D'après la loi Informatique et libertés, la définition d'une donnée personnelle est la suivante : "constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres..."
Cela comprend les adresses emails, notes de l'élèves, appréciations portées sur les bulletins scolaires...
Il faut donc noter 4 obligations :
- des formalités préalables à accomplir
- le respect des droits des personnes concernées
- la sécurité des traitements des données
- le respect des contraintes concernant les flux de données
Dans le cadre du RGPD, les responsables du traitement des données à caractère personnel sont, pour les écoles publiques, non pas les directeurs d'école parce qu'ils n'ont pas la capacité juridique de représenter l'école, mais les DASEN, agissant sur délégation des Recteurs d'Académie, et pour les lycées et collèges, les chefs d'établissement. Les responsables des traitements mis en oeuvre dans les écoles, collèges et lycées doivent désigner un délégué à la protection des données.
À titre d'exemple, la mise en ligne de photos, de vidéos, d'enregistrements audio d'une sortie, d'un voyage scolaire sur le site internet ou intranet de l'établissement scolaire constitue un traitement de données à caractère personnel soumis aux dispositions de la loi Informatique et libertés et du RGPD et nécessite d'obtenir l'autorisation préalable des représentants légaux de l'élève mineur ou de l'élève majeur, en application de l'article 9 du Code Civil, au titre du droit au respect de sa vie privée. Cette autorisation doit être écrite, spéciale et précise.
Il sera donné la préférence à un site intranet ou disposant d'un accès restreint plutôt qu'un site internet dans un souci de protection des élèves.