Outils pour enseignants hébergés en Europe : pourquoi c'est important

Le Règlement Général sur la Protection des Données s'applique à tout traitement de données personnelles concernant des résidents de l'Union européenne, indépendamment du lieu où sont hébergées les données. Concrètement, il impose : consentement explicite pour la collecte, droit d'accès et de portabilité, droit à l'effacement (le droit à l'oubli), notification d'incident sous 72 heures, et obligation de sécurité technique.

Un outil hébergé dans l'UE est par défaut sous le RGPD. Un outil hébergé hors UE qui traite des données européennes doit aussi s'y conformer, mais l'application est plus complexe en cas de litige (juridictions différentes).

Le Bundesdatenschutzgesetz (BDSG) est la loi allemande qui complète et durcit le RGPD. Elle ajoute notamment des obligations spécifiques pour les données sensibles, des contraintes supplémentaires sur la conservation, et des sanctions renforcées. C'est l'une des lois nationales les plus protectrices au monde en matière de données personnelles.

Un hébergement en Allemagne place donc vos données sous deux cadres cumulés : le RGPD européen et la BDSG allemande. C'est un argument concret quand on manipule, même indirectement, des données d'élèves ou des observations pédagogiques sensibles.

Le Clarifying Lawful Overseas Use of Data Act, adopté en 2018 aux États-Unis, permet aux autorités américaines (FBI, NSA, etc.) de demander à un fournisseur de services basé aux États-Unis de leur remettre toutes les données qu'il héberge — indépendamment du pays où sont physiquement situés les serveurs.

Conséquence pratique : si vous utilisez un outil édité par une société américaine, même si elle vous dit que ses serveurs sont en Europe, vos données restent juridiquement accessibles aux autorités américaines sur demande, sans que vous en soyez nécessairement informé. C'est un point régulièrement souligné par la CNIL dans ses recommandations aux établissements scolaires.

Quatre questions précises à vérifier sur le site de l'outil avant de vous engager :

• Où sont physiquement hébergés les serveurs ? (Pays, et idéalement nom du data center.)
• Quelle est la nationalité de l'éditeur ? (Une société européenne hébergeant aux États-Unis reste exposée au Cloud Act si son fournisseur est américain.)
• Y a-t-il un délégué à la protection des données (DPO) identifiable ? (Coordonnées publiques, idéalement adresse e-mail directe.)
• La politique de confidentialité décrit-elle les sous-traitants et leur localisation ? (Hébergeur, traitement des paiements, envoi d'e-mails, analytics.)

L'absence de réponse claire à l'une de ces questions est un signal fort.