À l'école les traceurs publicitaires sont interdits, et ce n'est pas une question de consentement

La neutralité commerciale n'est pas une recommandation

Sur ce point la CNIL n'emploie pas le conditionnel. Le responsable de traitement doit s'assurer que l'outil n'a pas recours à des traceurs publicitaires, « en principe interdits » au regard du principe de neutralité du service public de l'éducation, incluant la neutralité commerciale. Si l'outil utilise des dispositifs tels que des traceurs de suivi à des fins d'exploitation publicitaire ou de profilage, le responsable de traitement devra désactiver ces fonctionnalités.

Cette règle ne vient pas du RGPD et ne se règle pas par une case à cocher : elle vient du droit du service public. Un fournisseur qui répond « l'utilisateur peut refuser » n'a pas répondu à la question.

Pourquoi le consentement ne tient pas

Lorsque l'utilisation d'outils collaboratifs dans un cadre pédagogique entraîne des traitements de données personnelles, le responsable de traitement doit d'abord déterminer la base légale de chacun d'entre eux. Si les traitements répondent aux missions de service public des établissements scolaires, publics ou privés, et en particulier au service public du numérique éducatif de l'article L.131-2 du code de l'éducation, la base légale est l'exécution d'une mission d'intérêt public.

Le consentement, écrit la CNIL, semble difficilement pouvoir être retenu : pour être valable il doit être libre, c'est-à-dire ni contraint ni influencé par la position d'autorité du responsable de traitement. Un élève, son responsable légal ou un enseignant doivent pouvoir refuser sans subir de conséquences négatives, et le cadre scolaire ne remplit pas cette condition.

L'AIPD, presque toujours

Trois critères du CEPD sont ici en jeu : traitement relatif à des personnes vulnérables, traitement à grande échelle, traitement incluant des données sensibles. Les mineurs relèvent de la première catégorie, tout comme le personnel administratif et enseignant lorsqu'il se trouve dans une relation de subordination.

Dès lors qu'au moins deux critères sont réunis, l'AIPD doit être effectuée avant la mise en place du traitement. La CNIL ajoute que dans la majorité des cas il est probable qu'elle soit nécessaire, et qu'en cas de doute il vaut mieux la réaliser. Le responsable de traitement peut demander conseil à son délégué, et solliciter le fournisseur de l'outil, tenu d'aider en sa qualité de sous-traitant au titre de l'article 28.3.f.

L'information s'écrit pour celui qui doit la lire

L'information doit être concise, transparente, compréhensible et aisément accessible (articles 12, 13 et 14). Pour les mineurs, la CNIL demande de l'adapter à la tranche d'âge : langage clair selon les normes ISO 24495-1:2023 et ISO 24495-2:2025, ou méthode « facile à lire et à comprendre » pour les usagers en situation de handicap ou présentant des difficultés de lecture.

• Avant la mise en œuvre du traitement, par exemple lors de la première connexion à l'outil.
• Également par courriel à l'ensemble des personnes concernées.
• Puis à chaque rentrée : pour le premier degré, lors de la réunion avec les responsables légaux.

Le décret qui resserre le choix

Pour les collèges et lycées publics, le RGPD ne suffit pas. Le décret n° 2025-1165 du 5 décembre 2025 relatif au cadre de référence du numérique pour l'éducation impose d'utiliser des outils et services numériques respectant certaines prescriptions techniques de sécurité, d'interopérabilité et de numérique responsable fixées par le ministre.