L’information doit être facilement disponible, avant la mise en œuvre du traitement de données, par exemple lors de la première connexion du personnel ou de l’élève à l’outil collaboratif en ligne. Elle pourrait également être adressée directement (par courriel notamment) à l’ensemble des personnes concernées, et, en complément, lors de chaque rentrée (par exemple, pour le premier degré, lors de la réunion de rentrée entre le corps éducatif et les responsables légaux).
En savoir plus : voir les lignes directrices du CEPD sur la transparence
L’AIPD est un outil important au regard du principe de responsabilisation des organismes responsables de traitements. Elle les aide à mettre en place des traitements de données conformes à la réglementation, et à démontrer cette conformité.
Une AIPD est obligatoire pour les traitements de données susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes physiques (article 35 du RGPD).
Le Comité européen de la protection des données (CEPD) a publié des lignes directrices, qui identifient les critères à prendre en compte pour évaluer si une AIPD est obligatoire ou non. Ces critères incluent par exemple :
Si le traitement de données mis en œuvre dans le cadre de l’utilisation de ces outils collaboratifs en ligne répond à au moins deux des critères visés par le CEPD, une AIPD doit être effectuée avant de mettre en place le traitement. Dans la majorité des cas, il est probable qu’une AIPD soit nécessaire. En cas de doute, la CNIL recommande de réaliser une AIPD en s’appuyant par exemple sur l’outil PIA.
Il appartient au responsable de traitement de réaliser l’AIPD avant la mise en œuvre du traitement. Le responsable de traitement peut demander conseil au délégué à la protection des données pour l’assister. Il peut également solliciter le fournisseur de l’outil collaboratif afin qu’il l’aide dans la réalisation de l’AIPD en sa qualité de sous-traitant (article 28.3.f du RGPD).
Le responsable du traitement est tenu de faire appel « uniquement à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées » (article 28.1 du RGPD).
Le responsable du traitement est chargé d’évaluer le caractère suffisant des garanties fournies par le sous-traitant et doit être en mesure de démontrer qu’il a pris en considération les éléments prévus par le RGPD.
Cela nécessite la communication par le sous-traitant au responsable de traitement de documents pertinents (tels que la politique de protection des données, les conditions générales d’utilisation, la politique de sécurité de l’information, la conformité à un code de conduite RGPD, l’obtention d’une certification RGPD ou d’une certification de sécurité de la famille ISO 27000, etc.).
Le CEPD a adopté un avis sur certaines obligations découlant du recours à des sous-traitants et sous-traitants ultérieurs en octobre 2024. Destiné aux autorités de protection des données, ce document peut également aider les concernant l’étendue des vérifications qui doivent être faites sur la chaîne de sous-traitance.
Un contrat doit être conclu entre le responsable de traitement et le sous-traitant. Ce contrat doit prévoir plusieurs mentions obligatoires, telles que l'objet, la durée et la finalité du traitement, ainsi que les obligations des parties, notamment en termes de sécurité des traitements (article 28. 3 du RGPD) et de fin de contrat (notamment s’agissant de la réversibilité et de la suppression des données au terme du contrat).
En savoir plus :
Le RGPD interdit que des données personnelles soient transférées vers des pays situés en dehors de l’Union européenne en l’absence d’un niveau de protection suffisant et approprié des données. Le chapitre V du RGPD prévoit plusieurs outils juridiques permettant l’encadrement des transferts. Le responsable de traitement doit s’assurer que ces transferts ou le recours à des fournisseurs soumis à des réglementations étrangères soient suffisamment sécurisés, à la fois d’un point de vue juridique et en termes de cybersécurité (mesures techniques supplémentaires).
En raison de la vulnérabilité des personnes concernées (personnes mineures) et du fait que ces outils peuvent conduire au traitement d’une quantité considérable de données, dont certaines sont sensibles (à titre d’exemple des données de santé), la CNIL recommande d’assurer une protection des données contre les risques de divulgation à des autorités publiques de pays tiers.
À titre d’exemple, le recours à un prestataire bénéficiant de la qualification SecNumCloud de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) permet de garantir la soumission exclusive du prestataire au droit européen.
Par ailleurs, conformément à la doctrine technique du numérique pour l’éducation, le décret n° 2025-1165 du 5 décembre 2025 impose aux collèges et lycées publics d’utiliser des outils et services numériques respectant certaines prescriptions techniques de sécurité, d’interopérabilité et de numérique responsable fixées par le ministre.
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。