Les données scolaires constituent, pour la réussite de notre système éducatif et de nos élèves, un atout dès lors qu’elles sont encadrées.

En effet, l’Éducation nationale produit un grand nombre de données liées à la vie scolaire, aux évaluations et aux résultats des élèves. Ces données personnelles sont collectées et stockées, et peuvent permettre d’innover (individualisation des apprentissages, recherche…) pour autant qu’elles soient protégées pour être valorisées. Leur utilisation présente à la fois risques et opportunités.

Le cadre proposé est-il aujourd’hui suffisant pour entraîner la confiance des acteurs du système éducatif ? Quelles innovations attendre du traitement des données en éducation ?

Quelques éléments à repréciser dès le départ : RGPD est l’initiale de Règlement Général pour la Protection des Données et désigne la dernière directive européenne concernant les données personnelles, publiée en 2016 et devant entrer en application dans les états membres le 25 mai 2018.

Elle s’applique tant aux administrations qu’aux entreprises qui ont des cibles européennes même si ce ne sont pas des entreprises européennes ( GAFA par exemple). Les données ne peuvent pas être utilisées à des fins commerciales ou de propagande et une attention toute particulière doit être apportée aux lieux et conditions d’hébergement. De plus, une attention toute particulier doit être portée aux données sensibles (santé, génétique,…) qui méritent une protection renforcée ne serait-ce que par obligation de sécurité.

Pour le ministère de l’éducation, les maitres mots sont responsabilisation et transparence.

Il semble que dans la situation antérieure il n’y avait que très peu de sensibilisation à ce problème alors que celle-ci est devenue très forte aujourd’hui. Pour les responsables, un effort de simplification a été fait et il n’y a plus de déclaration préalable.

Les responsables de traitement sont :

- le ministre de l’éducation nationale pour Parcoursup, les mutations des enseignants et pas moins de 420 autres applications utilisées par le ministère ;

- les recteurs pour les écoles primaires car les directeurs d’écoles ne sont pas responsables de traitement même s’ils doivent être fortement sensibilisés et les DASEN sont des relais ;

Il y a dans chaque rectorat une direction à la protection des données (DPD) sans relation hiérarchique avec le niveau national. Ces organismes sont investis d’une mission d’information et de sensibilisation qui peut déboucher ensuite sur de l’accompagnement des établissements. L’échelle est très importante puisqu’elle touche douze millions d’élèves.

Le système éducatif ne part pas de zéro en la matière puisqu’il existait auparavant un dispositif de déclaration préalable, mais toutes les applications n’étaient pas déclarées et il a fallu, dans un premier temps, travailler tout spécifiquement sur ces applications-là. La responsabilisation des acteurs touche tout d’abord les personnels à la base des collectes et la DNE est là pour les accompagner.

Aujourd’hui cette question de la protection des données est abordée à l’aune des nouveaux services prenant en compte les développements de l’intelligence artificielle et des technologies connexes.

L’intelligence artificielle va permettre d’intégrer les données à de nouveaux outils aptes à aider les pédagogues. C’est évidemment une opportunité mais qui pose la question des types de traitement des données mis en place et des études d’impact (qu’est-il fait des données ?). Il existe des outils en lignes disponibles pour réaliser ces études.

L’enjeu est de taille. En effet : on sait actuellement utiliser les données pour piloter le système éducatif mais c’est plus compliqué de les impliquer dans des processus pédagogiques. De plus, il y a sur ce sujet une sensibilité légitime mais de plus en plus grande des familles et de l’ensemble des acteurs. Or s’il n’est pas répondu convenablement à ce souci de protection, les applications ne seront tout simplement pas mises en place, les usagers s’éloigneront de ces utilisations de données, voire les refuseront.

Il existe maintenant de nombreux outils pour aider les enseignants en particulier dans leur rôle de sensibilisateur des élèves.

La CNIL a mis sur son site tout un ensemble de ressources permettant d’assurer conformité et sécurité mais aussi développer une culture citoyenne du numérique. Ce sont « livre blanc sur le RGPD », « RGPD par où commencer », « RGPD en pratique »…Certains de ces documents d’aide sont élaborés en partenariat avec l’éducation nationale et diffusés sur Eduscol : « Le référentiel CNIL de formation des élèves à la protection des données personnelles ». Ce référentiel, initié par la CNIL, a été adopté au plan international par l'ensemble des autorités de protection des données en octobre 2016. Il a vocation à être utilisé dans le cadre des programmes scolaires quelle que soit la discipline enseignée. Eduscol a également édité un guide à l’intention des chefs d’établissement.

La CNIL va progressivement élaborer au cours de l’année 2019 des référentiels avec des préconisations précises pour établir la conformité des applications sans qu’il soit toutefois possible d’aller jusqu’à délivrer une certification RGPD. La durée de conservation des données sera indiquée dans ces référentiels et dépendra des applications.

Suivant les mêmes préoccupations, Monsieur le Ministre a annoncé l’élaboration d’un code de bonne conduite en concertation avec l’ensemble des acteurs y compris les entreprises de la Hightec voulant entrer dans les écoles et les collectivités territoriales qui ont, à l’évidence, une place importante dans ce processus. Ce code sera à valider par la CNIL en fin d’année 2019.

Autre annonce complémentaire de la précédente, celle de la création fin 2018, début 2019 d’un comité d’éthique avec des missions à définir.

Le but poursuivi conjointement par la CNIL et le ministère de l’éducation nationale est de mieux protéger, mieux responsabiliser, mieux utiliser pour mieux valoriser les données.