Protection des données des enfants à l'école

1. Qui est responsable de quoi?

a. Responsabilité générale en matière scolaire

La scolarité obligatoire relève de la compétence des cantons. De nombreux cantons délèguent cette tâche et donc la responsabilité scolaire aux communes (loi scolaire souvent en lien avec la loi communale) (cf. par ex. canton d'Argovie: §52 Loi scolaire). De leur côté, les communes délèguent leur responsabilité pour l'école obligatoire aux directions d'école, par exemple via des contrats de travail ou des règlements; les obligations de la direction d'école sont souvent définies dans une ordonnance scolaire; certaines communes conservent (au moins) une partie de cette responsabilité (cf. par exemple canton AG: §71 Loi scolaire).

En résumé: la responsabilité générale de remplir le mandat scolaire légal incombe généralement à la direction de l'école. 

b. Responsabilité en matière de protection des données. 

Il s'agit ici de la protection des données personnelles des élèves (et non du corps enseignant) lorsqu'elles sont traitées de manière analogique, mais aussi et surtout numérique. Exemples de données personnelles traitées numériquement dans une école (liste non exhaustive):

• Les données des élèves sont traitées dans un logiciel de gestion (par ex. pour les listes de classe ou le contrôle des absences)
• Les données des élèves sont traitées dans une application d'apprentissage ou un moyen d’enseignement

Les lois sur la protection des données attribuent généralement la responsabilité de la protection des données à l'organe public qui traite ou fait traiter les données personnelles (cf. par ex. §29 IDAG du canton d’AG). 

La responsabilité incombe généralement à la direction de l'école. Le sujet peut toutefois être considéré de manière différenciée: logiciels de gestion, moyens d’enseignement numériques, applications d'apprentissage. 

i. Logiciel de gestion

Un logiciel de gestion peut être utilisé dans différentes situations (exemples non exhaustifs):

• Pour la scolarisation des enfants
• Lorsque les enfants passent d'un degré scolaire à un autre
• Au sein de l'école, pour la répartition des classes, les cours de soutien, le contrôle des absences, les notes

Dans ces situations, différents services peuvent être impliqués dans le traitement des données des élèves: la commune, l'école, les titulaires de l’autorité parentale et, le cas échéant, l'enfant.

En résumé: la responsabilité de la protection des données lors du traitement des données relatives aux enfants à l'aide d'un logiciel de gestion incombe soit à la commune, soit à la direction de l'école, selon qui est responsable du traitement des données. Cette responsabilité incombe également à l'école et/ou à la commune dans le cadre de la communication avec les titulaires de l'autorité parentale et les enfants. 

ii. Moyen d’enseignement

Nous aborderons ci-après les moyens d’enseignement obligatoires et facultatifs. Mais analysons d'abord plus en détail la notion de «responsable».

Au sens de la législation sur la protection des données (art. 5 let. j LPD Loi sur la protection des données; RS 235.1), le «responsable» est la personne privée ou l’organe fédéral qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données personnelles. Les moyens d’enseignement numériques constituent un moyen de traitement des données. La finalité de l'utilisation du moyen d’enseignement est également la finalité du traitement des données (par ex., pour rédiger une dissertation en allemand ou pour s'exercer au vocabulaire français) (cf. Rapport sur la gestion des moyens d’enseignement dans le canton d'Argovie, p. 14, ch. 2.3.5).

Dans le cas des moyens d'enseignement définis comme obligatoires ou facultatifs au niveau cantonal, c'est l'autorité cantonale qui décide de la nature et, dans une certaine mesure, de la finalité d'un moyen d'enseignement. La question de la responsabilité de cette autorité cantonale en matière de protection des données pourrait donc au moins être soulevée. Cependant, comme cette instance est trop éloignée du traitement effectif des données personnelles, elle ne peut être tenue responsable de l'utilisation conforme à la protection des données. Cela pose une difficulté pour l'école: celle-ci ne peut pas partir du principe que le moyen d’enseignement numérique a déjà été vérifié quant à sa conformité avec la protection des données (état des connaissances actuelles, cf. en général: Rapport sur la gestion des moyens d’enseignement dans le canton d'Argovie).

Il en résulte que malgré le décalage entre le pouvoir décisionnel et le traitement effectif des données avec des moyens d’enseignement numériques obligatoires et facultatifs, la direction de l'école reste responsable de l'utilisation conforme à la protection des données de ces moyens d’enseignement.

En résumé: la direction de l'école est également responsable de l'utilisation conforme à la protection des données d'autres moyens d’enseignement, tels que les moyens facultatifs ou ceux que l'école ou le corps enseignant choisissent et utilisent de manière indépendante.  

iii. Applications d’apprentissage

Les applications d'apprentissage désignent les applications numériques choisies par le corps enseignant et utilisées en classe ou à la maison. En règle générale, la direction de l'école a un devoir de surveillance vis-à-vis du corps enseignant et est donc également responsable de vérifier que toutes les applications utilisées sont conformes à la protection des données et ne présentent aucun risque technique ou organisationnel en matière de protection des données avant leur utilisation.

En résumé: même si la responsabilité principale incombe ici aussi à la direction de l'école, le corps enseignant a également une responsabilité dans le traitement de ces données. La direction de l'école peut veiller à ce que le corps enseignant utilise les applications conformément à la protection des données en mettant en place un guide ou un règlement. 

2. Quelles stratégies et quels instruments sont efficaces?

a. La protection des données, une médaille à deux faces

La protection des données peut être considérée comme une médaille à deux faces qui ne peut être efficace que dans sa globalité:

L'une des faces concerne l'infrastructure de l'école. Celle-ci doit offrir un minimum de sécurité informationnelle et des données. Cela signifie que l'école doit par exemple mettre en place des concepts d'accès, exiger des connexions protégées par mot de passe et appliquer des mesures similaires comme normes. Dans ce contexte, le système doit offrir une sécurité de base. Les moyens d’enseignement numériques et les applications d'apprentissage doivent être utilisés/mis en œuvre dans le cadre de cette infrastructure et dans le respect de ses règles.

L'autre face de la médaille de la protection des données nécessite un examen minutieux des risques en matière de protection des données (ce que nous appelons contrôle des applications). À la suite de ce contrôle, des mesures spécifiques aux moyens d’enseignement ou aux applications d'apprentissage visant à minimiser les risques sont identifiées, que l'école doit mettre en œuvre sous la forme de mesures techniques et organisationnelles (TOM). Certaines mesures s'appliquent en classe et doivent être respectées par le corps enseignant et/ou les enfants.

Vous trouverez de plus amples informations sur le contrôle des applications dans notre dossier «École conforme à la protection des données». Vous pouvez également télécharger un modèle et les instructions pour le contrôle des applications sur la page mentionnée.

En résumé: l'environnement de travail ainsi que les moyens d’enseignement et applications qui y sont utilisés doivent, dans leur ensemble, garantir une protection adéquate des données personnelles des élèves. Le terme «adéquate» fait référence à la différence entre les données personnelles et les données personnelles sensibles. Les données personnelles sensibles comprennent notamment les données sociales, religieuses ou médicales. Celles-ci doivent être protégées de manière renforcée contre toute intrusion par des personnes non autorisées. 

b. Autres instruments contribuant à un traitement complet des données personnelles conforme à la protection des données

D'autres instruments importants sont:

i. Registre des activités de traitement transparent

Il s'agit d'un inventaire qui répertorie, documente et actualise les informations suivantes (liste non exhaustive): données traitées, personne chargée du traitement (fonction), moyen d’enseignement ou application d'apprentissage utilisé. Le registre des activités de traitement n'est pas un instrument obligatoire, mais il peut aider à garder une vue d'ensemble des nombreuses opérations de traitement des données dans le quotidien scolaire, par exemple les délais de suppression, les consentements, les mesures de minimisation des risques décidées et mises en œuvre, et bien plus encore. La création d'un tel registre peut être fastidieuse, mais elle peut permettre de gagner du temps par la suite.

Vous trouverez de plus amples informations sur le registre des activités de traitement dans notre dossier «École conforme à la protection des données». Vous pouvez également télécharger un modèle et des instructions pour le registre des activités de traitement sur la page mentionnée. 

ii. Sensibilisation 

Le traitement des données s'apprend. C'est pourquoi toutes les personnes concernées (corps enseignant, titulaires de l’autorité parentale, enfants) doivent être sensibilisées et, le cas échéant, formées. La protection des données est une tâche collective. Le rôle de l'école est central à cet égard. Son objectif doit être d'harmoniser les compétences des parents, car c'est la seule façon de garantir l'égalité des chances.

iii. Exigences en matière de protection des données dans le cadre des acquisitions

Les dispositions relatives à la protection des données (diverses dispositions contraignantes au niveau cantonal et fédéral) doivent être prises en compte lors des acquisitions dans l'espace de formation numérisé, par ex.:

• Pour chaque acquisition (qu'elle soit de gré à gré, dans le cadre d'une procédure sur invitation, d'une procédure sélective ou d'une procédure ouverte), les exigences en matière de protection des données doivent être définies. Ces exigences doivent être exigées de manière standard auprès des fabricants ou des fournisseurs de services.
• Les responsables des acquisitions peuvent de plus en plus recourir aux possibilités offertes par la procédure d'acquisition pour faire respecter les exigences en matière de protection des données. Lors de l'acquisition d'applications dans le système éducatif, la connexion à une identité fédérée (par ex. Edulog) peut notamment être définie de plus en plus souvent comme une exigence (obligatoire); cela garantit une authentification unique et réduit l'exposition des données des enfants.
• Dans le cas où des transferts de données vers l'étranger sont possibles, un niveau de protection des données approprié doit être exigé.

(cf. Sandra Husi-Stämpfli, expertise succincte: ancrage des dispositions relatives à la protection des données dans le droit des marchés publics dans le cadre de la numérisation du quotidien scolaire [expertise interne à Educa] et Rika Koch, «Öffentliche Beschaffungen im Bildungssektor», Studie im Auftrag der Fachagentur Educa zur Verortung der (IKT-) Beschaffungen von Schulen nach dem revidierten öffentlichen Beschaffungsrecht, 21 février 2023, en particulier le point 4.4 «Exkurs: Datenschutz»; document uniquement en allemand))

3. Que peut-on ajouter d'un point de vue éthique?

Les intérêts, les droits de protection et l'autodétermination des enfants et des jeunes ne doivent pas être considérés uniquement comme une obligation légale. Le corps enseignant et les camarades de classe doivent également les mettre en pratique de manière active, dans le respect et la transparence, en matière de règles numériques. Les opinions et les besoins des enfants et des jeunes doivent être pris au sérieux. Les recommandations d'action concernant la responsabilité, les rôles et les questions juridiques liées à la protection des données des enfants à l'école ne découlent donc pas uniquement de dispositions juridiques, elles doivent également s'appuyer sur des lignes directrices éthiques et offrir des espaces de réflexion.

Il faut toujours trouver un équilibre entre la protection des enfants (par ex. contre les agressions, le harcèlement, l'utilisation abusive de données) et leur droit à la participation et à l'autonomie (par ex. la codécision, la participation à l'élaboration de règles relatives à l'utilisation des médias numériques). Dans le contexte scolaire, l'éthique implique un équilibre délicat entre l'importance du droit à la vie privée et les obligations de surveillance de l'école. Une recommandation éthique met l'accent sur la responsabilité commune de toutes les parties concernées. Il est recommandé de créer des espaces de réflexion et de participation dans lesquels les enfants sont impliqués dans l'élaboration et l'évaluation des règles scolaires relatives aux médias numériques.

Les principes éthiques doivent servir de boussole indiquant la direction à suivre lorsque le droit est flou, imprécis ou sujet à interprétation. Le bien-être de l'enfant doit être une priorité. Cela signifie que le bien-être de l'enfant doit toujours être pris en compte et considéré dans les décisions.

Droits des enfants dans la cour de récréation

L’autre partie du guide traite des droits des enfants dans la cour de récréation.