École : partager un dossier avec un intervenant

Une association autorisée à intervenir dans une école n’a pas, pour cette seule raison, accès aux dossiers des élèves. Le partage doit répondre à sa mission : préparer une séance, identifier les groupes ou restituer un travail. Les coordonnées des familles et les observations pédagogiques restent exclues lorsqu’elles ne sont pas nécessaires à cette intervention.

Le directeur, l’enseignant et l’organisme extérieur doivent donc arrêter un périmètre avant la première remise. Le résultat attendu n’est pas une promesse générale de confidentialité, mais un dossier de travail limité, des instructions compréhensibles et une fin d’accès organisée.

Distinguer autorisation pédagogique et traitement des données

L’intervention extérieure durant le temps scolaire complète l’enseignement sous la responsabilité pédagogique de l’enseignant. Elle nécessite l’autorisation préalable du directeur d’école ou du chef d’établissement. Dans le premier degré, Éduscol précise aussi les situations imposant une convention, notamment pour certaines interventions régulières d’associations. Éduscol, recours aux intervenants extérieurs, février 2026.

Pour les associations agréées, l’Art. D. 551-6 du Code de l’éducation organise l’autorisation et le respect de la responsabilité des enseignants. Il prévoit aussi un circuit particulier pour une intervention exceptionnelle d’association non agréée, avec information préalable de l’autorité académique compétente et possibilité d’opposition. L’agrément de l’association ne remplace donc pas l’autorisation de l’intervention. Code de l’éducation, Art. D. 551-6.

Ces vérifications ne décident pas quelles données seront communiquées. La fiche pédagogique peut prévoir un atelier sans justifier un accès au livret scolaire. De même, une convention signée pour trois séances n’ouvre pas automatiquement les outils utilisés pendant toute l’année.

Dans l’éducation nationale, Éduscol identifie les DASEN pour le premier degré et les chefs d’établissement pour le second degré, et rappelle l’association du DPD académique aux nouveaux traitements. Ne désignez donc pas le directeur d’école comme responsable de tous les fichiers par simple commodité. Les traitements nationaux, territoriaux ou privés demandent une identification adaptée à leur organisation. Éduscol, protection des données et assistance, juillet 2026.

Le guide RGPD de l’éducation aide à situer ce travail. La personne qui autorise matériellement l’accès doit connaître le cadre dans lequel elle agit et l’interlocuteur à saisir si le projet change.

Faire correspondre chaque donnée à une action

Demandez à l’intervenant ce qu’il ne pourrait pas faire sans la donnée sollicitée. Cette question doit déboucher sur une décision, pas rester dans une checklist. Si l’enseignant assure lui-même la répartition des élèves, l’association peut recevoir les effectifs des groupes sans exporter leur identité avant la séance.

L’Art. 5(1)(c) impose la minimisation. L’Art. 25(2) étend cette logique au volume, à la durée et à l’accessibilité par défaut. Un compte ouvrant tout le dossier de classe n’est pas justifié par le besoin de consulter un unique document préparatoire. RGPD, Art. 5(1)(c) et Art. 25(2).

La base légale s’analyse également. Pour une activité scolaire publique nécessaire aux apprentissages, la mission d’intérêt public peut être pertinente, dans le cadre juridique qui l’organise. L’Art. L. 311-1 rattache notamment l’évaluation à la progression des compétences et connaissances. Ce fondement ne couvre pas la promotion des stages privés de l’association. Code de l’éducation, Art. L. 311-1 ; RGPD, Art. 6(1)(e) et 6(3).

Ne faites pas signer une autorisation parentale pour compenser l’absence de besoin. Un accord général « partenaires de l’école » ne rend pas utile une donnée superflue et ne détermine pas le rôle juridique de chaque organisme.

Atelier E-24 : un dossier effectivement réduit

Exemple entièrement fictif. Une classe de vingt-quatre élèves prépare trois séances scientifiques avec l’association Prisme. L’intervention est intégrée aux apprentissages ; autorisation, convention et compétences requises sont supposées vérifiées dans ce scénario. L’enseignante reste présente et conserve la responsabilité pédagogique.

L’association demande initialement un export de classe avec noms, coordonnées parentales et commentaires pédagogiques. Son objectif annoncé est de préparer six groupes, puis de retourner les fiches d’expérience. L’équipe retient une autre organisation : six groupes de quatre élèves, identifiés G1 à G6, et une remise des productions par l’enseignante.

Les codes de groupe ne sont pas présentés comme une anonymisation certaine. L’intervenante voit les élèves pendant les séances ; une production ou un commentaire peut permettre une identification. Les règles de confidentialité restent donc nécessaires même lorsque le fichier préparatoire est fortement réduit.

Dans le dossier, l’organisation des apprentissages est rattachée à la mission scolaire. Le responsable compétent valide le traitement après les vérifications requises ; le DPD apporte son analyse. L’enseignante ne transforme pas son choix de matériel en autorisation autonome de toutes les fonctionnalités d’un outil extérieur.

Écrire une instruction qui résout les ambiguïtés

Une clause « les parties respectent le RGPD » ne répond pas à la demande de l’association. Pour E-24, l’instruction opérationnelle peut être rédigée ainsi :

« L’association Prisme utilise le dossier E-24 pour préparer les trois séances et restituer les fiches d’expérience à l’enseignante référente. Le dossier comprend le niveau, les effectifs, les groupes et les productions nécessaires à cette mission. Il ne contient pas les coordonnées des familles ni les dossiers scolaires. Aucun compte personnel d’élève, photographie, enregistrement ou inscription commerciale n’est créé dans ce cadre. Toute demande d’usage supplémentaire est soumise au responsable compétent avant sa mise en œuvre. »

Cette proposition décrit les choix du cas ; elle ne prétend pas interdire universellement toute photographie scolaire ou tout compte pédagogique. Elle rend surtout visible ce qui n’a pas été autorisé. Une activité nouvelle peut être examinée séparément, avec ses finalités, ses destinataires, sa base et, le cas échéant, les autorisations nécessaires.

Qualifiez ensuite les opérations réellement confiées. Dans l’hypothèse où Prisme traite les productions exclusivement pour le compte du responsable et sur ses instructions, le dispositif relève de l’Art. 28. Le contrat ou autre acte juridique doit inclure les exigences applicables, dont confidentialité, sécurité, assistance et fin de prestation. L’instruction précédente en constitue un élément ; elle n’est pas à elle seule un contrat de sous-traitance complet. RGPD, Art. 28(3) et (9).

Si l’association décide d’utiliser les productions pour une recherche propre ou pour sa communication, cette opération ne reste pas automatiquement dans le même rôle. Analysez-la distinctement ; un objectif présenté comme pédagogique n’efface pas la différence entre les finalités des organismes.

Les adaptations ne donnent pas accès au dossier médical

Un besoin d’aménagement peut nécessiter une consigne précise. Il n’autorise pas à transmettre par défaut diagnostic, bilan ou récit familial. La reformulation en consigne pratique réduit l’exposition, mais peut encore révéler la santé : l’Art. 9(1) reste alors à examiner, avec une exception applicable de l’Art. 9(2), en plus de la base de l’Art. 6. RGPD, Art. 6 et 9.

Dans E-24, l’enseignante organise elle-même les adaptations dont elle a la charge. Si une information particulière doit parvenir à l’intervenante pour agir correctement, l’équipe compétente détermine ce qui est nécessaire et le circuit applicable avant la séance. L’association ne distribue pas son propre questionnaire médical « pour être certaine ».

Donnez un interlocuteur et une conduite à tenir en cas de difficulté. Cela évite que l’intervenante conserve des renseignements confiés oralement dans une messagerie personnelle ou les ajoute à la fiche collective. Les situations de protection de l’enfance et les urgences suivent leurs circuits spécifiques ; une convention ordinaire d’atelier ne les remplace pas.

Informer et organiser les demandes sans créer un guichet parallèle

Les familles et les élèves doivent pouvoir comprendre le traitement, dans une présentation adaptée. L’information décrit la mission, les données utiles, le destinataire, le contact compétent et les droits applicables. Les Art. 12(1) et 13 fixent le cadre de cette transparence ; les mentions doivent correspondre aux opérations effectivement retenues. RGPD, Art. 12(1) et 13(1)–(2).

Dans le cas E-24, le message préparatoire explique que les productions sont remises à l’enseignante, sans création de compte familial chez Prisme. Si un parent adresse une demande concernant ces données à l’intervenante, celle-ci utilise le circuit convenu pour qu’elle soit traitée par le responsable compétent. Une transmission interne ne doit pas faire perdre la date de réception pertinente ni laisser le parent sans réponse.

L’information doit aussi rester exacte si le dispositif évolue. Une application proposée après signature n’est pas couverte uniquement parce qu’elle sert à envoyer les mêmes travaux. Ses accès, ses réutilisations et ses destinataires doivent être examinés avant l’import.

Fermer les accès et distinguer copies de travail et archives

Préparez un accès nominatif limité au seul dossier de mission lorsque l’outil le permet. Examinez le lien de partage et ses permissions, notamment les téléchargements. Un lien expiré n’efface pas un fichier enregistré sur l’ordinateur de l’intervenante.

Pour E-24, la clôture comporte trois éléments séparés : réception des productions par l’enseignante, retrait de l’accès externe et confirmation du sort des copies de travail chez l’association. Le responsable indique la restitution ou suppression attendue selon le cadre de l’Art. 28(3)(g). Une copie dont le sort reste inconnu demeure une réserve à résoudre ; elle ne disparaît pas du suivi avec la dernière séance.

Les documents conservés par l’école suivent leur propre régime. Pour les archives publiques contenant des données personnelles, l’Art. L. 212-3 du Code du patrimoine prévoit une sélection et un accord avec l’administration des archives pour les éliminations concernées. La fermeture du compte extérieur n’est donc pas une consigne de détruire toutes les preuves pédagogiques et administratives. Code du patrimoine, Art. L. 212-3.

Avant une nouvelle intervention l’année suivante, reconstruisez le périmètre utile. Réactiver un ancien compte sans examiner ses droits peut exposer les travaux d’élèves qui ne participent plus au projet.

Ce qu’il faut retenir

• L’autorisation d’intervenir ne constitue pas une autorisation générale d’accès aux dossiers.
• Définissez les données par action et gardez les coordonnées familiales hors du partage si elles sont inutiles.
• Formalisez le rôle, les instructions et les nouveaux usages soumis à examen.
• Clôturez les copies extérieures sans confondre cette opération avec l’archivage scolaire.

FAQ

Un prénom suffit-il à rendre la liste anonyme ?

Non. Le contexte de la classe peut permettre d’identifier l’élève. Limiter les identifiants reste utile, mais ne dispense pas de protéger le document ni de justifier son partage.

L’association peut-elle envoyer directement les travaux aux parents ?

Ce circuit doit être justifié et encadré. Si la remise par l’enseignant répond au même besoin sans transmettre les coordonnées familiales, cette solution mérite d’être retenue dans la définition du traitement.

La discrétion de l’intervenant remplace-t-elle les restrictions d’accès ?

Non. Une obligation de confidentialité complète un périmètre adapté ; elle ne rend pas nécessaire l’accès à tous les documents. Définissez les droits techniques en fonction de la mission.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.