CNIL : ce que les établissements d'enseignement supérieur doivent respecter pour leurs outils collaboratifs en ligne

La CNIL a publié le 24 août 2026 une ressource de référence à destination des établissements d'enseignement supérieur souhaitant recourir à des outils collaboratifs en ligne. Ce document rappelle les règles applicables en matière de protection des données personnelles et formule des bonnes pratiques concrètes pour se conformer au RGPD.

Des outils numériques au cœur des établissements, mais porteurs de risques juridiques

L'accélération de la transformation numérique dans l'enseignement conduit à une utilisation croissante d'outils collaboratifs en ligne, qu'il s'agisse d'espaces numériques de travail (ENT) ou d'outils alternatifs. Ces solutions, qui reposent souvent sur l'informatique en nuage (cloud), facilitent la collaboration entre personnels administratifs, enseignants, étudiants et leurs responsables légaux.

Or, dans la très grande majorité des cas, ces services impliquent des traitements de données personnelles. La CNIL cite notamment :

• Le contenu des communications entre enseignants, chercheurs et étudiants ;
• Les documents personnels des étudiants stockés dans un coffre-fort numérique ;
• Les notes des étudiants ainsi que les appréciations des enseignants et chercheurs.

Les établissements, responsables de traitement à part entière

Les établissements d'enseignement supérieur qui déploient ces outils sont qualifiés de responsables de traitement au sens du RGPD. À ce titre, ils doivent s'assurer, avant toute mise en œuvre, de la conformité de chaque traitement à la réglementation en vigueur.

Cela implique notamment de déterminer la base légale applicable à chacun de ces traitements. Lorsque les traitements répondent aux missions de service public des établissements — qu'ils soient publics ou privés — la base légale de l'exécution d'une mission d'intérêt public peut être mobilisée. La CNIL indique toutefois que d'autres bases légales semblent difficilement pouvoir être retenues dans ce contexte.

Un rappel utile au-delà du seul secteur éducatif

Si cette publication vise en premier lieu les établissements d'enseignement supérieur, elle intéresse plus largement toute organisation qui déploie des outils collaboratifs impliquant le stockage de documents, la communication interne ou la gestion de données personnelles dans le cloud.

La référence explicite au stockage de documents dans un coffre-fort numérique est particulièrement notable : elle rappelle que les environnements de conservation de documents — y compris les contrats signés électroniquement — entrent pleinement dans le champ d'application du RGPD. Les responsables de traitement doivent donc identifier une base légale solide, informer les personnes concernées, et être en mesure de répondre aux demandes d'exercice des droits.

La CNIL souligne par ailleurs l'existence de mécanismes spécifiques tels que les règles d'entreprise contraignantes (BCR), pertinentes lorsque des transferts de données vers des pays tiers sont en jeu — une situation fréquente avec les solutions cloud d'éditeurs non européens.

Source : https://www.cnil.fr/fr/enseignement-superieur-bonnes-pratiques-outils-collaboratifs