Dans une école, l'ensemble des activités est fortement lié au traitement de données à caractère personnel :
Ces traitements doivent figurer dans le registre des activités de traitement du département, commun à toutes les écoles.
Seuls les traitements inscrits au registre des activités de traitement peuvent être opérés légalement dans l'école.
A compter du 1er septembre 2022, les écoles de l'académie de Reims disposeront de l'application RADIO pour gérer leur registre des traitements.
Chaque registre contient une description de toutes les opérations de traitements de données à caractère personnel opérées. Pour chaque activité, les informations suivantes doivent apparaître :
Le registre des traitements doit contenir toutes les informations nécessaires telles qu'elles sont prévues à l'article 30 du RGPD pour tous les traitements opérés dans la structure.
Tous les personnels de l'établissement, enseignants et agents, sont des déclarants. Ils peuvent proposer à l'inscription les traitements de données à caractère personnel qu'ils opèrent régulièrement : applications du numérique éducatif utilisées en classe, traitement pour suivre les inscriptions des voyages scolaires...
Les déclarants proposent à l'inscription les traitements qu'ils opèrent régulièrement avec leurs classes.
L'inscription des traitements au registre de l'établissement est de la responsabilité de l'IA-DASEN en tant que responsable du traitement. Il est la seule personne de l'établissement à pouvoir inscrire un traitement au registre.
L'IA-DASEN du département inscrit les traitements proposés par les déclarants au registre.
Le choix, d'inscrire ou non un traitement au registre, doit se faire à partir de l'avis du Délégué à la Protection des Données. Il apporte son avis favorable, réservé ou défavorable à la mise en oeuvre du traitement. Il peut aussi proposer plusieurs actions à mener afin de rendre le traitement plus protecteur des personnes concernées, par exemple, en minimisant les données (ne pas saisir dans une application la date de naissance d'un mineur lorsqu'elle n'est pas nécessaire, ...), en anonymisant le traitement (utilisation de comptes génériques, ...), voir en mettant en oeuvre des mesures de sécurité techniques ou organisationnelles complémentaires.
Le délégué à la protection des données apporte un avis sur les traitements avant leur inscription au registre.
En cas d'avis défavorable ?
Si le responsable du traitement décide d'inscrire au registre un traitement pour lequel le DPD a donné un avis défavorable, il doit justifier cette décision par écrit. Ce justificatif devra être produit à l'autorité de contrôle en cas d'audit ou de plainte.
Extraite du flyer "RGPD", l'infographie suivante vous décrit les étapes à franchir d'une proposition de traitement par un déclarant jusqu'à l'inscription au registre par le responsable du traitement.
Un catalogue de traitements modèles est mis à disposition dans l'application RADIO (disponible sur le portail ARENA) contenant la plupart des applications pédagogiques qui peuvent être mises en oeuvre dans une école. Ce catalogue est alimenté par les ERUN des départements et par le DPD. Si vous ne trouvez par l'application que vous souhaitez déclarer, n'hésitez pas à prendre contact avec votre ERUN de circonscription.
Si vous pouvez choisir librement une application pédagogique en classe, la situation se complique lorsqu'il s'agit d'un outil de vie scolaire ou d'un espace numérique de travail qui sont le fruit de concertations avec la collectivité de rattachement de l'école, notamment pour leur financement.
Ces traitements donnent lieu à une convention d'échange de données telle que l'article 28 du RGPD l'exige, signée entre le sous-traitant qui apporte la solution, le responsable du traitement, l'IA-DASEN du département et, selon le projet, la commune de rattachement en tant que co-responsable du traitement (article 26 du RGPD).
Ces conventions légitimisent et garantissent les échanges de données entre les différents acteurs pour permettre la mise à disposition de la solution, par exemple, elle officialise la fourniture d'un accès à l'Annuaire Académique Fédérateur au fournisseur de l'ENT de l'école.
Ce tutoriel vidéo pour RADIO vous présente comment proposer au registre des traitements un traitement existant dans le catalogue des modèles de traitements.