Écoles, académies, universités et centres de formation traitent des données de mineurs, de familles et de personnels dans un cadre légal particulièrement exigeant. Si vous utilisez des applications éducatives, des plateformes en ligne ou des caméras de surveillance, le non-respect du RGPD n'est pas une éventualité lointaine : les autorités de contrôle ont sanctionné des établissements scolaires de toutes tailles à travers l'Europe.
Le Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et la loi organique espagnole 3/2018 sur la protection des données personnelles et la garantie des droits numériques (LOPDGDD) imposent des obligations spécifiques lorsque des données de mineurs de 14 ans sont traitées. Dans le secteur éducatif, c'est pratiquement le quotidien : dossiers académiques, photographies lors d'événements scolaires, plateformes numériques d'apprentissage (LMS), applications de communication avec les familles et systèmes de vidéosurveillance dans les couloirs ou les cantines. L'instruction 1/2022 de l'AEPD sur les appareils mobiles dans les établissements scolaires ajoute une couche d'obligations supplémentaires que de nombreux établissements ignorent encore.
Le problème ne se limite pas à publier une politique de confidentialité sur le site web. L'AEPD a enquêté et sanctionné des établissements pour avoir communiqué des images d'élèves à des tiers sans base légale, pour avoir utilisé des plateformes de visioconférence américaines sans garanties adéquates de transfert international de données, ou pour avoir collecté des données biométriques (empreintes digitales pour la cantine) sans évaluation de leur proportionnalité. Le risque réputationnel est élevé : une plainte d'une famille peut entraîner une inspection paralysant des projets technologiques et nuisant à l'image de l'établissement auprès de la communauté éducative.
Summum Consultoria travaille depuis 2007 avec des entités de diverses natures et connaît la casuistique spécifique du secteur éducatif : la double légitimation (parents ou tuteurs pour les mineurs de 14 ans, et l'élève lui-même à partir de 14 ans), la relation contractuelle avec les fournisseurs de technologies éducatives, la gestion des données de bourses et des informations socioéconomiques, ou le traitement des données de santé pour les élèves à besoins particuliers. Notre équipe juridique adapte l'analyse à la réalité de chaque établissement, sans modèles génériques, et travaille étroitement avec l'équipe de direction pour que la conformité ne compromette pas la mission pédagogique.
Nous cartographions l'ensemble des traitements de données de l'établissement : dossiers académiques, plateformes numériques (LMS, applications de communication, visioconférence), caméras de sécurité, données de santé et de besoins particuliers, registres de bourses et informations financières des familles. Nous identifions les bases légales applicables et les lacunes au regard du RGPD, de la LOPDGDD et de l'instruction 1/2022 de l'AEPD.
Nous rédigeons le Registre des Activités de Traitement (RAT) adapté à la structure de l'établissement : nous distinguons les traitements fondés sur le contrat éducatif, ceux fondés sur l'intérêt légitime et ceux nécessitant le consentement exprès des parents. Nous réalisons l'Analyse d'Impact relative à la Protection des Données (AIPD) lorsque le traitement l'exige : vidéosurveillance, biométrie, profilage du rendement académique avec technologie prédictive.
Nous élaborons ou révisons : les clauses d'information pour l'inscription et les activités périscolaires, la politique de confidentialité du site web, les formulaires de consentement parental différenciés par tranche d'âge, les contrats de sous-traitance avec les fournisseurs technologiques (Google Workspace for Education, Microsoft 365, plateformes LMS) et les procédures internes de gestion des violations de données dans les délais légaux de notification (72 heures à l'autorité de contrôle).
Nous formons l'équipe de direction et le corps enseignant à leurs obligations pratiques quotidiennes : que faire lorsqu'une famille demande l'accès ou l'effacement de données, comment gérer l'utilisation d'images sur les réseaux sociaux de l'établissement, quelles exigences imposer aux nouvelles plateformes éducatives avant de les déployer. Les établissements dispensant un enseignement réglementé sont tenus de désigner un Délégué à la Protection des Données (DPD) en vertu de l'article 34 de la LOPDGDD ; Summum Consultoria peut assurer cette mission en tant que DPD externe.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Registre des Activités de Traitement
RAT complet et actualisé couvrant l'ensemble des traitements de l'établissement : inscription, dossiers académiques, santé, vidéosurveillance, plateformes numériques et communications avec les familles.
Analyse d'Impact (AIPD)
Analyse des risques pour les traitements à risque élevé : biométrie à la cantine, profils académiques automatisés, vidéosurveillance en zones sensibles ou utilisation de l'IA en classe.
Clauses et formulaires juridiques
Textes d'information pour l'inscription, consentements parentaux différenciés par âge (moins de 14 ans et plus), autorisations d'image et modèles pour les activités périscolaires.
Contrats avec les fournisseurs technologiques
Révision et signature des contrats de sous-traitance avec Google, Microsoft, plateformes LMS, applications de communication et tout fournisseur ayant accès aux données des élèves ou du personnel.
Protocole de violations de données
Procédure interne pour détecter, contenir et notifier les incidents dans les délais légaux. Modèles de communication à l'autorité de contrôle et aux personnes concernées selon la gravité de l'incident.
DPD externe ou conseil permanent
Délégué à la Protection des Données externe : obligatoire pour tous les établissements dispensant un enseignement réglementé en vertu de l'article 34 de la LOPDGDD, quelle que soit leur taille. Nous proposons également une formule de conseil permanent pour répondre aux questions de l'équipe de direction.
La conformité RGPD dans l'éducation ne vit pas de manière isolée : si l'établissement numérise ses processus avec des outils en ligne, Summum Sistemas accompagne la mise en œuvre technique sécurisée ; si l'IA est introduite en classe ou via des plateformes de tutorat intelligent, Summum IA évalue la conformité à l'AI Act avant tout déploiement.
Service de Délégué à la Protection des Données externe pour les établissements qui ont besoin d'une couverture juridique permanente sans recruter en interne.
Voir le service → consultoríaLorsqu'un établissement accompagne des élèves avec des besoins de santé documentés, le traitement des données de santé exige les mêmes garanties qu'en milieu clinique.
Voir le service → iaSi l'établissement déploie l'IA pour le tutorat personnalisé ou la détection du décrochage scolaire, l'AI Act classe ces usages comme à risque élevé : évaluation technique obligatoire avant tout déploiement.
Voir le service →L'article 7 de la LOPDGDD fixe cet âge à 14 ans. En dessous de cet âge, le consentement doit être donné par le titulaire de l'autorité parentale ou de la tutelle. À partir de 14 ans, le mineur peut consentir directement, bien qu'il soit recommandé, à titre de bonne pratique, d'informer également la famille. Cette règle s'applique aussi bien à l'utilisation des plateformes éducatives qu'à la publication d'images sur le site web ou les réseaux sociaux de l'établissement.
Elles ne sont pas interdites, mais leur utilisation requiert que le fournisseur offre des garanties adéquates pour le transfert international de données. Depuis l'entrée en vigueur du Cadre de protection des données UE-États-Unis en juillet 2023 (décision d'adéquation de la Commission européenne), les fournisseurs certifiés sous ce cadre peuvent être considérés comme conformes. L'établissement doit conclure un contrat de sous-traitance avec le fournisseur et examiner ses clauses de sous-traitement avant d'utiliser la plateforme avec des données d'élèves.
Oui, en règle générale. L'article 34 de la LOPDGDD espagnole impose expressément à tous les établissements d'enseignement dispensant un enseignement réglementé à n'importe quel niveau — ainsi qu'aux universités publiques et privées — de désigner un DPD. L'obligation s'applique indépendamment de la taille de l'établissement et peut être satisfaite par un DPD interne ou externe, dont la désignation doit être notifiée à l'AEPD. Pour les établissements publics, plusieurs communautés autonomes espagnoles ont désigné un DPD mutualisé couvrant leurs établissements dépendants. Summum Consultoria peut assurer le rôle de DPD externe ou accompagner le processus de désignation.
La vidéosurveillance dans les écoles est expressément réglementée : les caméras doivent se limiter aux zones d'accès général (entrées, couloirs, parkings) et ne jamais être orientées vers des zones où les élèves ont une attente raisonnable de vie privée (toilettes, vestiaires). Une signalétique normalisée est obligatoire, les enregistrements ne peuvent être conservés plus de 30 jours sauf en cas de motif pénal ou disciplinaire, et une analyse de proportionnalité est requise. Si les enregistrements sont traités avec reconnaissance faciale ou d'autres techniques d'analyse biométrique, ils deviennent des données de catégorie particulière nécessitant une AIPD.
Le RAT et les analyses d'impact doivent être révisés chaque fois que l'établissement intègre un nouveau fournisseur technologique, modifie la finalité d'un traitement existant ou subit une violation de données. Au minimum, une révision annuelle complète est recommandée, ainsi qu'une révision spécifique avant chaque rentrée scolaire — période à laquelle de nouvelles plateformes sont généralement introduites ou des prestataires de gestion scolaire changent.