Sécuriser l'achat d'EdTech : les leçons du modèle britannique pour l'école francophone

Un virage réglementaire face à la prolifération des outils numériques

L'intégration des technologies éducatives (EdTech) dans les salles de classe s'est accélérée de manière exponentielle ces dernières années. Si cette transition offre des opportunités pédagogiques indéniables, elle expose également les établissements scolaires à des risques juridiques et techniques inédits, notamment en matière de souveraineté et de protection des données personnelles des mineurs. Face à ce défi, le ministère de l'Éducation du Royaume-Uni (Department for Education - DfE) a publié une mise à jour majeure de ses recommandations officielles concernant l'achat de technologies éducatives.

Ce document de référence ne se contente pas de lister des conseils d'achat ; il redéfinit en profondeur la responsabilité des directions d'école face aux géants du numérique et aux start-ups de l'éducation. Pour les décideurs, inspecteurs et chefs d'établissement de l'espace francophone (France, Belgique, Québec, Suisse), cette initiative britannique offre une grille de lecture précieuse et des enseignements directement transposables pour sécuriser leurs propres pratiques d'achat public.

La responsabilité juridique des chefs d'établissement : le modèle du « Data Controller »

Le premier point d'ancrage des recommandations britanniques réside dans la clarification du statut juridique des écoles. Selon le DfE, l'établissement scolaire est systématiquement qualifié de « responsable de traitement » (Data Controller) au sens du RGPD britannique (qui reste très largement aligné sur le RGPD européen). Cela signifie que la direction de l'école porte l'entière responsabilité légale de l'usage qui est fait des données des élèves et des personnels, même si l'outil est hébergé et géré par un tiers externe.

Le ministère britannique insiste sur le fait que déléguer la gestion technique à un fournisseur d'EdTech ne décharge en rien l'école de ses obligations. Avant tout achat, les directions doivent obligatoirement réaliser une analyse d'impact sur la protection des données (AIPD, ou Data Protection Impact Assessment - DPIA). Cette analyse doit évaluer comment le fournisseur collecte, stocke, partage et sécurise les données. Le guide du DfE rappelle qu'un chef d'établissement ne devrait jamais signer un contrat d'EdTech sans avoir préalablement validé cette analyse d'impact, sous peine de s'exposer à des sanctions administratives et financières majeures de la part du régulateur britannique (l'ICO).

Les pièges des fournisseurs : ce que le DfE conseille de surveiller

Le guide britannique met en garde les acheteurs publics contre plusieurs pratiques courantes des éditeurs de logiciels éducatifs, souvent acceptées par mégarde ou par manque d'expertise technique :

* Les modifications unilatérales des conditions d'utilisation : De nombreux fournisseurs d'EdTech se réservent le droit de modifier leurs conditions générales de vente et leurs politiques de confidentialité sans notification préalable. Le DfE recommande d'exiger des clauses contractuelles qui obligent le fournisseur à obtenir le consentement écrit de l'école avant tout changement touchant au traitement des données.
* Le ciblage publicitaire et le profilage : Le ministère est catégorique : aucune donnée d'élève collectée dans un cadre scolaire ne doit être utilisée à des fins de profilage commercial ou de publicité ciblée. Les écoles doivent s'assurer que les contrats interdisent explicitement cette pratique.
* La localisation et le transfert des données : Avec le Brexit et l'évolution des cadres internationaux, le transfert de données hors du Royaume-Uni (ou hors de l'Espace Économique Européen pour les pays de l'UE) est un point de vigilance critique. Le DfE conseille de privilégier les solutions garantissant un stockage local ou dans des pays bénéficiant d'une décision d'adéquation.
* Le verrouillage technologique (Vendor Lock-in) : Les écoles doivent planifier dès l'achat la fin du contrat. Le fournisseur doit s'engager à restituer l'intégralité des données dans un format standardisé et interopérable, et à détruire de manière sécurisée toutes les copies en sa possession.

Regards croisés : la situation en France et au Québec

Cette rigueur britannique résonne fortement avec les débats qui animent l'espace francophone. En France, la Commission nationale de l'informatique et des libertés (CNIL) a alerté à plusieurs reprises sur l'usage des suites collaboratives américaines (comme Microsoft 365 ou Google Workspace for Education) dans l'enseignement supérieur et scolaire, pointant du doigt les risques de transferts de données hors de l'Union européenne et l'incompatibilité potentielle avec le RGPD.

Au Québec, l'entrée en vigueur de la Loi 25 a considérablement renforcé les exigences en matière de protection des renseignements personnels. Les centres de services scolaires québécois doivent désormais nommer un responsable de la protection des renseignements personnels et procéder à des évaluations des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition de système d'information impliquant des données personnelles.

La démarche britannique s'inscrit donc dans un mouvement mondial de reprise de contrôle par les autorités publiques face à un marché de l'EdTech parfois trop peu régulé. Cependant, la spécificité du modèle britannique réside dans la publication de guides extrêmement pratiques, rédigés dans un langage accessible aux non-juristes, permettant de démocratiser ces sujets complexes auprès des équipes de terrain.

Recommandations pratiques pour les décideurs francophones

Pour transposer l'efficacité de la méthode britannique dans les réseaux scolaires francophones, plusieurs leviers peuvent être activés par les ministères, les académies ou les directions d'établissement :

1. Mutualiser les analyses d'impact (AIPD) : Il est irréaliste de demander à chaque directeur d'école ou chef d'établissement de mener de manière isolée une analyse juridique et technique complexe d'un logiciel de mathématiques ou d'une plateforme de vie scolaire. Les autorités de tutelle (académies, ministères, fédérations) doivent produire et mettre à disposition des bibliothèques d'AIPD standardisées pour les outils les plus courants.
2. Créer des listes de diffusion « blanches » ou labellisées : À l'instar de ce qui se développe dans certains territoires, l'achat public devrait être orienté vers des solutions ayant reçu un label de conformité (comme le label « RGPD compatible » ou des certifications de sécurité de l'État). Cela simplifierait grandement le travail d'acquisition des établissements.
3. Former les cadres scolaires à la négociation contractuelle : Les chefs d'établissement doivent être formés pour comprendre que les conditions d'utilisation d'une application gratuite ne sont pas anodines. « Si c'est gratuit, c'est que les données de vos élèves sont le produit » reste une réalité qu'il faut rappeler lors des formations initiales et continues des personnels de direction.
4. Exiger l'interopérabilité dès le cahier des charges : Tout achat d'outil numérique éducatif devrait imposer le respect de standards ouverts pour garantir la portabilité des données et éviter la dépendance exclusive vis-à-vis d'un éditeur.

Vers une gouvernance éthique du numérique éducatif

La note d'orientation du Department for Education britannique rappelle une vérité essentielle : la technologie ne doit pas entrer à l'école au détriment des droits fondamentaux des enfants. En responsabilisant directement les acheteurs et en leur fournissant des outils d'évaluation clairs, le Royaume-Uni tente de rééquilibrer le rapport de force entre les institutions scolaires et les géants de la tech.

Pour les systèmes éducatifs francophones, l'enjeu est désormais de dépasser le stade de la simple conformité administrative pour faire de la protection des données un véritable critère de choix pédagogique et éthique. C'est à ce prix que l'école pourra garantir un environnement d'apprentissage numérique de confiance pour les générations futures.