Écoles privées : quelle loi protège les données des élèves ?

La directrice d’une école privée bâtit son contrat informatique sur un modèle que lui a passé une commune voisine. L’intention est bonne, le document est solide, et sa base légale ne se recopie pas pour autant. Une école privée agit en général comme une organisation privée, tout en restant soumise au contrôle cantonal de l’enseignement et, dans certains cas, à des règles qui gouvernent une tâche publique.

La confusion se comprend. Les deux types d’écoles accueillent des enfants, travaillent sous la surveillance du canton et traitent parfois des données personnelles sensibles. L’autorité compétente dépend pourtant du statut de l’école, de la finalité poursuivie et de la tâche au titre de laquelle elle traite les données.

Deux cadres à articuler

Je prends toujours ces dossiers dans le même ordre : le statut de l’école d’abord, le canton ensuite, le fournisseur en dernier. L’ordre inverse donne un contrat solide posé sur une base fausse.

Le canton surveille l’école privée, dans sa pédagogie, son autorisation et son organisation. Dans le canton de Vaud, la loi sur l’enseignement privé confie au département la surveillance de l’organisation et des programmes des établissements qui accueillent des élèves en âge de scolarité obligatoire.

Pour ses traitements privés, l’école relève en général de la LPD révisée et du Préposé fédéral à la protection des données et à la transparence. Cette obligation fédérale ne fait pas disparaître la surveillance cantonale. Une école subventionnée, reconnue ou chargée d’une tâche publique déléguée peut relever, pour certains traitements, d’un régime cantonal ou mixte. Cartographiez les deux régimes plutôt que de les opposer.

La conclusion pratique est moins spectaculaire, et plus utile : ne recopiez ni un contrat communal, ni un contrat commercial standard, sans analyse. Établissez d’abord qui est responsable du traitement, quelle tâche est en jeu, quel canton, quel financement public ou quelle délégation, et quelle autorité surveille. La LPD révisée oblige déjà un responsable privé à choisir et à suivre correctement ses prestataires.

Certaines données d’élèves sont sensibles au sens de la loi

Une école traite des coordonnées, des résultats, des évaluations, des mesures éducatives, des rapports psycho-éducatifs, des dossiers disciplinaires, des certificats médicaux et des photographies. Ces éléments relèvent tous des données personnelles, sans être pour autant sensible au sens légal. Les données de santé, certaines informations liées à l’assistance sociale et les profils à haut risque appellent, eux, une attention particulière.

Un élève mineur n’est pas pour autant incapable de consentir seul. Sa capacité de discernement, son âge, sa maturité, la finalité poursuivie, la base légale et l’autorité parentale entrent tous en compte. Pour les activités scolaires ordinaires, le consentement n’est d’ailleurs pas toujours la bonne base.

Ce cadre ramène deux obligations que beaucoup de petites structures croient pouvoir contourner.

Le registre des activités de traitement

L’exemption prévue pour les organisations de moins de 250 collaborateurs tombe dès qu’elles traitent des données personnelles sensibles à grande échelle ou pratiquent un profilage à haut risque. Une école documente donc les catégories réelles et l’ampleur réelle avant de conclure que le registre légal ne s’impose pas à elle. Et même sans obligation, un inventaire proportionné des traitements reste un excellent outil de conduite.

La notification des violations

L’art. 24 LPD révisée impose d’annoncer au Préposé fédéral les violations de sécurité qui présentent un risque élevé pour les personnes concernées, dans les meilleurs délais. Ce n’est pas le délai de 72 heures du RGPD, cité un peu partout par réflexe : le délai européen ne concerne l’école que si le RGPD la couvre lui-même, par exemple par un établissement dans l’UE ou par une activité visée à son art. 3. La présence ou la nationalité d’élèves ou de parents dans l’UE n’y suffit pas.

Le portail parents est le point sensible

Le risque se concentre autour de l’école plus qu’en son centre : portails parents, plateformes de notation, messageries de classe, partage de documents, visioconférences, photographies scolaires, systèmes d’identité et sauvegardes. Le serveur de l’école n’est qu’un maillon de cette chaîne.

Classez chaque fournisseur d’après les décisions qu’il prend réellement. Certains sont des sous-traitants, d’autres des responsables conjoints ou indépendants. Tous ont des lieux de traitement, des sous-traitants ultérieurs, des durées de conservation et des conditions à vérifier. Certains services grand public interdisent même, dans leurs conditions, les catégories de données que le personnel y dépose.

Trois questions suffisent à les trier :

1. Quelles données d’élèves cet outil traite-t-il réellement, et pendant combien de temps les garde-t-il ?
2. Où sont-elles traitées, qui peut les atteindre, sous quelles juridictions et avec quels sous-traitants ultérieurs ?
3. Que récupère l’école si elle change d’outil, et sous quel format ?

Les points que l’accréditation et l’assureur regardent

Selon leurs règles et les clauses de la police, deux acteurs posent souvent des questions détaillées avant qu’une autorité ne s’en mêle : l’organisme d’accréditation, et l’assureur cyber au renouvellement.

Leurs exigences varient d’un cas à l’autre, et une école préparée sort les pièces suivantes :

• un inventaire des activités de traitement
• des contrats de traitement signés
• des sauvegardes dont la restauration a été testée
• une procédure d’annonce des incidents
• une traçabilité des accès aux dossiers d’élèves

L’école qui a réuni ces éléments pour la LPD révisée tient déjà de quoi répondre.

C’est d’ailleurs le meilleur ordre de travail dans tous les cas : traitez la conformité comme le rangement de ce qui existe déjà, et non comme un dossier à part. L’inventaire des outils, la localisation des données et la clause de sortie valent chacun de l’or.

Le fondement juridique de cette grille

• Préposé fédéral : foire aux questions sur la protection des données
• SEFRI : rapport entre écoles publiques et privées en Suisse
• RGPD, art. 3 et 33 compris

J’ai vérifié cette grille le 14 août 2026. Cet article propose un cadre de décision, non un conseil juridique. Le statut de l’école, son canton, son financement, sa reconnaissance ou une tâche publique déléguée peuvent changer le régime applicable.