Cybersécurité, données personnelles et RGPD pour l'éducateur

Un éducateur ou un enseignant collecte des données : listes d'adhérents, certificats médicaux, résultats de tests, images. Le RGPD (règlement européen 2016/679, appliqué en France avec la loi Informatique et Libertés de 1978 modifiée) encadre ces traitements. La CNIL est l'autorité de contrôle française.

Notions clés

Donnée personnelle : toute information se rapportant à une personne identifiée ou identifiable (nom, photo, performances associées à un nom).
Donnée sensible (catégories particulières) : santé, origine, opinions, etc. Leur traitement est en principe interdit sauf exceptions encadrées. Les données de santé d'un sportif (blessures, bilans) sont sensibles.
Responsable de traitement : l'organisme qui décide des finalités (club, association, université) ; sous-traitant : l'éditeur d'une application utilisée.

Principes

Licéité (base légale : consentement, contrat, intérêt légitime, obligation légale…), finalité déterminée, minimisation (collecter le strict nécessaire), exactitude, durée de conservation limitée, sécurité, transparence (informer les personnes). Droits : accès, rectification, effacement, opposition, limitation, portabilité.

Mineurs

D'après la CNIL (article 45 de la loi Informatique et Libertés), en France un mineur de 15 ans ou plus peut consentir seul à certains traitements dans le cadre de services en ligne ; en dessous de 15 ans, le consentement est donné conjointement par l'enfant et un titulaire de l'autorité parentale. Pour les photos et vidéos d'enfants, privilégiez l'autorisation écrite des parents (voir le chapitre vidéo et réseaux sociaux). Les règles précises sont à vérifier sur cnil.fr.

Sanctions

L'article 83 du RGPD prévoit deux niveaux de plafond : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (§ 4, obligations du responsable de traitement et du sous-traitant, par exemple), et jusqu'à 20 millions d'euros ou 4 % (§ 5, principes de base, droits des personnes, transferts hors UE). Pour une entreprise, le montant le plus élevé des deux est retenu. Ce sont des plafonds, non des montants usuels : les petites structures sont rarement concernées par de tels niveaux, mais la responsabilité existe.

Cybersécurité de base

Mots de passe longs et uniques, gestionnaire de mots de passe, authentification à deux facteurs.
Mises à jour régulières, antivirus, sauvegardes (règle 3-2-1 : trois copies, deux supports, une hors site).
Hameçonnage (phishing) : méfiez-vous des liens et pièces jointes, vérifiez l'expéditeur.
Réseaux Wi-Fi publics : évitez les opérations sensibles ; chiffrez les appareils.
Partage de fichiers : droits d'accès limités ; ne pas envoyer de données de santé par messagerie personnelle non sécurisée.

Réflexe : en cas de perte ou fuite, alerter la direction et le délégué à la protection des données (DPO) de la structure.

🎯 À retenir

Les données de santé sont des données sensibles.
Minimisation, finalité, durée de conservation limitée, sécurité, transparence.
Consentement des mineurs de moins de 15 ans : conjoint avec les parents (services en ligne, selon la CNIL).
Authentification à deux facteurs et règle de sauvegarde 3-2-1.
En cas de fuite : alerter la direction et le DPO.

⚠️ Erreurs fréquentes

Collecter plus de données que nécessaire « au cas où ».
Partager des résultats nominatifs dans un groupe de messagerie ouvert.

Pour s'entraîner

✅ QCM : Anglais, communication et outils numériques 🃏 Fiches

Calculateurs liés

← IA générative : usages, limites, vérification des sources et éthique universitaire Certifications : TOEIC, TOEFL, IELTS, Pix et C2i →