Conformité RGPD : revoir le consentement parental

Quand l’application de messagerie, le portail ou l’outil de devoirs d’un établissement crée des comptes élèves sans vérifier l’âge, c’est déjà une faille RGPD aujourd’hui — indépendamment de ce qui se décide à Bruxelles. Cette obligation n’est pas née d’une nouvelle proposition : depuis le 25 mai 2018, les établissements scolaires opérant dans l’UE doivent recueillir un consentement parental vérifiable, au titre de l’article 8 du RGPD. Le 17 septembre 2026, la Commission européenne a proposé une nouvelle loi, l’EU Kids Act, qui viendrait s’ajouter à cette obligation existante en fixant des paliers d’âge communs à toute l’UE pour les comptes en ligne. La proposition est assez précise, et l’obligation RGPD assez ancienne, pour qu’un établissement utilisant encore une simple case « date de naissance déclarée » sur son application de communication ait deux raisons distinctes d’agir maintenant, et non une seule.

Conformité RGPD pour une application scolaire : ClassDojo, Seesaw ou tout éditeur

Que l’outil en question soit ClassDojo, Seesaw, ParentSquare, Remind, un groupe WhatsApp de parents, Bloomz ou BeeNet, les questions à poser restent les mêmes pour un chef d’établissement : quelles réponses l’éditeur peut-il réellement fournir par écrit, pas quelle marque l’emporte. Les sections suivantes détaillent le cadre juridique derrière chaque ligne du tableau.

Point à vérifier	Pourquoi c’est important
L’âge de l’élève est-il vérifié, ou simplement déclaré à l’inscription ?	L’article 8(2) exige des « efforts raisonnables », pas une simple case à cocher
Où les données des élèves sont-elles hébergées et traitées ?	La localisation dans l’UE conditionne le risque de transfert et le périmètre d’un audit
L’éditeur propose-t-il un parcours documenté de consentement parental ?	Il faut une preuve du consentement, pas seulement une affirmation
Les comptes des moins de 13 ans peuvent-ils être bloqués purement et simplement ?	Anticipe le seuil proposé par l’EU Kids Act, avant même son adoption
Existe-t-il une option sans application (SMS, par exemple) pour les parents qui refusent de créer un compte ?	Le consentement et la portée ne devraient pas exiger que chaque parent s’inscrive sur une nouvelle plateforme
Quel est le coût, en heures de travail administratif, de la migration des comptes existants, au-delà du prix de la licence ?	Recueillir à nouveau le consentement pour l’ensemble des élèves déjà inscrits est le vrai coût, pas l’abonnement

Le point qui tranche n’est pas le logo affiché sur l’écran de connexion, mais si le contrôle d’âge et le recueil du consentement sont des réglages déjà disponibles chez l’éditeur, ou une évolution technique qu’il faudrait lui demander de développer. Ajouter un consentement vérifié à un outil conçu autour d’une date de naissance déclarée demande plus de travail que de basculer vers une plateforme, ou de la configurer, quand le consentement et la messagerie multilingue aux familles (français, anglais, arabe) faisaient partie du cahier des charges dès le départ. Les deux options coûtent du temps aux équipes ; une seule le fait coûter deux fois.

Ce que le RGPD exige déjà pour les données des élèves

L’article 8 du RGPD fixe le socle sous lequel opèrent déjà tous les établissements scolaires de l’UE et les outils qu’ils utilisent. Pour les services de la société de l’information fondés sur le consentement, un mineur peut consentir seul à partir de 16 ans ; en dessous, un parent ou un représentant légal doit donner ou autoriser ce consentement. Les États membres peuvent abaisser ce seuil jusqu’à 13 ans, ce qui explique que l’âge applicable varie d’un pays à l’autre. L’article 8(2), en particulier, n’autorise ni un éditeur ni un établissement à se contenter d’une date de naissance saisie sans vérification. Le responsable du traitement doit fournir « des efforts raisonnables pour vérifier… que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant, compte tenu des technologies disponibles ». Une case cochée « J’ai plus de 16 ans » ne remplit pas cette condition.

La proposition EU Kids Act : ce qu’elle ajoute, et ce qui reste à trancher

La proposition EU Kids Act de la Commission européenne fixe trois paliers d’âge précis, confirmés dans la FAQ officielle de la Commission : aucun compte avant 13 ans ; un « mini-compte » restreint de 13 à 14 ans, avec contrôle parental obligatoire, une limite d’une heure par jour et l’approbation d’un parent pour tout nouveau contact ; et la création d’un compte libre et autonome seulement à partir de 15 ans (et non 13 — une nuance à ne pas manquer en résumant l’annonce). La vérification passerait par une application européenne certifiée de vérification d’âge ou par le portefeuille européen d’identité numérique, au moyen d’un jeton « oui/non » à divulgation nulle de connaissance qui, selon la FAQ, « ne permet d’identifier, de localiser, de suivre ou de profiler personne », sans conservation de pièce d’identité ni de donnée biométrique.

Deux points comptent pour un établissement qui lit ce texte. D’abord, le périmètre dépasse les « réseaux sociaux » : d’après le communiqué de la Commission et la couverture de l’IAPP, il couvre aussi les plateformes de partage vidéo, les jeux en ligne, les magasins d’applications, ainsi que les chatbots et compagnons dotés d’IA — ces derniers devant, selon la Commission, être désactivés par défaut pour les mineurs « afin d’éviter toute dépendance affective ». Ensuite, il s’agit d’une proposition, pas encore d’une loi : le texte doit maintenant être négocié par le Parlement européen et le Conseil, sans date d’entrée en vigueur confirmée. Selon Euronews, une fois les règles applicables, les plateformes disposeraient de six mois pour identifier et désactiver les comptes existants des moins de 15 ans. Les États membres sont divisés : la France, le Danemark, la Grèce, l’Espagne et l’Autriche soutiennent le texte, tandis que la République tchèque et l’Estonie s’inquiètent d’une vérification obligatoire de type pièce d’identité.

Regard honnête : ce n’est pas une seule loi qui pousse dans ce sens

La pression réelle vient de trois éléments qui se sont succédé : l’article 8 du RGPD (contraignant depuis 2018), un durcissement antérieur des règles sur les données des mineurs qui les traitait déjà comme un « groupe à risque distinct » (la date de publication de cette source n’est pas confirmée, à prendre donc comme un indice de tendance), et maintenant la proposition Kids Act, qui ajoute des paliers d’âge par-dessus. Le RGPD exigeait déjà cette vérification, et le texte de l’Act peut encore évoluer pendant la négociation : la correction à apporter au consentement repose donc sur le droit déjà en vigueur, pas sur un texte à venir. L’association de défense des consommateurs BEUC rappelle par ailleurs que la vérification d’âge « n’est pas une solution miracle ».

En pratique : corriger les parcours de consentement avant l’EU Kids Act

Mettre à jour l’étape de vérification du formulaire de consentement. En pratique : un e-mail unique accompagné d’un nouveau lien vers le formulaire, envoyé par le secrétariat à l’ensemble des parents et responsables légaux en début de trimestre, dès qu’un changement d’application affecte la collecte des données des élèves. Exemple de message : « Nous avons mis à jour la façon dont [nom de l’application] vérifie le consentement parental pour les comptes élèves de moins de 16 ans. Merci de confirmer à nouveau votre consentement ici avant le [date]. Cela prend deux minutes et ne nécessite aucune création de compte. »

Passer en revue les inscriptions à âge auto-déclaré sur tous les outils utilisés par l’établissement. En pratique : une checklist interne unique, revue une fois par trimestre par le responsable informatique ou administratif, qui confronte chaque plateforme active (messagerie, portail de devoirs, jeu ou chatbot destiné aux élèves) au tableau à six critères ci-dessus. Déclencheur : l’arrivée d’un nouvel éditeur, ou la préparation annuelle de la rentrée.

Expliquer aux parents ce qui change, en termes simples. En pratique : un seul SMS ou une seule notification dans l’application, envoyé au moment du déploiement — pas un long document de politique de confidentialité. Exemple de message : « Nouveau : [nom de l’application] vérifie désormais le consentement parental pour les comptes élèves de moins de 16 ans, conformément au RGPD. Rien ne change pour vous, sauf si nous vous demandons de confirmer à nouveau. »

Pourquoi corriger le consentement avant l’arrivée de l’EU Kids Act

L’article 8 du RGPD n’a pas changé et n’attend pas Bruxelles. Un établissement qui revoit son parcours de consentement ce trimestre comble une faille de conformité qui existe déjà, et aborde une future échéance de l’EU Kids Act avec de l’avance plutôt que dans l’urgence. C’est la lecture pratique du calendrier : traiter le sujet quand c’est encore une simple mise à jour de routine, pas après qu’il soit devenu obligatoire.

Un parcours de consentement réellement conforme au RGPD suppose un consentement parental vérifié, une trace auditable de ce consentement, et un moyen d’atteindre les parents qui refusent de créer un nouveau compte. Ces exigences orientent naturellement vers des plateformes de communication scolaire conçues pour cet usage, plutôt que vers des applications grand public détournées pour la classe. Plusieurs plateformes répondent précisément à ce cahier des charges. BeeNet en est une option : elle propose des parcours documentés de consentement et de signature électronique, une portée SMS pour les parents sans l’application, et une messagerie multilingue en français, anglais et arabe, aux côtés d’une posture de sécurité que tout audit de conformité finira par examiner. Pour évaluer si votre dispositif actuel passerait ce même audit, une démonstration reste un moyen simple de voir à quoi ressemble, de bout en bout, un parcours conforme.

Références

Pour les références et sources, voir la version anglaise de cet article.