RGPD et logiciel scolaire : le guide pratique du directeur d'école
Un établissement scolaire traite des données sensibles de mineurs : identité, santé, situation familiale, résultats. Le RGPD (règlement UE 2016/679) impose des obligations précises au responsable de traitement — c'est-à-dire l'école elle-même, pas l'éditeur du logiciel.
Voici la checklist pratique appliquée au choix d'un logiciel de gestion scolaire.
1. Identifier la base légale de chaque traitement
| Traitement | Base légale recommandée |
|---|---|
| Inscription scolaire | Exécution d'un contrat |
| Suivi de scolarité, notes, absences | Mission d'intérêt public |
| Photo de classe sur le site web | Consentement explicite |
| Newsletter aux familles | Consentement explicite |
| Facturation et relances | Obligation légale (comptable) |
2. Tenir un registre des traitements
Obligatoire dès le 1er salarié. Le registre liste : finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité. Un bon logiciel scolaire vous fournit un modèle de registre prérempli.
3. Vérifier l'hébergement et les transferts hors UE
Privilégiez un hébergement en Union européenne pour éviter les complications du Cloud Act américain. Demandez à l'éditeur :
- Où sont physiquement stockées les données ?
- Y a-t-il des sous-traitants hors UE (analytics, support) ?
- Existe-t-il un DPA (Data Processing Agreement) signé ?
NoorSchool est hébergé en Europe et fournit un DPA standard signé par défaut.
4. Définir les durées de conservation
| Donnée | Durée recommandée |
|---|---|
| Dossier scolaire actif | Durée de la scolarité |
| Dossier scolaire archivé | 10 ans après le départ |
| Données de facturation | 10 ans (obligation comptable) |
| Logs de connexion | 6 mois à 1 an |
| Candidatures non retenues | 2 ans maximum |
Le logiciel doit permettre de purger automatiquement les données expirées.
5. Garantir les droits des familles
Le RGPD donne aux familles :
- droit d'accès,
- droit de rectification,
- droit à l'effacement (sous réserve des obligations légales),
- droit à la portabilité,
- droit d'opposition.
Vérifiez que votre logiciel propose un portail famille permettant de consulter et corriger les données directement.
6. Documenter les mesures de sécurité
Au minimum :
- chiffrement TLS 1.2+ en transit ;
- chiffrement au repos ;
- authentification forte (2FA) pour les administrateurs ;
- journalisation des accès ;
- sauvegardes quotidiennes testées ;
- procédure de notification de violation sous 72h.
7. Former le personnel
La principale faille reste humaine : mots de passe partagés, USB perdues, mails à la mauvaise classe. Prévoyez une session de sensibilisation annuelle.
Checklist finale avant signature
- L'éditeur fournit un DPA signé.
- Hébergement en UE confirmé par écrit.
- Liste exhaustive des sous-traitants disponible.
- Durées de conservation paramétrables.
- Export des données possible (portabilité).
- Suppression sur demande possible.
- Logs d'accès consultables par l'admin.
- Référent CNIL ou DPO joignable.
Pour aller plus loin
- Voir comment NoorSchool gère la sécurité et la conformité RGPD
- Lire le comparatif NoorSchool vs Pronote, École Directe et Charlemagne
- Demander une démo NoorSchool
Cet article est informatif et ne constitue pas un conseil juridique. Consultez votre DPO ou la CNIL pour les cas spécifiques à votre établissement.