La protection des données à l'école

Définition de la protection des données dans les établissements scolaires

Les données personnelles d'un établissement comprennent les noms et adresses, les notes et bulletins, les absences, les photos et les messages aux parents. Les informations de santé, par exemple issues de certificats médicaux, bénéficient d'une protection particulière.

Au sens strict, la protection des données détermine si et dans quel but un établissement peut traiter ces données. La sécurité des données couvre les mesures techniques et organisationnelles qui les protègent, comme le chiffrement et les droits d'accès.

Base juridique et principes

Les règles essentielles sont le Règlement général sur la protection des données (RGPD), les lois sur la protection des données des Länder allemands et leurs lois scolaires. Ensemble, elles déterminent quelles données un établissement peut traiter pour sa mission éducative.

Pour tout ce qui dépasse cette mission, l'établissement a généralement besoin d'un consentement. Le consentement est libre et son retrait doit être aussi simple que son octroi.

Principes du RGPD

Chaque traitement doit respecter ces principes :

• Licéité et transparence : l'établissement ne traite des données que sur une base juridique et informe les personnes concernées en termes clairs.
• Limitation des finalités : les données collectées pour une finalité ne peuvent pas être simplement réutilisées pour une autre.
• Minimisation des données : l'établissement ne collecte que ce que la tâche exige.
• Exactitude : les données doivent être correctes et les informations inexactes sont rectifiées.
• Limitation de la conservation : les données sont supprimées dès que l'établissement n'en a plus besoin pour sa finalité.
• Intégrité et confidentialité : l'établissement protège les données contre l'accès non autorisé, l'altération et la perte.
• Responsabilité : l'établissement doit pouvoir démontrer qu'il respecte ces principes.

Rôles et responsabilités

Le responsable du traitement au sens du RGPD est généralement l'établissement, représenté par son chef d'établissement. Les enseignants et le personnel administratif traitent les données pour le compte de l'établissement et sont tenus à la confidentialité.

Les établissements publics doivent avoir des délégués à la protection des données, qui les conseillent et vérifient le respect des règles. Une même personne peut être responsable de plusieurs établissements.

Si un prestataire traite des données pour le compte de l'établissement, par exemple en tant que fournisseur de logiciels scolaires, les deux parties concluent un contrat de sous-traitance. L'établissement reste responsable.

Droits des personnes concernées et violations de données

Les élèves, les parents et le personnel disposent notamment d'un droit d'accès à leurs données, de rectification et d'effacement. L'établissement doit répondre dans un délai d'un mois ; pour les demandes complexes, ce délai peut être prolongé.

L'établissement ne peut effacer que les données qui ne sont plus soumises à une obligation de conservation. Les Länder allemands fixent la durée pendant laquelle les établissements conservent des documents tels que les bulletins ou les dossiers d'élèves.

Si des données sont perdues ou parviennent à des personnes non autorisées, l'établissement notifie la violation à l'autorité de contrôle dans les meilleurs délais, sauf s'il est peu probable qu'elle engendre un risque pour les personnes concernées. Si le risque est élevé, l'établissement informe aussi directement les personnes touchées. Chaque violation doit être documentée, même lorsqu'aucune notification n'est requise. Ce panorama ne remplace pas un conseil juridique.

La protection des données au quotidien dans l'établissement

La protection des données chez OhayoSchool

OhayoSchool traite les données de votre établissement en tant que sous-traitant et le contrat de sous-traitance fait partie de chaque contrat d'utilisation. Toutes les données sont conservées sur des serveurs dédiés en Allemagne et chiffrées au repos comme en transit.

L'équipe OhayoSchool n'accède au compte de votre établissement que lorsque vous le validez pour une demande précise. L'accès est limité dans le temps et d'abord en lecture seule et chaque session apparaît dans un journal que votre établissement peut consulter. Sans validation, OhayoSchool n'accède au compte qu'en cas d'incident de sécurité et en informe immédiatement votre établissement.

Un profil d'apprentissage n'est créé qu'après le consentement des parents ou des tuteurs. OhayoSchool pseudonymise les profils d'apprentissage et les données d'entraînement. Les modèles de langage fonctionnent sur les propres serveurs d'OhayoSchool et aucune requête n'est envoyée à des fournisseurs d'IA externes.

OhayoSchool inclut les outils suivants pour aider votre établissement à remplir ses obligations :

• Décidez vous-même quel rôle voit et modifie quelles données et consultez dans le journal chaque modification des données de l'établissement.
• Répondez aux demandes d'accès et d'effacement dans OhayoSchool. OhayoSchool procède à l'effacement en anonymisant les données de la personne.
• Suivez le consentement pour chaque type de traitement, y compris chaque retrait.
• Adaptez les durées de conservation dans OhayoSchool aux règles de votre Land.
• Enregistrez chaque violation de données et voyez dans une vue d'ensemble où en est chaque cas.
• Associez les parents à leur enfant grâce à un code personnel que vous envoyez par courrier ou par e-mail. Votre secrétariat valide les demandes sans code et vous pouvez révoquer chaque lien.
• Chaque utilisateur peut télécharger les données de son propre compte.

Questions fréquentes