À chaque rentrée scolaire, les mêmes scènes se répètent dans nos communes. La directrice de l'école élémentaire sollicite la mairie pour renouveler la flotte de tablettes de la classe de CM2, l'enseignante de grande section souhaite partager les photos des activités avec les familles, et l'académie propose de déployer un espace numérique de travail dans lequel les parents pourront suivre le cahier de liaison et échanger avec l'équipe pédagogique. Pour le Maire, la question semble d'abord budgétaire : c'est la commune qui finance les équipements, signe les bons de commande et paie les abonnements. Pourtant, derrière chaque tablette et chaque compte créé sur une plateforme se cachent des traitements de données concernant des enfants de trois à onze ans, c'est-à-dire le public que le Règlement Général sur la Protection des Données (RGPD) entend protéger avec le plus de rigueur. Le 24 août 2026, la CNIL a publié un rappel des règles applicables aux outils collaboratifs en ligne dans l'enseignement du premier et du second degré, qui remet ce sujet au premier plan. Mais qui est responsable lorsque l'outil est choisi par l'Éducation nationale et payé par la commune ? Le Maire peut-il s'en remettre entièrement à l'académie ? Et quelles obligations pèsent réellement sur la mairie lorsqu'elle signe une convention de déploiement ? Cet article propose une plongée rigoureuse dans le partage des responsabilités autour du numérique éducatif, afin que le soutien de la commune à ses écoles ne devienne pas une source d'insécurité juridique.
Le numérique à l'école : une compétence partagée entre la commune et l'État
Le Code de l'éducation organise une répartition des rôles bien connue des élus : l'État assure l'enseignement, recrute et rémunère les professeurs des écoles, tandis que la commune a la charge des écoles publiques implantées sur son territoire. Les articles L. 212-1 et suivants lui confient la propriété des locaux, leur construction, leur entretien, ainsi que l'équipement et le fonctionnement des écoles. La loi du 8 juillet 2013 d'orientation et de programmation pour la refondation de l'école a, en parallèle, créé un service public du numérique éducatif, aujourd'hui inscrit à l'article L. 131-2 du même code.
Cette articulation produit une situation singulière. Les contenus et les usages pédagogiques relèvent de l'Éducation nationale, mais les matériels, les connexions et souvent les licences sont acquis par la mairie. La commune n'est donc jamais un simple financeur neutre : en choisissant un prestataire, en administrant un réseau ou en créant des comptes, elle intervient dans la manière dont les données des élèves sont traitées. C'est cette intervention qui, au regard du RGPD, peut faire d'elle un acteur responsable.
Qui est responsable de traitement ? Une architecture qui varie selon les conventions
Le RGPD qualifie de responsable de traitement l'entité qui détermine les finalités et les moyens d'un traitement. Dans le premier degré, la réponse dépend du montage retenu localement, et c'est précisément ce qui doit inciter le Maire à la vigilance. Dans certains territoires, les mentions d'information de l'espace numérique de travail désignent le directeur académique des services de l'Éducation nationale (DASEN) comme responsable de traitement pour les écoles, les communes n'y figurant qu'en qualité de destinataires, par exemple pour la préinscription scolaire ou pour les activités qu'elles organisent.
D'autres académies ont fait le choix inverse. La convention type proposée par l'académie de Nancy-Metz pour le déploiement de l'ENT dans les écoles qualifie expressément la collectivité et l'académie de responsables conjoints du traitement au sens de l'article 26 du RGPD, et précise qu'elles sont solidairement responsables envers les personnes concernées. Cette qualification n'est pas anodine : elle signifie qu'une famille peut exercer ses droits auprès de l'une ou l'autre partie, et que la commune peut voir sa responsabilité engagée pour un manquement survenu dans un périmètre qu'elle pensait relever de l'État.
La première démarche du Maire consiste donc à lire attentivement la convention qu'on lui soumet. Elle doit identifier, sans ambiguïté, qui décide de quoi, qui informe les familles, qui répond aux demandes d'accès et qui notifie la CNIL en cas d'incident. Une convention silencieuse sur ces points expose la commune à une responsabilité qu'elle n'a ni choisie ni mesurée.
Les engagements concrets de la mairie dans une convention ENT
Lorsque la commune est associée à la responsabilité du traitement, la convention détaille généralement ses engagements. Dans l'exemple de Nancy-Metz, la collectivité choisit l'exploitant de l'ENT par bon de commande ou marché public, vérifie avec les services départementaux l'existence d'une fiche de traitement, assure la maîtrise d'ouvrage, l'infrastructure et l'assistance aux écoles, et s'engage à ne pas utiliser les données confiées à d'autres fins. Elle doit aussi inscrire le traitement à son propre registre et transmettre la documentation de conformité de l'éditeur.
D'autres obligations ont une portée très opérationnelle. La collectivité doit alerter l'académie de tout incident dans un délai maximal de 48 heures, veiller à ce que les mentions d'information validées figurent sur les écrans d'accueil et de connexion, traiter les demandes d'exercice des droits portant sur ses propres modules et transmettre à l'académie, dans un délai de huit jours, celles qui relèvent de sa compétence. Pour une secrétaire de mairie, cela suppose de savoir reconnaître une demande d'accès formulée par un parent d'élève et de connaître le circuit de transmission.
La base légale : pourquoi le consentement des parents n'est pas la bonne réponse
Par réflexe, de nombreuses écoles et mairies font signer aux familles un formulaire de consentement avant l'ouverture des comptes numériques. La CNIL invite à abandonner cette pratique pour les usages qui relèvent des missions de service public. Elle rappelle que le consentement doit être libre, et que la relation d'autorité qui caractérise le cadre scolaire permet difficilement de le considérer comme tel : un parent qui refuserait exposerait son enfant à être tenu à l'écart d'une activité de classe.
La base légale adaptée est, dans la plupart des cas, l'exécution d'une mission d'intérêt public, rattachée au service public du numérique éducatif. La CNIL recommande de documenter cette base légale pour chaque usage avant tout déploiement : messagerie, espace de stockage, cahier de liaison numérique. Le consentement conserve sa place pour des usages réellement facultatifs, comme la diffusion de photographies d'enfants sur le site internet de la commune, mais il ne doit plus servir de paravent juridique à l'ensemble du dispositif.
Traceurs publicitaires : la neutralité commerciale du service public
Le rappel de la CNIL comporte un point qui concerne directement le choix des outils par la commune : un outil utilisé dans le cadre scolaire ne doit pas recourir à des traceurs publicitaires ou de profilage. L'autorité fonde cette exigence sur le principe de neutralité du service public, y compris dans sa dimension commerciale. Si l'outil retenu en contient, l'établissement doit obtenir de l'éditeur leur désactivation ; à défaut, le traitement est irrégulier.
Ce point doit alerter tout particulièrement les communes qui équipent leurs écoles d'applications gratuites, téléchargées sur les tablettes à la demande d'un enseignant. La gratuité d'un service grand public est fréquemment financée par l'exploitation des données de ses utilisateurs. En installant une telle application sur un matériel municipal confié à des enfants, la commune peut, sans le savoir, contribuer à leur profilage commercial. La vérification des paramètres et des conditions d'utilisation doit donc précéder toute installation.
L'analyse d'impact : une formalité presque systématique dès qu'il s'agit d'enfants
L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé. Les lignes directrices européennes retiennent plusieurs critères, parmi lesquels le traitement de données de personnes vulnérables, le traitement à grande échelle ou celui de données sensibles. Pour la CNIL, dès lors que deux de ces critères sont réunis, l'analyse est obligatoire, et elle considère qu'elle sera probablement nécessaire dans la majorité des cas pour les outils collaboratifs scolaires.
Les élèves sont, par définition, des personnes vulnérables, et un ENT déployé sur l'ensemble des écoles d'un territoire traite des volumes importants de travaux, d'appréciations et d'échanges avec les familles. L'AIPD doit être réalisée avant la mise en œuvre, et la CNIL recommande de l'engager en cas de doute. Lorsque la commune est responsable conjointe, elle doit s'assurer que cette analyse existe, qu'elle couvre bien son périmètre et qu'elle en détient une copie.
Hébergement et sous-traitance : la souveraineté des données des élèves
L'éditeur de l'outil intervient en qualité de sous-traitant, au sens de l'article 28 du RGPD. Le contrat qui le lie au responsable de traitement doit en définir l'objet, la durée, la finalité, les mesures de sécurité et le sort des données en fin de contrat, qu'il s'agisse de leur restitution ou de leur suppression. Lorsque la commune passe elle-même le marché, c'est à elle qu'il revient d'intégrer ces clauses au dossier de consultation et de vérifier les garanties présentées par les candidats.
La question de la localisation des données mérite une attention particulière. Pour les transferts hors de l'Union européenne ou l'exposition à des législations étrangères, la CNIL recommande de limiter le risque d'accès par des autorités tierces et cite la qualification SecNumCloud délivrée par l'ANSSI comme garantie de soumission au seul droit européen. Le décret du 5 décembre 2025 relatif au cadre de référence du numérique pour l'éducation impose déjà aux collèges et lycées publics des prescriptions de sécurité et d'interopérabilité. S'il ne vise pas les écoles, il indique clairement le niveau d'exigence vers lequel tend l'ensemble du numérique éducatif.
Informer les enfants et leurs familles : un langage à leur hauteur
Les articles 12 à 14 du RGPD imposent une information concise, transparente, compréhensible et aisément accessible. La CNIL insiste sur le fait qu'elle doit être adaptée au public des mineurs et délivrée aux élèves, à leurs responsables légaux et aux personnels dès la première connexion, puis à chaque rentrée. Elle recommande le recours au langage clair et, pour les élèves en situation de handicap, à la méthode « facile à lire et à comprendre ».
Pour la commune, cette exigence rejoint une pratique qu'elle connaît déjà avec le portail famille ou le dossier d'inscription périscolaire. Elle doit cependant veiller à ne pas confondre les traitements : les données recueillies par la mairie pour la cantine ou la garderie relèvent de ses propres finalités, et ne doivent pas être mélangées à celles de l'espace numérique scolaire sans base juridique claire. Une information distincte, cohérente et rédigée simplement évite aux familles de se perdre entre l'école, la mairie et l'académie.
La valeur ajoutée d'Etatys : sécuriser le soutien de la commune à ses écoles
Pour une commune rurale, dont la secrétaire de mairie gère à la fois les inscriptions scolaires, le personnel de cantine et les relations avec l'école, analyser une convention ENT, vérifier les garanties d'un éditeur et contrôler l'existence d'une AIPD représente une charge considérable. L'observatoire juridique Leto souligne d'ailleurs que cette charge dépasse ce qu'un établissement isolé peut assumer seul ; elle dépasse a fortiori les moyens d'une petite mairie.
C'est là qu'intervient la méthode Etatys. Grâce à l'automatisation de la création de tous les dossiers clients lors d'une nouvelle mise en conformité, chaque commune dispose dès le départ des fiches de registre relatives aux écoles et au périscolaire, des modèles de mentions d'information adaptées aux familles et des clauses de sous-traitance à intégrer à ses marchés d'équipement numérique. Nous relisons pour vous les conventions proposées par l'académie et vous indiquons clairement les engagements que la commune s'apprête à prendre.
Le cadre du numérique éducatif évolue par ailleurs rapidement, au fil des recommandations de la CNIL, des textes réglementaires et des référentiels de l'Éducation nationale. Notre outil de veille juridique exclusif suit ces évolutions en continu et met à jour automatiquement la documentation de nos clients, afin que vos registres et vos modèles restent alignés sur l'état du droit à chaque rentrée.
Conclusion : protéger les plus jeunes administrés, une responsabilité qui ne se délègue pas
Le soutien de la commune au numérique éducatif est une chance pour les élèves et un engagement fort pour l'avenir du territoire. Mais en finançant les équipements, en choisissant les prestataires et en signant les conventions, la mairie devient partie prenante de traitements qui concernent ses plus jeunes administrés. Elle ne peut s'en remettre aveuglément à l'académie, pas plus qu'elle ne peut ignorer les paramètres des applications installées sur ses tablettes.
Le rappel publié par la CNIL en août 2026 trace une ligne claire : une base légale fondée sur la mission d'intérêt public, l'absence de traceurs publicitaires, une analyse d'impact menée en amont, des sous-traitants encadrés et une information adaptée aux enfants. Le Maire qui s'approprie ces exigences fait de chaque décision d'équipement un acte de protection, et non une simple dépense d'investissement.
Etatys est le cabinet de mise en conformité qui accompagne les communes et les intercommunalités dans tous les services qu'elles rendent à leurs habitants, de l'état civil à l'école. Notre solution de DPO externalisé, appuyée sur l'automatisation de vos dossiers de conformité et sur notre veille juridique permanente, vous permet d'équiper vos écoles en toute sérénité. Contactez Etatys dès aujourd'hui pour faire relire votre convention de numérique éducatif et sécuriser la protection des données des élèves de votre commune.
