Imaginons une école privée qui prépare un portail pour les familles. Elle reçoit un modèle de contrat utilisé par une commune et envisage de le reprendre. Certaines clauses peuvent être utiles, mais le statut public de la commune et les activités de l’école ne reposent pas nécessairement sur les mêmes règles.
La première question porte donc sur l’organisation et sur la tâche concernée. La surveillance cantonale de l’enseignement, la protection des données et les obligations d’un fournisseur répondent à des questions distinctes. Les articuler permet de rédiger un contrat qui correspond réellement au service prévu.
Distinguer le statut de l’école et ses activités
Une école privée relève en général de la LPD fédérale pour ses traitements privés. Le canton conserve ses compétences sur l’enseignement, notamment l’autorisation et la surveillance des établissements. Dans le canton de Vaud, la loi sur l’enseignement privé précise ce cadre pour les établissements concernés.
Une délégation de tâche publique ou un régime particulier peut modifier l’analyse pour certains traitements. Le financement, la reconnaissance et les missions confiées à l’école demandent un examen concret. La direction identifie l’entité responsable et l’activité avant de choisir un modèle contractuel.
Dans l’exemple du portail, l’école décrit les fonctions de transmission d’informations aux parents, de partage documentaire et de traitement des demandes administratives. Elle distingue ces usages de la gestion des dossiers médicaux et des évaluations internes. Un même logiciel peut héberger plusieurs traitements dont les utilisateurs et les règles d’accès diffèrent.
Cette description permet de préciser la responsabilité de l’école et le rôle de chaque fournisseur. Un prestataire qui héberge les données sur instruction n’occupe pas nécessairement le même rôle qu’un service qui décide de les réutiliser pour ses propres finalités.
Qualifier les données avant de les mettre à disposition
Les coordonnées, les résultats scolaires et les photographies sont des données personnelles lorsqu’ils concernent des élèves identifiés ou identifiables. Ils ne relèvent pas tous, pour cette seule raison, de la catégorie des données sensibles. Les données de santé et certaines informations relatives à l’aide sociale demandent une qualification particulière.
Le profilage à risque élevé désigne une opération de traitement, et non une simple liste de profils d’élèves. Le PFPDT présente cette notion et les obligations de la LPD. Une fonction qui croise plusieurs informations pour évaluer une personne mérite donc un examen différent d’un affichage de coordonnées.
Dans le portail, cette qualification oriente les accès. Un parent peut consulter les informations auxquelles il a droit sans accéder aux dossiers d’autres familles. Un enseignant, un responsable administratif et un professionnel de santé peuvent avoir des besoins différents. Les situations familiales particulières et les changements de représentants légaux font partie des cas à traiter.
Le consentement ne résout pas automatiquement ces questions. Pour un mineur, la capacité de discernement et la finalité du traitement comptent, avec les règles applicables à l’autorité parentale. L’école détermine le fondement pertinent au lieu de demander un accord général couvrant tous les usages futurs.
Traduire ces choix dans le portail et les contrats
Le fournisseur doit pouvoir expliquer où il traite les données, quels autres prestataires interviennent et quelles personnes disposent d’un accès d’assistance. L’école examine la conservation, les sauvegardes et les possibilités d’export. Une interface limitée aux utilisateurs autorisés ne suffit pas si des accès techniques plus larges restent sans contrôle.
L’équipe vérifie les fonctions sur des comptes d’essai représentant les différents rôles. Elle teste un accès autorisé et un accès interdit, la fermeture d’un compte et la récupération d’un document. Ces essais transforment les règles annoncées en comportements observables.
Les informations destinées aux familles décrivent les finalités et les interlocuteurs utiles dans une langue compréhensible. Une école internationale peut prévoir plusieurs langues. Le texte doit correspondre aux usages réellement activés et aux conditions convenues avec les fournisseurs.
Organiser le suivi des traitements et des incidents
Un inventaire relie chaque fonction du portail aux données utilisées, aux personnes autorisées et à la durée de conservation. Cet outil reste utile même lorsqu’une organisation estime bénéficier d’une exemption au registre légal des activités de traitement. Les conditions de cette exemption incluent d’autres critères que la taille, notamment les traitements sensibles à grande échelle et le profilage à risque élevé.
Le suivi comprend une procédure en cas de violation de la sécurité des données. L’article 24 LPD prévoit une annonce au PFPDT dans les meilleurs délais lorsque la violation entraîne vraisemblablement un risque élevé pour les personnes concernées. Le délai de 72 heures du RGPD appartient à un autre régime ; son application dépend du champ territorial européen, pas simplement de la nationalité d’une famille.
L’école prévoit donc les contacts, les informations à demander au fournisseur et la personne qui évalue la situation. Un exercice simple, par exemple un document devenu visible à la mauvaise famille, permet de vérifier la fermeture de l’accès et la disponibilité des éléments d’enquête.
| Élément suivi | Décision qu’il permet de vérifier |
|---|---|
| Fonction et finalité | L’usage correspond à la mission annoncée |
| Catégories de données | Le portail ne collecte que les informations nécessaires |
| Rôles et comptes | Les destinataires disposent des accès prévus |
| Fournisseurs et lieux de traitement | Le contrat décrit la chaîne réelle |
| Conservation et export | L’école peut gérer la durée de vie des dossiers |
Ces éléments peuvent également répondre aux demandes d’un organisme d’accréditation ou d’un assureur, selon leurs propres exigences. Ils servent surtout à maintenir une cohérence entre le cadre juridique, le contrat et le fonctionnement quotidien du portail.
Sources et portée
- PFPDT | la nouvelle LPD et ses principaux mécanismes
- PFPDT | questions fréquentes sur la protection des données
- RGPD, notamment son champ territorial
L’exemple du portail est hypothétique. Le statut de l’établissement, son canton et les tâches qu’il assume déterminent l’analyse juridique à valider pour un projet réel.