Données numériques scolaires : une remise en ordre s'impose, mais c'est la quadrature du cercle (inspections générales)
Paru dans Scolaire le dimanche 26 août 2018.
"C’est à l’État que revient la responsabilité d’assurer la sécurisation des données numériques à caractère personnel ; le ministère de l’éducation nationale doit prendre la pleine mesure de cette responsabilité", estiment les deux inspections générales dans un rapport publié cet été. Elles donnent notamment un exemple significatif du caractère potentiellement sensible de ces données : À Toulouse, les élèves renseignent leurs exigences alimentaires sur un logiciel privé afin "d’organiser au mieux la demi-pension". Il est dès lors possible "d’éditer la liste des élèves et leurs exigences alimentaires et d’en déterminer des appartenances religieuses". De même "le signalement d’absences coïncidant de façon répétée avec des fêtes religieuses" pourrait, via la collecte de ces informations, donner accès à la religion de la famille.
Le RGPD (le règlement général sur la protection des données) constitue pour l'Education nationale, "une occasion de remise en ordre", "de fixer une stratégie de prévention des risques", "d'établir une chaîne de responsabilité claire". Mais les rapporteurs notent que les difficultés sont grandes. Certains souhaiteraient "que les données scolaires soient intégrées dans la liste des données sensibles", mais le RGPD, qui est un règlement européen, détermine le périmètre de ces données sensibles, et les Etats n’ont pas latitude d'en modifier la liste. "L’extension de ce périmètre au cas des données personnelles scolaires est donc impossible." Pour sa part, le ministère n'a pas les moyens de financer l'achat de matériels pour les enseignants et les élèves, leurs abonnements, leur maintenance. Les collectivités territoriales sont "peu enclines à dépenser pour satisfaire aux demandes du ministère" et préfèrent les applicatifs gratuits. Elles sont pourtant destinataires de flux de données scolaires" et "d’informations aussi variées que la scolarité des élèves, le niveau de revenu des responsables légaux, le niveau d’attribution des bourses, etc." Les collèges et lycées agissent "en autonomie" lorsqu'il s'agit "d’autoriser par exemple des pratiques pédagogiques à partir des moyens personnels de l’enseignant ou de l’élève". Or les enseignants font très largement usage "de services destinés au grand public qui n’offrent pas la garantie que les données scolaires transmises ne soient pas utilisées à d’autres fins que pédagogiques ou administratives", ils sont "peu ou pas formés aux règles et au droit qui s’appliquent dès lors que ces outils sont utilisés par les élèves", au point que "des élèves de l’école primaire utilisent des réseaux sociaux alors que l’âge légal d’inscription est fixé à treize ans".
Des établissements et des réformes dépendant d'entreprises privées
Quant aux entreprises privées, elles "mettent parfois en place, de façon opaque, une politique de monétisation des données". Par ailleurs, "la grande majorité des établissements scolaires français a choisi des logiciels de vie scolaire développés par des entreprises", une notamment qui se trouve en position "de quasi-monopole" (...). Il ne s’agit pas d’une externalisation ordinaire d’un service, mais d’une véritable délégation de service public qui ne dit pas son nom, sans aucune interaction avec l’administration centrale du ministère, chaque établissement contractualisant directement avec ces sociétés." Et que se passerait-il "en cas d’arrêt des activités des sociétés éditrices de logiciels de vie scolaire" ? Les établissements seraient dans l' "impossibilité d’assurer une rentrée scolaire normale faute de pouvoir disposer des emplois du temps" ! Ces sociétés sont-elles capables de faire évoluer leurs logiciels en fonction des réformes mises en place par le ministère et qui ont des conséquences sur la gestion d’emploi du temps ou des absences ?
Or les données numériques vont se multiplier. "Des équipes de recherche et des entreprises mènent actuellement des travaux pour analyser la masse d’informations laissées par les traces des élèves afin de (...) développer de nouvelles applications pédagogiques." Les rapporteurs appellent à la modération : "il convient d’être prudent et critique, aussi bien sur le catastrophisme que sur l’enthousiasme que peuvent susciter de tels travaux, mais ils soulignent que "l'innovation pédagogique doit s’assurer que les outils sur lesquels elle s’appuie sont conformes à l’esprit du RGPD".
Un niveau de protection "qui ne soit pas disproportionné"
En même temps qu'ils listent les difficultés, les rapporteurs soulignent que "reprendre la main signifierait y consacrer une enveloppe financière sans précédent et l’exemple des ENT, dont la mise en place reste inaboutie, montre la faible pertinence d’une telle approche". Il faut pourtant "disposer d’un niveau de protection adapté à l’institution scolaire, qui ne soit pas disproportionné".
Les rapporteurs appellent dans un premier temps à "s’éloigner du concept de donnée sensible" pour évoquer le "traitement sensible de la donnée, c’est-à-dire tout traitement susceptible de transformer une donnée scolaire en donnée sensible au sens de la loi actuelle". Ils estiment qu'il convient "de former rapidement les enseignants et les chefs d’établissement mais aussi les élèves "aux dimensions éthiques, sociales et économiques de l’utilisation des données numériques, en particulier celles à caractère personnel" [ce que prévoit, dans une certaine mesure, la loi "téléphone portable" (ici), ndlr]. Ils rappellent que, en l'état actuel du droit, les responsables de la protection des données sont les DASEN pour le premier degré, et les chefs d’établissement dans le second degré. Ils préconisent d' "interdire, soit par circulaire (...) soit en intégrant cette interdiction dans un code de conduite, les services numériques qui opèrent des traitements sur les données scolaires autres que ceux nécessaires à des utilisations pédagogiques ou administratives". Ils demandent aussi que soit confiée au ministère de l’économie "une expertise approfondie, au regard du droit national et européen, sur la passation des marchés entre les EPLE et les sociétés éditant les logiciels de vie scolaire les plus utilisés". Ils estiment que les données scolaires "sont au coeur" des évolutions du système scolaire, ce qui impose à l'institution de "faire preuve d’une grande vigilance" pour conserver "la maitrise de son fonctionnement administratif, de sa spécificité pédagogique" et éviter de subir "des évolutions imposées par des agents extérieurs".
Le rapport IGEN - IGAENR "Données numériques à caractère personnel au sein de l'éducation nationale" ici