CNIL : règles RGPD pour les outils collaboratifs en ligne dans l'enseignement supérieur

CNIL : ce que les établissements d'enseignement supérieur doivent respecter pour leurs outils collaboratifs en ligne

La CNIL a publié le 24 août 2026 une ressource de référence à destination des établissements d'enseignement supérieur souhaitant recourir à des outils collaboratifs en ligne. Ce document rappelle les règles applicables en matière de protection des données personnelles et formule des bonnes pratiques concrètes pour se conformer au RGPD.

Des outils numériques au cœur des établissements, mais porteurs de risques juridiques

L'accélération de la transformation numérique dans l'enseignement conduit à une utilisation croissante d'outils collaboratifs en ligne, qu'il s'agisse d'espaces numériques de travail (ENT) ou d'outils alternatifs. Ces solutions, qui reposent souvent sur l'informatique en nuage (cloud), facilitent la collaboration entre personnels administratifs, enseignants, étudiants et leurs responsables légaux.

Or, dans la très grande majorité des cas, ces services impliquent des traitements de données personnelles. La CNIL cite notamment :

• Le contenu des communications entre enseignants, chercheurs et étudiants ;
• Les documents personnels des étudiants stockés dans un coffre-fort numérique ;
• Les notes des étudiants ainsi que les appréciations des enseignants et chercheurs.

Les établissements, responsables de traitement à part entière

Les établissements d'enseignement supérieur qui déploient ces outils sont qualifiés de responsables de traitement au sens du RGPD. À ce titre, ils doivent s'assurer, avant toute mise en œuvre, de la conformité de chaque traitement à la réglementation en vigueur.

Cela implique notamment de déterminer la base légale applicable à chacun de ces traitements. Lorsque les traitements répondent aux missions de service public des établissements — qu'ils soient publics ou privés — la base légale de l'exécution d'une mission d'intérêt public peut être mobilisée. La CNIL indique toutefois que d'autres bases légales semblent difficilement pouvoir être retenues dans ce contexte.