À la rentrée, les familles signent une pile de papiers : autorisation de photographier l’enfant, règlement de l’espace numérique de travail, charte d’usage de la tablette, inscription à l’application de vie scolaire. Puis l’année avance : la photo de classe apparaît sur le site de l’école, le trombinoscope circule sur les réseaux, les notes et les appréciations s’accumulent dans des logiciels choisis par l’établissement ou la collectivité, parfois hébergés hors d’Europe. Quand un parent demande le retrait d’une image ou la suppression d’un compte, la réponse tarde ou se heurte à un refus poli : les données seraient nécessaires à la scolarité.
L’actualité juridique de 2026 a changé la donne. Le 24 août 2026, la CNIL a publié un rappel des règles applicables aux écoles, collèges et lycées qui utilisent des outils collaboratifs en ligne, espaces numériques de travail ou solutions alternatives (CNIL, enseignement des premier et second degrés : bonnes pratiques pour les outils collaboratifs). Le 5 décembre 2025, le décret n° 2025-1165 relatif au cadre de référence du numérique pour l’éducation a imposé aux collèges et lycées publics des prescriptions techniques de sécurité, d’interopérabilité et de numérique responsable (décret n° 2025-1165 du 5 décembre 2025). Le 20 mai 2026, le Conseil d’État a jugé le recours de parents contre la clôture par la CNIL de leur plainte visant la charte RGPD d’une école parisienne (CE, 20 mai 2026, n° 504639). Et le 24 juin 2026, la Cour de cassation a fixé les conditions de la réparation d’une violation du RGPD (Cass. soc., 24 juin 2026, n° 24-22.792).
Pour s’y retrouver, identifiez d’abord les trois traitements en cause : les images de l’enfant (photo de classe, trombinoscope, site de l’école), les données de scolarité dans l’ENT (notes, absences, travaux, messages) et les traces des applications annexes (cookies, géolocalisation, notifications). Le responsable du traitement est l’établissement ou, pour le public, l’éducation nationale et la collectivité qui déploie l’outil ; l’éditeur du logiciel agit comme sous-traitant lié par un contrat écrit ; l’enfant et ses parents sont les personnes concernées, titulaires des droits. C’est sur cette carte des rôles que se joue chaque demande.
Cet article explique ce que l’école, publique ou privée, peut exiger en matière d’images et d’outils numériques, ce que les parents peuvent refuser sans conséquence pour la scolarité, et comment obtenir l’accès, le retrait et l’effacement des données de l’enfant, devant l’établissement, devant la CNIL et devant le juge.
I. Photos de classe et outils numériques imposés : ce que l’école peut exiger et ce que les parents peuvent refuser
A. L’image de votre enfant : une autorisation écrite préalable que vous pouvez refuser ou retirer
Photographier un élève puis diffuser son image sont deux traitements distincts, qui obéissent à deux logiques juridiques cumulatives : le droit à l’image issu du droit civil et le droit des données personnelles. Le premier principe tient en une phrase du Code civil : « Chacun a droit au respect de sa vie privée. » L’image d’une personne fait partie de sa vie privée, et celle d’un enfant bénéficie d’une protection renforcée. Les ressources officielles de l’éducation nationale déclinent cette exigence pour les écoles, avec un modèle d’autorisation parentale qui sépare la captation, chaque usage et chaque support de diffusion (modèle d’autorisation image et voix du mineur).
Concrètement, l’administration propose chaque année un modèle d’autorisation parentale d’enregistrement et d’utilisation de l’image et de la voix du mineur, diffusé par Éduscol (modèle d’autorisation image et voix du mineur). Ce document distingue les usages internes (affichage dans la classe, carnet de liaison) des diffusions externes (site internet de l’école, réseaux sociaux, presse locale), avec des cases à cocher séparées et une durée limitée. Les parents peuvent cocher oui pour la photo de classe affichée dans l’école et non pour la mise en ligne : ce tri est le cœur du dispositif, et l’établissement doit le respecter.
La règle administrative est stricte. Le site officiel Service-public précise que que l’autorisation écrite et préalable des parents ou du responsable légal est obligatoire lorsque l’image d’un mineur est diffusée par un tiers, et que pour une photo de groupe d’enfants, l’autorisation écrite des parents de chaque enfant est exigée (droit à l’image et respect de la vie privée). Une photo de classe mise en ligne sans l’autorisation écrite d’une seule famille expose donc l’établissement, même si tous les autres parents ont accepté. Le même site invite les parents à demander l’accord de l’enfant lui-même dès qu’il est en âge de comprendre.
Quand les parents sont en désaccord sur la diffusion, la prudence s’impose à l’école : le site Service-public rappelle qu’en cas de désaccord entre les parents, le juge aux affaires familiales peut interdire à un parent de diffuser toute image de son enfant sans l’autorisation de l’autre (droit à l’image et respect de la vie privée). Signalez par écrit tout désaccord au directeur, de sorte que l’établissement ne puisse pas se retrancher derrière la signature d’un seul parent. Par ailleurs, lorsque l’enfant est en âge de comprendre, son accord doit être recherché en plus de l’autorisation parentale : un collégien qui refuse d’apparaître sur le compte public de l’établissement doit être entendu, et son refus documente utilement une demande de retrait.
Le refus ou le retrait de l’autorisation ne peut pas pénaliser la scolarité. Aucun texte ne permet d’exclure un élève de la photo de classe au sens de la prise de vue souvenir ni, à l’inverse, de conditionner l’inscription ou la scolarité à l’acceptation de la diffusion. Quand l’autorisation est retirée en cours d’année, l’école doit cesser toute nouvelle diffusion et retirer l’image des supports qu’elle maîtrise : pages de son site, comptes de réseaux sociaux, écrans d’accueil. Pour les supports déjà imprimés et distribués, comme l’album souvenir remis aux familles, le retrait matériel est impossible, mais toute réimpression ou rediffusion doit exclure l’enfant. Conservez la preuve de votre refus ou de votre retrait : autorisation renvoyée avec mentions manuscrites, courriel au directeur, lettre recommandée. Ces pièces feront foi en cas de litige.
Quand l’image reste en ligne malgré la demande, le juge des référés peut être saisi en urgence. Service-public l’indique sans détour : en cas de refus, il est possible de saisir le juge, y compris en urgence, pour obtenir le retrait de l’image, ainsi que des dommages-intérêts et le remboursement des frais d’avocat (droit à l’image et respect de la vie privée). Le 11 mars 2026, le tribunal judiciaire de Paris, statuant en référé, a condamné l’auteur d’une publication montrant deux enfants à verser à chacun « la somme de 2.000 euros à valoir sur la réparation du préjudice moral résultant de l’atteinte faite au droit à l’image » (TJ Paris, ord. réf., 11 mars 2026, n° 25/58661). Le montant reste modeste et versé à titre de provision, mais la décision montre que les juridictions sanctionnent vite et concrètement l’exposition d’enfants sans droit.
B. ENT, messagerie et applis de vie scolaire : la mission de service public comme base légale, avec des garde-fous stricts
Notes, appréciations, relevés d’absence, travaux déposés en ligne, messages entre familles et enseignants, coordonnées des responsables légaux : l’espace numérique de travail et les applications de vie scolaire concentrent des données sensibles sur des mineurs, à grande échelle. Le législateur a organisé ce mouvement : le Code de l’éducation prévoit qu’« un service public du numérique éducatif et de l’enseignement à distance est organisé », chargé notamment de mettre à disposition des écoles une offre de services numériques et des outils de suivi des élèves et de communication avec les familles (article L. 131-2 du Code de l’éducation).
Cette mission de service public détermine la base légale du traitement. Le RGPD autorise le traitement quand le traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique (article 6, paragraphe 1, point e, du RGPD). Dans son rappel du 24 août 2026, la CNIL en tire deux conséquences. D’abord, les établissements publics comme privés doivent fonder les outils collaboratifs sur cette mission d’intérêt public, prévue par l’article L. 131-2 du Code de l’éducation. Ensuite, le consentement des élèves ou des parents peut difficilement être retenu comme base légale (CNIL, bonnes pratiques pour les outils collaboratifs), car dans la relation d’autorité de l’école, le choix n’est jamais totalement libre. Autrement dit, l’école ne peut pas vous faire signer un consentement pour masquer l’absence de garanties, mais elle n’a pas besoin de votre consentement pour faire fonctionner l’ENT nécessaire à la scolarité. La limite se situe entre les usages imposés par la mission — cahier de textes, notes, absences — et les usages annexes — applications facultatives, cookies de mesure, newsletters — qui exigent chacun leur propre base légale.
Le deuxième garde-fou concerne les traceurs. La CNIL rappelle que le principe de neutralité du service public de l’éducation, incluant la neutralité commerciale, interdit en principe les traceurs publicitaires, et que le responsable de traitement doit faire désactiver ces fonctionnalités par l’éditeur (CNIL, bonnes pratiques pour les outils collaboratifs) si l’outil choisi en contient. Un ENT qui profile les élèves à des fins publicitaires ou revend des données de navigation est donc irrégulier, même quand l’établissement n’en a pas conscience. Les parents qui découvrent des bandeaux publicitaires ou des traceurs tiers dans l’outil scolaire tiennent un grief sérieux, à signaler au directeur et au délégué à la protection des données.
Le troisième garde-fou est l’information. Le RGPD exige qu’elle soit fournie de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, avec une attention particulière pour l’information destinée aux enfants (article 12, paragraphe 1, du RGPD). La CNIL demande une information adaptée aux mineurs, en langage clair, et recommande la méthode facile à lire et à comprendre (FALC) pour les élèves en difficulté. Une charte de vingt pages en jargon juridique ne satisfait pas cette exigence. L’information doit préciser les finalités, les destinataires, les transferts hors Union européenne, les durées de conservation et les droits des familles.
Le quatrième garde-fou vise le prestataire. L’éditeur de l’ENT agit comme sous-traitant : l’établissement ne doit faire appel uniquement à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles (article 28, paragraphe 1, du RGPD). Le contrat doit être écrit et définir l’objet et la durée du traitement, sa nature et sa finalité, les types de données et les catégories de personnes concernées (article 28, paragraphe 3, du RGPD), avec le sort des données en fin de contrat : réversibilité puis suppression (article 28, paragraphe 3, du RGPD). Quand l’éditeur est américain ou héberge les données hors d’Europe, le chapitre V du RGPD impose un encadrement des transferts, et la CNIL recommande la qualification SecNumCloud de l’ANSSI, qui garantit la soumission exclusive du prestataire au droit européen. Pour les collèges et lycées publics, le décret du 5 décembre 2025 ajoute des prescriptions techniques obligatoires de sécurité et d’interopérabilité : la CNIL précise qu’il impose aux collèges et lycées publics des outils et services numériques respectant des prescriptions techniques de sécurité, d’interopérabilité et de numérique responsable fixées par le ministre (CNIL, bonnes pratiques pour les outils collaboratifs). Les familles peuvent donc exiger de savoir où sont hébergées les données de leur enfant et sur quel contrat repose l’outil. La négociation et la vérification de ces contrats informatiques et clauses de sous-traitance relèvent d’un travail juridique précis, que les établissements comme les éditeurs ont intérêt à faire contrôler.
Entre deux années scolaires, les données doivent suivre des durées de conservation limitées : le droit d’accès couvre la durée de conservation envisagée ou, à défaut, les critères permettant de la déterminer (article 15 du RGPD). Les notes et dossiers d’un élève parti doivent être archivés ou supprimés selon les référentiels applicables, jamais conservés indéfiniment dans l’ENT à des fins indéterminées. La chaîne de sous-traitance mérite la même attention : hébergeur, éditeur, maintenance et support se succèdent souvent, et le Comité européen de la protection des données a adopté en octobre 2024 un avis sur les obligations liées au recours à des sous-traitants et sous-traitants ultérieurs, qui peut aussi aider les responsables de traitement (avis 22/2024 du CEPD, relayé par la CNIL). Les familles peuvent demander la liste complète de ces acteurs.
Les familles disposent d’un interlocuteur dédié : le délégué à la protection des données, désigné par l’éducation nationale à l’échelle académique et par les grands établissements privés. Demandez ses coordonnées dans votre premier courrier et mettez-le en copie : il conseille l’établissement et doit être associé aux analyses d’impact, car le responsable du traitement qui mène une analyse d’impact doit demander conseil au délégué à la protection des données quand un tel délégué a été désigné (article 35 du RGPD). Son silence ou son absence de réponse documente la carence de l’établissement devant la CNIL.
Le cinquième garde-fou est l’analyse d’impact. Quand le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, le responsable du traitement doit effectuer, avant le traitement, une analyse de l’impact des opérations envisagées sur la protection des données (article 35, paragraphe 1, du RGPD). La CNIL estime que l’analyse d’impact sera nécessaire dans la majorité des cas scolaires, dès que deux critères européens sont réunis : personnes vulnérables que sont les mineurs, traitement à grande échelle, données sensibles comme la santé. Un établissement qui déploie une nouvelle plateforme sans analyse d’impact commet une faute de conformité que la CNIL peut sanctionner et que le juge peut retenir.
II. L’école refuse le retrait ou l’effacement : plainte CNIL, juge et réparation
A. Écrire à l’école, exiger l’accès et l’effacement, et tirer les leçons de l’affaire de la charte RGPD d’une école parisienne
Avant tout recours, adressez une demande écrite et précise au directeur de l’école ou au chef d’établissement, avec copie au délégué à la protection des données dont les coordonnées figurent dans les mentions d’information. Trois droits sont directement utiles. Le droit d’accès permet d’obtenir la confirmation que des données la concernant sont ou ne sont pas traitées et, dans l’affirmative, l’accès à ces données et aux informations qui les accompagnent (article 15, paragraphe 1, du RGPD) : finalités, catégories de données, destinataires, durée de conservation, droits disponibles (article 15, paragraphe 1, du RGPD). Demandez la copie des photographies conservées, la liste des diffusions effectuées et l’identité des destinataires, éditeur de l’ENT compris. Le droit à l’effacement permet d’obtenir l’effacement de ses données dans les meilleurs délais dès que l’un des motifs légaux s’applique (article 17, paragraphe 1, du RGPD), par exemple des données devenues inutiles au regard de leur finalité ou un traitement illicite (article 17, paragraphe 1, du RGPD). Le droit d’opposition permet de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, aux traitements fondés sur la mission d’intérêt public (article 21, paragraphe 1, du RGPD), ce qui vise exactement les traitements scolaires fondés sur la mission d’intérêt public (article 21, paragraphe 1, du RGPD). L’établissement doit alors cesser le traitement, sauf à démontrer des motifs légitimes et impérieux qui prévaudraient sur vos intérêts.
L’établissement doit répondre dans les meilleurs délais et au plus tard sous un mois à compter de la réception de la demande (article 12, paragraphe 3, du RGPD), délai prolongeable de deux mois en cas de demandes complexes, avec information motivée du report (article 12, paragraphe 3, du RGPD). Pour rendre ce délai opposable, structurez votre courrier : identité de l’enfant et de chaque titulaire de l’autorité parentale, traitement visé (photo de classe, ENT nommé, application précise), droit invoqué avec son article, action attendue (retrait, effacement, copie), et date butoir à un mois. Envoyez en recommandé ou par courriel avec accusé, et conservez tout. L’absence de réponse dans le délai vaut refus et ouvre la réclamation CNIL.
L’affaire jugée par le Conseil d’État le 20 mai 2026 montre l’issue typique de ce bras de fer et ses limites (CE, 20 mai 2026, n° 504639). Des parents avaient saisi la CNIL contre l’article 8 de la charte RGPD d’une école parisienne, qui informait les familles de leurs droits d’accès, de rectification, d’opposition, de portabilité et d’effacement, tout en les prévenant que l’exercice des droits d’opposition, de portabilité et d’effacement entraînerait de fait la désinscription de l’élève, au motif que ces données étaient nécessaires au traitement. La CNIL a mis l’école en demeure de se mettre en conformité avec ses obligations d’information, puis, au vu des réponses et des mesures prises, a clôturé la mise en demeure et informé les parents de la clôture de leur plainte. Les parents ont contesté cette clôture devant le Conseil d’État, qui a rejeté leurs requêtes comme irrecevables : la charte contestée avait été publiée après le départ définitif de leur enfant, de sorte que leur saisine ne présentait pas le caractère d’une réclamation au sens de l’article 77 et qu’aucune décision contraignante à leur égard n’avait pu naître au sens de l’article 78.
Trois enseignements se dégagent. D’abord, une école ne peut pas lier l’exercice des droits à la désinscription : la CNIL a exigé la modification de la clause, et la mise en conformité a été obtenue. Si la charte ou le règlement de l’école de votre enfant contient une formule équivalente, contestez-la par écrit en visant les articles 12 et 13 du RGPD. Ensuite, la CNIL privilégie la mise en demeure et la mise en conformité avant la sanction : sa mise en demeure repose sur l’article 20 de la loi du 6 janvier 1978, et la clôture intervient quand l’établissement corrige. Enfin, pour contester utilement une clôture, il faut être personnellement concerné par le traitement dénoncé : des parents dont l’enfant a quitté l’école avant la clause litigieuse n’ont pas qualité pour agir. Agissez donc pendant la scolarité, pour votre enfant, sur des faits précis et datés.
B. Saisir la CNIL et le juge : réclamation, recours effectif et réparation du préjudice
Si l’école ne répond pas dans un délai d’un mois ou oppose un refus, toute personne concernée peut introduire une réclamation auprès de l’autorité de contrôle quand elle estime subir une violation du règlement (article 77, paragraphe 1, du RGPD), que le Conseil d’État rappelle en ces termes : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, (…), si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». La loi française confie cette mission à la CNIL, qui « traite les réclamations, pétitions et plaintes introduites par une personne concernée », selon la formule rappelée par le Conseil d’État dans sa décision du 20 mai 2026. Joignez à la plainte vos demandes écrites, les réponses de l’établissement, les captures des diffusions et, pour l’ENT, les mentions d’information et le nom de l’éditeur. L’autorité doit vous informer de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel.
Quand la CNIL ne traite pas la réclamation ou garde le silence, le RGPD ouvre un recours direct. Toute personne peut former un recours juridictionnel effectif contre une décision contraignante de l’autorité de contrôle qui la concerne (article 78, paragraphe 1, du RGPD), dans les termes rappelés par le Conseil d’État : « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne ». Le même article ouvre ce recours quand l’autorité ne traite pas une réclamation ou garde le silence plus de trois mois sur son avancement ou son issue.. En France, ce recours contre la CNIL relève du Conseil d’État. La décision du 20 mai 2026 en précise le filtre : le requérant doit justifier d’un intérêt personnel, né d’un traitement qui le concerne ou concerne son enfant au moment des faits. Une plainte abstraite ou tardive, sans lien avec votre situation, sera déclarée irrecevable, même si la CNIL est intervenue au fond pour faire corriger l’établissement.
Quand la photo a été prise ou publiée sans accord dans un lieu privé, la voie pénale s’ajoute aux recours civils et administratifs : elle reste ouverte quand la photo a été prise ou publiée sans accord dans un lieu privé, ou quand la publication porte atteinte à la vie privée (droit à l’image et respect de la vie privée). La plainte se dépose au commissariat, à la gendarmerie ou par courrier au procureur de la République, et n’exclut ni la demande de retrait en référé ni l’action en réparation.
Parallèlement, le juge judiciaire protège l’image et répare le dommage. Le retrait en référé a été décrit plus haut. Pour l’indemnisation, deux fondements se combinent. Le RGPD proclame que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82, paragraphe 1, du RGPD, cité par la Cour de cassation). Le droit civil ajoute que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du Code civil).
Mais la Cour de cassation a verrouillé l’automaticité le 24 juin 2026 : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et le juge doit vérifier si la victime établit que la violation lui a causé un dommage matériel ou moral (Cass. soc., 24 juin 2026, n° 24-22.792). L’arrêt s’appuie sur la Cour de justice de l’Union européenne : la simple violation ne suffit pas, sans seuil de gravité exigible pour le dommage moral, la réparation étant intégrale mais seulement compensatoire, jamais punitive. Pour les familles, la leçon est pratique : constituez dès le premier refus un dossier de préjudice. Faites constater la diffusion par captures datées et constats, conservez les échanges avec l’école et l’éditeur, recueillez les attestations de proches ou d’enseignants sur l’anxiété, la moquerie ou l’isolement de l’enfant, et faites établir tout suivi médical ou psychologique. Chiffrez le temps passé et les frais engagés. Le juge qui constate une violation sans dommage prouvé rejette l’indemnisation ; celui qui reçoit un préjudice documenté alloue une réparation intégrale, dans la limite du dommage établi, sans fonction punitive. Documentez donc le préjudice réel — anxiété de l’enfant moqué pour sa photo, harcèlement né de la diffusion, temps passé à faire retirer les images, démarches auprès de l’éditeur, refus d’accès aux données — avec certificats, attestations et échanges datés. Un dossier qui prouve un dommage concret obtient réparation ; une violation abstraite, même avérée, n’ouvre droit à rien.
Conclusion
À la rentrée 2026, le cadre est plus protecteur qu’il n’y paraît : autorisation écrite préalable pour l’image de l’enfant, refus et retrait sans conséquence sur la scolarité, ENT fondé sur la mission de service public avec interdiction des traceurs publicitaires, information adaptée aux mineurs, contrat de sous-traitance écrit, analyse d’impact quasi systématique, hébergement et transferts encadrés, et décret du 5 décembre 2025 pour les collèges et lycées publics. Quand l’établissement s’y refuse, la voie est balisée : demande écrite au directeur et au délégué à la protection des données, réclamation CNIL, recours au Conseil d’État contre une clôture qui vous concerne, référé pour le retrait des images, action en réparation sur un préjudice prouvé. Les décisions du Conseil d’État du 20 mai 2026 et de la Cour de cassation du 24 juin 2026 donnent le mode d’emploi et les limites : agir vite, pendant la scolarité, avec des pièces précises, sans attendre de la CNIL ou du juge une sanction automatique.
Besoin d’un avis rapide sur votre dossier
Pour un avis sur votre dossier en numérique et données personnelles, Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique : 80 EUR TTC. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.