Application du RGPD en milieu scolaire : quelles sont les règles ?

Peu d’écoles ont pensé au fait que les photos des enfants puissent être considérées comme de la donnée biométrique et nécessitent donc d’être protégées :

Il est possible que certains parents, mieux informés que d’autres sur les règlementations en vigueur en matière de protection des données personnelles, souhaitent faire appliquer le "droit à l’oubli" de leurs enfants en demandant aux écoles de ne plus conserver leurs portraits et photos de classe, en particulier une fois que ces derniers ont quitté l’établissement.

Bien que cela ne soit pas une généralité en France à l’heure actuelle, certains établissements scolaires utilisent ces clichés pour des albums annuels ou sur les réseaux sociaux. L’objectif est de véhiculer une image positive et dynamique de l’école à travers des clichés d’élèves en classe, en sortie scolaire et s’épanouissant dans leur établissement. Une bonne perception en ligne est d’autant plus importante pour les écoles privées, qui dépendent de la loyauté des parents et de leur volonté de continuer de financer les études de leurs enfants.

Cependant, un parent qui invoque le "droit à l’oubli" pour des photos scolaires peut sembler impossible. Certaines écoles organisent des événements sportifs inter-écoles auxquels participent des centaines d’enfants. Dans ce cas, il est compliqué d’effacer chaque élève sur un cliché. Si un parent accepte que son enfant apparaisse sur les photos publiées sur le site de son école, d’autres peuvent refuser qu’elles soient conservées dans les systèmes informatiques de l’établissement, ce qui met ce dernier dans une position difficile. Soit il efface les visages des enfants dont les parents en ont fait la demande, soit il retire complètement la photo du site. En pratique, ce n’est pas très compliqué de le faire sur internet, mais cela peut se révéler chronophage et couteux, car le site peut être géré par un prestataire externe. A qui incombent alors ces coûts ? Par ailleurs, que se passe-t-il si les systèmes sur lesquels les photos sont enregistrées sont compromis et qu’elles sont toutes volées ? Qui faut-il avertir ? La CNIL ? Les parents ? Nous sommes là dans un cas typique de notification exigé par le RGPD qui pourrait conduire à de sérieuses conséquences pour l’école.

Il s’agit principalement d’un problème légal si ces photos sont considérées comme des données personnelles, une question toujours soumise à débat à l’heure actuelle. Si elles le sont, il faut repenser la manière dont les écoles les conservent et identifient les enfants qui y figurent. Jusqu’à ce que la CNIL prenne position sur le sujet, inutile de paniquer ou de cesser d’immortaliser les promotions d’élèves qui foulent leur sol. En revanche, les établissements doivent veiller à sauvegarder ces clichés dans un environnement sécurisé par des contrôles d’accès adéquats. La structure du dossier pourrait par exemple contenir l’année scolaire, le niveau de la classe et les noms des élèves afin d’identifier rapidement qui se trouve sur la photo au cas où un parent inquiet souhaiterait que les informations relatives à son enfant soient effacées. Quelles que soient les recommandations de la CNIL, les établissements scolaires, au même titre que n’importe quelle organisation, doivent prouver qu’ils ont fait tout leur possible pour protéger ces informations, sous peine de devoir payer une sévère amende s’ils manquent à ce devoir.