

DPO obligatoire pour établissements publics

Art. 37 RGPD : autorité publique = DPO obligatoire. DPO académique ou mutualisé (souvent au rectorat). Établissements privés : DPO obligatoire si traitement à grande échelle ou données sensibles (santé scolaire).

3

Conventions de sous-traitance Pronote, ENT, Klassroom

Pronote (Index Education), EcoleDirecte, Toutatice, Klassroom, Teams Éducation : sous-traitants Art. 28. Convention spécifique avec engagements renforcés (mineurs), hébergement UE prioritaire, non-réutilisation commerciale.

4

Information adaptée aux élèves et parents

Note d'information école : finalités (scolarité, cantine, transport, santé scolaire), destinataires (rectorat, CAF, mutuelle), droits, DPO. Affichage classe + diffusion via ENT + remise rentrée.

5

Sécurité renforcée et formation enseignants

Authentification 2FA pour personnel sur ENT, chiffrement des ordinateurs portables, formation annuelle RGPD obligatoire (rectorat ou organisme). Procédure breach + notification rectorat + CNIL + parents si risque élevé.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2022
Mise en demeure publique
GUSSDONE (école)

Publication photos d'élèves mineurs sur site sans consentement parental documenté.

CNIL MED-2022-021
2023
30 000 €
Le.Robert (analogie outils éducation IA)

Traitement données mineurs par outil pédagogique sans base légale claire.

CNIL contrôle sectoriel
2023
Recommandations renforcées
Rectorat (audit 2023)

Contrôle de plusieurs collèges/lycées sur usage outils US (Google Workspace) et conformité ENT.

CNIL audit sectoriel 2023

How to check your GDPR compliance as Écoles

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Pronote est-il conforme RGPD ?
Oui, Index Education (Pronote) est conforme RGPD avec hébergement UE et DPA disponible pour les établissements. Convention Art. 28 obligatoire entre établissement et éditeur.
Puis-je publier des photos d'élèves sur le site de l'école ?
Uniquement avec consentement écrit des deux parents (< 15 ans) ou de l'élève (≥ 15 ans). Formulaire spécifique par usage (trombinoscope, événement, presse). Retrait facile possible.
Mon école utilise Google Workspace : est-ce conforme ?
Sensible. Google Workspace for Education a un DPA mais transferts US problématiques pour données mineurs. Privilégier alternatives EU (Apps.education.fr, EcoleDirecte) ou Microsoft 365 Education UE.
L'école doit-elle nommer un DPO obligatoirement ?
Oui pour le public (Art. 37 RGPD). Privé : recommandé voire obligatoire si > 500 élèves ou données sensibles. DPO académique ou externalisé mutualisé : 200-500 €/mois.
Combien de temps conserver les bulletins scolaires d'un élève ?
Pendant la scolarité + 50 ans (archive publique). Bulletins déposés via ENT : règles du chef d'établissement. Données vie scolaire (sanctions) : limitées à scolarité + 5 ans.
Mon ENT collecte-t-il trop de données ?
Vérifier finalités déclarées. Données strictement nécessaires à la scolarité acceptées (intérêt public). Modules optionnels (devoirs, cantine) : information renforcée, paramétrage opt-out parents.
Klassroom et applications messagerie école sont-elles RGPD ?
Klassroom (FR) est conforme RGPD avec hébergement UE. Pour WhatsApp groupes enseignants-parents : déconseillé (Meta US + données mineurs). Préférer outils dédiés validés rectorat.
Que faire en cas de fuite de données scolaires (cyber-attaque) ?
Notification CNIL + rectorat sous 72h, parents informés si risque élevé, dépôt plainte gendarmerie, restauration depuis sauvegardes chiffrées. ANSSI peut intervenir en appui.

Audit your site in 60 seconds

Free GDPR scan. No credit card.