Ce que le RGPD exige réellement d’une plateforme e-learning

Le RGPD est souvent réduit à une bannière de cookies et à un lien vers la politique de confidentialité. Pour une plateforme d’apprentissage, ce ne sont que les bords visibles d’une obligation bien plus large. Le vrai travail concerne les données recueillies, les personnes qui peuvent les consulter, les fournisseurs qui les reçoivent, leur durée de conservation et la capacité réelle de la plateforme à répondre à une demande d’accès ou de suppression.

Cet article explique ce que le RGPD change dans un produit e-learning, depuis la relation entre responsable du traitement et sous-traitant jusqu’aux analyses, à l’IA, à l’hébergement international et aux droits des apprenants. Il s’agit d’un guide pratique, pas d’un avis juridique. Faites confirmer la base légale et les règles nationales applicables à votre organisation.

Quand le RGPD s’applique à une plateforme d’apprentissage

Le RGPD s’applique lorsqu’une organisation traite les données personnelles de personnes situées dans l’Espace économique européen. Il peut également concerner une entreprise établie hors d’Europe lorsqu’elle propose des biens ou services à ces personnes ou suit leur comportement.

Dans une plateforme d’apprentissage, les données personnelles vont bien au-delà du nom et de l’adresse e-mail. Inscriptions, tentatives de quiz, notes, réponses écrites, présence, messages d’assistance, adresses IP, identifiants d’appareils, journaux d’activité, besoins d’accessibilité et commentaires des responsables peuvent tous identifier ou décrire une personne. Même des données pseudonymisées restent personnelles si quelqu’un peut les relier à un individu.

La bonne question n’est donc pas le pays d’immatriculation de l’entreprise. Demandez si la plateforme détient des données sur des apprenants, enseignants ou salariés situés dans l’EEE, et pourquoi elle conserve chaque champ. Si oui, le RGPD doit être présent dans l’architecture et le contrat.

Responsable et sous-traitant : qui prend les décisions ?

La distinction contractuelle essentielle oppose le responsable du traitement, qui décide pourquoi et comment les données sont traitées, au sous-traitant, qui les traite selon ses instructions.

Dans un LMS d’entreprise ou universitaire, le client est généralement responsable du traitement. Il décide qui suit une formation, quels résultats comptent et combien de temps conserver les dossiers. Le fournisseur de la plateforme est généralement le sous-traitant. Leur relation exige un accord conforme à l’article 28, précisant l’objet, la durée, les finalités, les catégories de données, les mesures de sécurité, la suppression, les audits et le recours à d’autres sous-traitants.

« Généralement » est important. Un fournisseur peut devenir responsable pour ses propres usages. S’il reprend l’activité des apprenants pour faire de la publicité, créer des profils sans rapport avec la formation ou entraîner un modèle général, il ne suit plus seulement les instructions du client. Le contrat ne peut pas le qualifier de sous-traitant si le produit se comporte comme un responsable.

La question doit donc être posée fonction par fonction, pas une seule fois pour toute l’entreprise.

Le consentement n’est pas la réponse par défaut

Chaque traitement exige une base légale. Le Comité européen de la protection des données en énumère six : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public et intérêts légitimes.

Les produits éducatifs choisissent souvent le consentement parce qu’il paraît plus sûr. Ce n’est pas toujours le cas. Il doit être libre et révocable. Un salarié obligé de suivre une formation réglementaire ou un étudiant qui a besoin de la plateforme pour assister au cours n’a pas forcément de véritable choix. Selon le contexte et le droit national, l’organisation peut s’appuyer sur une obligation légale, une mission publique, un contrat ou une autre base valable.

La plateforme doit donc associer une finalité et une base à chaque traitement significatif, au lieu d’afficher une grande case « J’accepte ». Dispenser le cours, journaliser la sécurité, réaliser des analyses facultatives, faire du marketing et entraîner une IA sont des finalités différentes.

C’est la limitation des finalités traduite dans le produit. Les principes du RGPD présentés par la Commission européenne exigent finalités précises, minimisation, conservation limitée, exactitude, sécurité et responsabilité.

Les droits des apprenants doivent devenir des fonctions

Une plateforme incapable de retrouver, exporter, corriger, limiter ou supprimer les données d’une personne transforme chaque demande en projet manuel sur la base de données.

Deux détails posent le plus de difficultés. D’abord, l’identité doit rester cohérente. Si une personne existe sous trois e-mails dans le LMS, la vidéo, l’analytique et l’assistance, une demande laissera des données de côté. Ensuite, la suppression est un processus, pas une requête SQL. Sauvegardes, certificats, rapports exportés, flux d’événements et services tiers ont tous besoin de règles.

La minimisation facilite chacun de ces droits. Une donnée inutile que vous n’avez jamais collectée n’aura jamais à être protégée, expliquée, exportée ou supprimée.

Sous-traitants ultérieurs et transferts internationaux

La plupart des plateformes reposent sur une chaîne de fournisseurs : hébergement, e-mail, vidéo, analytique, suivi d’erreurs, assistance, authentification et désormais IA. Chaque service qui reçoit des données appartient à la cartographie.

Un sous-traitant a besoin d’une autorisation écrite préalable avant d’en désigner un autre. Une plateforme crédible tient une liste à jour, explique la mission et le lieu de traitement de chaque fournisseur et prévient contractuellement le client avant tout ajout.

Un transfert hors de l’EEE exige un mécanisme valable. Une décision d’adéquation peut couvrir le pays ; sinon, les organisations utilisent couramment les clauses contractuelles types de la Commission européenne, avec les évaluations et garanties nécessaires. Choisir un centre de données européen ne suffit pas si l’assistance, les journaux, les sauvegardes ou une API d’IA déplacent encore les données.

Ne demandez pas seulement si les serveurs sont en Europe. Demandez la liste de tous les pays où les données peuvent être stockées ou consultées, y compris par les sous-traitants et l’assistance.

Analytique, IA et nécessité d’une AIPD

Un rapport d’achèvement n’a pas le même niveau de risque que le profilage, la prédiction de l’échec ou une décision automatique sur les possibilités offertes à une personne. Le RGPD est fondé sur le risque.

Une analyse d’impact relative à la protection des données (AIPD) est requise lorsque le traitement est susceptible de créer un risque élevé pour les droits et libertés. La Commission européenne cite notamment l’évaluation systématique, le profilage et le traitement à grande échelle de données sensibles. L’AIPD précède le traitement et reste un document vivant.

Les signaux d’alerte pour un LMS comprennent :

• notation ou classement par un modèle opaque ;
• prédiction de l’échec, du départ ou de l’accès à une possibilité ;
• analyse du comportement au-delà des attentes raisonnables ;
• traitement de données de santé, de handicap, biométriques ou sensibles ;
• suivi d’enfants ou de salariés à grande échelle ;
• envoi de travaux d’apprenants à un modèle d’IA tiers.

L’AIPD ne légalise pas automatiquement une fonction risquée. Elle oblige à décrire sa finalité, sa nécessité, ses flux, ses risques et ses mesures d’atténuation avant le lancement. La bonne décision peut être de réduire la fonction, de maintenir une validation humaine ou de ne pas la construire. C’est la même frontière que dans les usages réellement utiles de l’IA dans un LMS.

Une liste de contrôle pratique

Avant d’acheter ou de lancer une plateforme, vous devez pouvoir répondre clairement :

• Quelles données détenons-nous, et pourquoi chaque champ est-il nécessaire ?
• Qui est responsable et qui est sous-traitant pour chaque usage ?
• Quelle base légale soutient chaque finalité ?
• Pouvons-nous exporter, corriger, limiter et supprimer les données d’une personne de bout en bout ?
• Quels sous-traitants reçoivent les données, dans quels pays et sous quel mécanisme ?
• Quelles durées s’appliquent aux comptes, travaux, journaux, rapports et sauvegardes ?
• Quels rôles voient les notes, messages, commentaires ou besoins d’accessibilité ?
• Le profilage, l’IA, le suivi ou les données sensibles exigent-ils une AIPD ?
• Pouvons-nous enquêter sur une violation et informer rapidement le responsable ?

Ce dernier point compte, car le responsable peut devoir informer l’autorité dans les 72 heures après avoir eu connaissance d’une violation présentant un risque. Un sous-traitant qui attend plusieurs jours consomme le délai de son client.

Le RGPD est une architecture de données, pas une bannière

Une bannière peut enregistrer une préférence. Elle ne répare ni la collecte excessive, ni une conservation indéfinie, ni des exports incontrôlés, ni une chaîne de fournisseurs inconnue.

Un bon travail RGPD paraît ordinaire : moins de champs, rôles clairs, accès limités, suppression prévisible, fournisseurs documentés et flux explicables en une phrase. C’est pourquoi il va naturellement avec la sécurité des données étudiantes et FERPA. Les textes diffèrent, mais les capacités d’ingénierie sont les mêmes.

Le meilleur moment pour faire ces choix précède la cristallisation de la base de données, des outils d’analyse et des contrats autour de mauvaises hypothèses. La protection des données dès la conception consiste à rendre la plateforme capable de tenir les promesses que l’organisation s’apprête à signer.