En bref
Deux documents, le même jour, la même matière. La différence porte sur les traceurs : interdits en principe à l'école, déconseillés à l'université. L'étudiant est majeur mais placé en situation de subordination, il reste donc une personne vulnérable au sens de l'AIPD et le consentement ne fonctionne toujours pas comme base légale.
La seule vraie différence
Dans le texte scolaire, la CNIL écrit que le responsable de traitement doit s'assurer que l'outil n'a pas recours à des traceurs publicitaires, « en principe interdits » au regard de la neutralité du service public de l'éducation, incluant la neutralité commerciale. S'il y en a, ils doivent être désactivés.
Dans le texte de l'enseignement supérieur, la même autorité, le même jour, « recommande de privilégier des outils qui n'impliquent pas, de la part du fournisseur, l'utilisation de traceurs ou de dispositifs de suivi à des fins d'exploitation publicitaire, de profilage ou de réutilisation commerciale des données ou pour lesquels de telles fonctionnalités peuvent être désactivées par l'établissement ». Elle recommande : elle n'interdit pas. Et le principe de neutralité du service public de l'éducation n'est pas invoqué.
Ce n'est pas un oubli. L'interdiction scolaire repose sur un principe qui concerne le service public de l'enseignement scolaire ; l'enseignement supérieur a son propre cadre. Pour un DPO, la conséquence pratique est concrète : la conclusion sur les traceurs rédigée dans l'AIPD d'un lycée ne se recopie pas dans celle d'une université, car la prémisse juridique n'est pas la même.
L'étudiant est majeur, et demeure vulnérable
Sur la vulnérabilité, la CNIL ne recule pas. Dans le texte universitaire, elle justifie la recommandation de protéger les données contre le risque de divulgation à des autorités de pays tiers précisément par « la vulnérabilité des personnes concernées (notamment les étudiants, placés dans une situation de subordination) ».
La subordination produit deux effets. Dans l'analyse de la base légale, elle écarte le consentement, qui doit être libre et non influencé par la position d'autorité du responsable de traitement : l'étudiant doit pouvoir refuser sans conséquences négatives, et il ne le peut pas. Dans l'analyse de l'AIPD, elle déclenche le critère des personnes vulnérables, exactement comme les mineurs.
Ce qui ne change pas
- Base légale : exécution d'une mission d'intérêt public, pour les établissements publics comme privés.
- Information concise, transparente, compréhensible et aisément accessible (articles 12, 13 et 14), disponible avant la mise en œuvre du traitement et reprise à chaque rentrée.
- AIPD obligatoire dès deux critères du CEPD, et probable dans la majorité des cas.
- Garanties du sous-traitant au titre de l'article 28 et contrat comportant les mentions obligatoires, y compris celles de fin de contrat sur la réversibilité et la suppression.
- Transferts au titre du chapitre V, avec SecNumCloud cité en exemple de soumission exclusive au droit européen.
Ce qui manque à l'université
Deux éléments présents dans le texte scolaire n'apparaissent pas dans le texte universitaire : la référence à l'article L.131-2 du code de l'éducation, qui concerne le service public du numérique éducatif scolaire, et le décret n° 2025-1165 du 5 décembre 2025, qui encadre les choix techniques des collèges et lycées publics. Les universités restent libres de ce côté, et plus exposées de l'autre : le choix doit être motivé dans l'AIPD, non délégué au fournisseur.
L'erreur à ne pas commettre
Traiter les deux documents comme un seul. Ils sont jumeaux à quatre-vingts pour cent et divergent précisément là où se décide d'ordinaire l'achat : un outil comportant des traceurs publicitaires est-il admissible ? À l'école, la réponse est non. À l'université, c'est « mieux vaut pas, et s'il y en a, ils doivent pouvoir être désactivés ».
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
