École : partager un dossier avec un intervenant
Intervenant à l'école : définissez les informations utiles à sa mission, le canal de transmission et la fermeture de ses accès.
Une association intervient pendant trois séances dans une école. Pour préparer son atelier, elle demande la liste des élèves, les coordonnées des parents et les observations pédagogiques. Ces informations ne forment pas un ensemble indivisible : la mission doit déterminer ce qui peut être transmis et ce qui reste dans l’établissement.
Autoriser l’intervention ne suffit pas à autoriser tout accès
Éduscol rappelle que l’intervention extérieure suppose l’autorisation préalable du directeur d’école ou du chef d’établissement et précise les situations nécessitant une convention. La réserve concernant les informations recueillies pendant l’intervention fait partie des attentes envers l’intervenant. Source : Éduscol, recours aux intervenants extérieurs durant le temps scolaire.
Cette autorisation ne donne pas accès à tout le dossier de chaque élève. L’Art. 5(1)(c) du RGPD impose de limiter les données au nécessaire. Déterminez aussi qui est responsable du traitement et sur quelle base de l’Art. 6(1) l’opération repose. Source : RGPD, chapitre II.
Ne supposez pas que le directeur est toujours, personnellement, le responsable de tous les traitements. L’organisation dépend du traitement et du cadre de l’établissement ; le DPO compétent doit être associé aux cas nouveaux. Le guide RGPD de l’éducation situe ces responsabilités.
Rédiger une fiche de partage avant la première séance
La fiche tient sur une page : mission, groupe concerné, informations nécessaires, personne qui valide, destinataire identifié, mode de transmission et fin d’accès. Elle doit répondre à une question concrète : que ne pourrait pas réaliser l’intervenant sans chaque donnée demandée ?
| Besoin de la mission | Solution à examiner | Données à ne pas joindre par automatisme |
|---|---|---|
| Organiser les groupes | Effectifs, niveaux ou répartition utile | Dossier scolaire intégral |
| Appeler les participants | Prénom et élément de distinction si nécessaire | Adresse familiale et coordonnées de tous les parents |
| Adapter l’activité | Consigne pratique validée par l’équipe compétente | Diagnostic ou compte rendu complet |
| Remettre les travaux | Canal géré par l’établissement | Création d’un carnet de contacts privé |
| Rendre compte de l’atelier | Bilan collectif ou éléments nécessaires | Évaluations nominatives sans objectif défini |
Exemple hypothétique. Pour un atelier artistique, l’intervenante souhaite envoyer les réalisations aux familles. L’école peut centraliser leur remise. Ce choix évite de constituer un fichier familial chez l’association tout en assurant la même fonction.
Qualifier le rôle de l’organisme extérieur
Un intervenant qui traite les données exclusivement pour le compte de l’organisme responsable, selon ses instructions, peut relever de la sous-traitance. L’Art. 28(3) impose alors un contrat précisant notamment objet, durée, instructions et sort des données. Un partenaire qui décide de ses propres finalités peut relever d’une autre qualification. Source : RGPD, chapitre IV.
La convention pédagogique et le contrat RGPD peuvent être articulés, mais leur objet doit être clair. Une simple clause « respecter le RGPD » ne décrit ni les données remises ni les usages permis. Le contrat de sous-traitance fournit les points à vérifier lorsqu’il correspond au rôle réel.
Interdisez dans les instructions les usages non autorisés : conservation pour un futur atelier, contact direct des familles pour une autre activité, réutilisation de productions identifiables. Toute nouvelle finalité appelle une analyse distincte.
Distinguer une consigne utile d’une donnée médicale
Une information sur les aménagements nécessaires peut parfois révéler la santé. La reformuler ne suffit pas toujours à lui retirer cette nature. Si des données relevant de l’Art. 9(1) doivent être traitées, vérifiez l’exception de l’Art. 9(2) et les règles sectorielles applicables avant transmission. Source : RGPD, chapitre II.
L’intervenant doit savoir vers qui se tourner en cas de difficulté. Cette consigne évite qu’il recueille lui-même un récit familial détaillé dans une application personnelle. Les situations de protection de l’enfance suivent les circuits et règles spécifiques ; la fiche de partage ordinaire ne les remplace pas.
Fermer la mission proprement
Préférez un compte nominatif limité au groupe et à la période utile. Pour un fichier, contrôlez le lien de partage, les possibilités de téléchargement et la restitution ou suppression prévue. En fin de mission, vérifiez les productions, les pièces remises et les accès encore actifs.
Une nouvelle intervention l’année suivante doit partir des besoins actualisés. Réouvrir un compte ancien sans vérifier les élèves visibles peut donner accès à des dossiers qui n’ont plus aucun rapport avec la mission.
Ce qu’il faut retenir
- Définissez les informations nécessaires à la mission avant toute remise.
- Qualifiez le rôle du partenaire et formalisez les usages permis.
- Limitez les accès au groupe concerné et clôturez-les à la fin de l’intervention.
FAQ
L’autorisation du directeur ouvre-t-elle le dossier scolaire ?
Non. Elle autorise l’intervention dans son cadre ; l’accès aux données demande une justification propre.
Une association intervenante est-elle toujours sous-traitante ?
Non. Le rôle dépend des finalités et moyens qu’elle détermine réellement pour les traitements concernés.
Peut-on transmettre uniquement une consigne d’adaptation ?
C’est souvent une piste de minimisation, mais elle peut encore révéler une donnée de santé. Vérifiez sa nécessité et le cadre applicable.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.