À la rentrée, l’école remet à chaque famille une fiche d’autorisation : photographier votre enfant pour la photo de classe, le journal de l’école, le site internet de l’établissement, parfois la page du réseau social de la commune. Dans le même temps, votre enfant reçoit des identifiants pour l’espace numérique de travail, badge sa cantine, et certains établissements expérimentent des contrôles d’accès biométriques. Face à ces demandes simultanées, beaucoup de parents signent sans mesurer la portée de leur accord, ou refusent sans savoir comment faire respecter ce refus. Les règles applicables distinguent pourtant nettement chaque usage : l’image de l’enfant relève d’un régime d’autorisation écrite stricte, les données numériques de l’élève relèvent du règlement général sur la protection des données, et la biométrie relève d’une interdiction de principe. Cet article décrit ce que l’établissement peut collecter, ce qu’il doit vous demander, et les recours concrets dont vous disposez quand il dépasse les limites : retrait de l’autorisation, effacement, opposition, plainte devant la CNIL et action devant le juge.

I. Ce que l’école peut collecter sur votre enfant, et à quelles conditions

A. Photos, vidéos et trombinoscope : l’autorisation écrite des parents est obligatoire

Le principe est posé par la Commission nationale de l’informatique et des libertés : toute personne dispose sur son image d’« un droit exclusif » et peut s’opposer à sa reproduction et à sa diffusion. Lorsqu’un établissement scolaire veut utiliser les photographies de ses élèves dans le journal de l’école, sur un trombinoscope ou sur son site, il doit donc obligatoirement obtenir le consentement des parents ou représentants légaux des mineurs, et « Cet accord doit être écrit. » Cette exigence ne souffre aucune approximation : un accord verbal donné à la sortie des classes, une case cochée sans information claire ou un formulaire noyé dans la liasse de rentrée sans explication ne valent pas consentement éclairé.

Le site officiel service-public.fr le confirme avec une précision utile aux familles : Si l’image est diffusée par un tiers, l’autorisation des parents ou du responsable légal doit obligatoirement être obtenue « par écrit ». Et surtout, il n’y a « pas d’exception », y compris pour le journal et l’intranet d’une école. L’argument selon lequel la diffusion resterait interne à l’établissement, cantonnée à l’intranet ou au journal distribué aux seules familles, ne dispense donc pas l’école de recueillir votre accord écrit. Pour les photos de groupe, l’exigence est individuelle : Pour un groupe d’enfants, l’autorisation écrite des parents de « chaque enfant » est obligatoire. Il suffit qu’un seul parent refuse pour que l’image de son enfant doive être exclue du support ou floutée.

Depuis février 2024, cette protection a été renforcée dans le code civil. L’article 372-1 dispose que « Les parents protègent en commun le droit à l’image de leur enfant mineur, dans le respect du droit à la vie privée mentionné à l’article 9. » Le texte ajoute que les parents associent l’enfant à l’exercice de son droit à l’image, selon son âge et son degré de maturité. L’article 9 du code civil dispose : « Chacun a droit au respect de sa vie privée. » Concrètement, deux conséquences en découlent pour la vie scolaire. D’abord, l’autorisation donnée par un seul parent ne suffit pas lorsque les deux parents exercent l’autorité parentale : l’article 371-1 du code civil rappelle que cette autorité a pour finalité « l’intérêt de l’enfant », et la justice juge que les atteintes au droit à l’image de l’enfant constituent des actes non usuels qu’un parent ne peut accomplir seul. Ensuite, l’enfant lui-même doit être associé à la décision dès qu’il est en âge de comprendre, ce que service-public.fr rappelle également : lorsque les parents souhaitent publier l’image de leur enfant et que ce dernier est en âge de comprendre, ils doivent lui demander son accord. En cas de désaccord entre les parents sur la diffusion de l’image de leur enfant, le juge aux affaires familiales peut interdire à un parent de diffuser toute image de son enfant sans l’autorisation de l’autre parent.

Le régime du consentement applicable aux données personnelles complète cette protection. L’article 7 du règlement général sur la protection des données (RGPD) prévoit que la personne concernée a le droit de retirer son consentement à tout moment, et précise qu’il est aussi simple de retirer que de donner son consentement Le retrait ne remet pas en cause la licéité des utilisations antérieures, mais il impose à l’établissement de cesser toute diffusion future et de retirer les images déjà publiées sur les supports qu’il maîtrise, comme le site de l’école ou son intranet. Pour les enfants de moins de quinze ans, l’article 45 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dispose : « un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information à compter de l’âge de quinze ans. » En dessous de cet âge, le traitement n’est licite que si le consentement est donné conjointement par le mineur et le titulaire de l’autorité parentale. Au niveau européen, l’article 8 du RGPD fixe le seuil de principe à seize ans tout en permettant aux États membres de l’abaisser sans descendre en dessous de treize ans : ce traitement n’est licite, pour un enfant de moins de seize ans, que si le consentement est donné ou autorisé par [« le titulaire de la responsabilité parentale »] La France a retenu quinze ans, ce qui signifie qu’avant cet âge, l’accord parental reste incontournable pour les services en ligne proposés à l’enfant.

La validité de votre accord dépend aussi de la qualité de l’information reçue. Le RGPD exige que toute information destinée aux personnes concernées soit fournie d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée [« spécifiquement à un enfant »]. Pour les mineurs, l’article 45 de la loi du 6 janvier 1978 ajoute : « Le responsable de traitement rédige en des termes clairs et simples, aisément compréhensibles par le mineur, les informations et communications relatives au traitement qui le concerne. » Un formulaire qui se borne à une case unique « j’autorise l’école à photographier mon enfant » sans préciser les supports de diffusion, les destinataires, la durée de conservation ni la possibilité de retirer l’autorisation ne satisfait pas à cette exigence. Exigez un formulaire différencié : photo de classe affichée dans l’école, journal interne, site internet public, compte de réseau social de la commune. Vous pouvez accepter l’un et refuser l’autre, et votre refus partiel doit être respecté au même titre qu’un refus total. Notez également que la photographie prise par le photographe professionnel pour la traditionnelle photo de classe annuelle n’est pas un traitement de l’école mais une prestation commerciale : l’achat du tirage reste facultatif, et l’utilisation de ce cliché par l’établissement pour d’autres supports suppose votre accord distinct.

B. Espace numérique de travail, badges et biométrie : un régime gradué, de l’obligation légale à l’interdiction de principe

L’espace numérique de travail (ENT), les identifiants de connexion, les notes et les absences en ligne ne reposent pas sur votre consentement. L’article 6 du RGPD énumère les fondements qui rendent un traitement licite, et l’école publique traite ces données pour l’exécution de sa [« mission d’intérêt public »], qui rend licite le traitement nécessaire à son accomplissement. Vous ne pouvez donc pas exiger la suppression du compte ENT de votre enfant ni vous opposer par principe à la gestion informatisée de sa scolarité. En revanche, ce fondement ne donne pas un blanc-seing à l’établissement : les données doivent rester limitées à ce qui est nécessaire à la scolarité, leur conservation doit être bornée dans le temps, et l’accès doit être réservé aux personnes habilitées. Si l’école utilise l’ENT à d’autres fins, par exemple pour adresser aux familles des communications sans rapport avec la scolarité ou pour profiler les élèves, elle sort du fondement de la mission publique et doit disposer d’une autre base légale. Le même article 6 prévoit d’ailleurs une protection spécifique des mineurs lorsque le traitement repose sur les intérêts légitimes du responsable : le traitement n’est licite que si les intérêts ou libertés fondamentaux de l’enfant ne prévalent pas, le texte visant notamment le cas où [« la personne concernée est un enfant »]

Un cran au-dessus dans l’échelle de sensibilité se trouvent les dispositifs biométriques : contrôle d’accès par empreinte digitale, badgeage de la cantine par reconnaissance du doigt ou de la main, et a fortiori reconnaissance faciale aux portails. L’article 6 de la loi du 6 janvier 1978 interdit par principe de traiter « des données biométriques aux fins d’identifier une personne physique de manière unique », sauf exceptions strictement encadrées. Au niveau européen, l’article 9 du RGPD reprend la même prohibition pour les [« données biométriques »], interdites sauf consentement explicite ou cas limitativement prévus. Pour un établissement scolaire, cela signifie qu’un système biométrique ne peut être déployé qu’avec des garanties renforcées, une information complète des familles, et une alternative non biométrique réellement disponible pour les élèves qui refusent.

La position de la CNIL sur la reconnaissance faciale dans les établissements scolaires illustre l’application concrète de ce régime. Saisie d’un projet d’expérimentation d’un portique de contrôle d’accès par reconnaissance faciale à l’entrée de deux lycées, la Commission a estimé que ce dispositif concernant des élèves, pour la plupart mineurs, dans le seul but de fluidifier et de sécuriser les accès, n’apparaît « ni nécessaire, ni proportionné ». Elle a rappelé que les objectifs de sécurisation et de fluidification pouvaient être atteints par des moyens bien moins intrusifs, comme un contrôle par badge, et a souligné que les risques sont accrus lorsque la reconnaissance faciale s’applique à des mineurs, qui font l’objet d’une protection particulière dans les textes nationaux et européens. Conclusion de la Commission : un tel dispositif ne pouvait être « légalement mis en œuvre ». Cet avis ne vise que la reconnaissance faciale aux accès, mais le raisonnement vaut pour tout dispositif biométrique scolaire : l’établissement doit démontrer la nécessité et la proportionnalité, proposer une alternative, et les familles peuvent contester tout système qui ne remplit pas ces conditions.

Avant de déployer un traitement susceptible d’engendrer un risque élevé, le responsable du traitement doit en outre réaliser une analyse d’impact. L’article 35 du RGPD dispose : lorsqu’un type de traitement est susceptible d’engendrer un [« risque élevé »] pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact du traitement envisagé sur la protection des données Un système biométrique ou de vidéosurveillance algorithmique déployé sans cette analyse préalable est contestable devant la CNIL comme devant le juge administratif.

Les données de la vie scolaire courante appellent la même vigilance sur les durées. Les traces de badgeage à la cantine, les logs de connexion à l’ENT, les enregistrements de passage au portail disent beaucoup des habitudes de votre enfant : heures d’arrivée et de départ, régularité des repas, assiduité. Ces données doivent être effacées dès qu’elles ne sont plus nécessaires à la finalité qui a justifié leur collecte, et leur accès doit être strictement limité aux personnels qui en ont besoin pour leurs missions. Si vous demandez à l’établissement quelles données sont conservées sur votre enfant et pour combien de temps, il doit vous répondre dans un délai précis : le RGPD prévoit que le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, [« dans un délai d’un mois »] à compter de la réception de la demande, et en tout état de cause dans les meilleurs délais. Passé ce délai sans réponse, ou en cas de réponse évasive, vous pouvez saisir la CNIL en joignant la preuve de votre demande restée sans suite. Ce délai d’un mois vaut pour l’accès, la rectification, l’effacement, la limitation et l’opposition : c’est le métronome de tous vos recours préalables.

II. Comment agir quand l’établissement dépasse les limites

A. Refuser, retirer votre autorisation, exiger l’effacement et l’opposition

Le premier réflexe consiste à écrire à l’établissement, en distinguant selon l’usage contesté. Si vous n’avez jamais autorisé la diffusion, rappelez que l’accord écrit préalable est obligatoire et demandez le retrait immédiat des images déjà publiées sur les supports de l’école, ainsi que l’engagement écrit qu’aucune photographie future de votre enfant ne sera diffusée. Si vous aviez autorisé la diffusion en début d’année, notifiez le retrait de votre consentement : l’école doit alors cesser toute nouvelle publication et retirer les images des supports qu’elle contrôle. Adressez ce courrier au chef d’établissement, par un moyen qui prouve la réception, et conservez-en une copie : ces écrits constitueront vos premières pièces en cas de recours. Lorsque les deux parents exercent l’autorité parentale, chacun peut agir, et le désaccord de l’un suffit à faire obstacle à la diffusion.

Le droit à l’effacement vous permet d’aller plus loin que le simple retrait pour l’avenir. L’article 17 du RGPD prévoit que la personne concernée peut obtenir du responsable du traitement l’effacement de ses données [« dans les meilleurs délais »], notamment lorsque la personne retire le consentement sur lequel le traitement est fondé et qu’il n’existe pas d’autre fondement juridique, ou lorsque les données ont fait l’objet d’un traitement illicite. Concrètement, vous pouvez exiger la suppression des photographies de votre enfant sur le site de l’école, l’intranet, les lettres d’information et les comptes de réseaux sociaux gérés par l’établissement ou la collectivité. Si la photographie a été reprise par un moteur de recherche, vous pouvez également engager une demande de déréférencement : notre article consacré aux démarches pour faire déréférencer un contenu vous concernant après un refus de Google décrit cette procédure pas à pas, applicable aux images d’enfants restées indexées en ligne.

Le droit d’opposition couvre les traitements qui ne reposent pas sur votre consentement, comme la gestion de l’ENT ou un dispositif de contrôle d’accès. L’article 21 du RGPD prévoit que la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant [« à sa situation particulière »], à un traitement fondé sur la mission d’intérêt public ou les intérêts légitimes. Le responsable du traitement doit alors cesser le traitement, sauf à démontrer des motifs légitimes et impérieux qui prévalent. Pour un dispositif biométrique scolaire, l’établissement devra justifier concrètement en quoi le système est nécessaire et proportionné, et pourquoi l’alternative non biométrique ne suffit pas. Parallèlement, vous pouvez exercer votre droit d’accès pour savoir exactement quelles données l’établissement détient sur votre enfant : notre article sur la procédure à suivre quand un organisme refuse de vous remettre la copie de vos données personnelles détaille les délais et les recours applicables à cette demande préalable.

Sur le terrain du droit à l’image, la justice rappelle avec constance que la simple constatation de l’atteinte ouvre droit à réparation. Dans une ordonnance de référé rendue le 11 mars 2026 à propos de photographies d’enfants mineurs diffusées sans l’autorisation des représentants légaux, le tribunal judiciaire de Paris a rappelé que la seule constatation de l’atteinte portée à la vie privée et au droit de chacun de s’opposer à la publication de son image caractérise l’urgence et ouvre droit à réparation, en se fondant sur deux arrêts de la première chambre civile de la Cour de cassation du 12 décembre 2000. Le tribunal a alloué à cette occasion une provision de 2 000 euros par enfant, en retenant que la minorité des enfants imposait qu’ils soient plus particulièrement protégés, tout en modulant le montant au regard de la faible audience du message et de la durée de diffusion réduite. Cette décision, rendue dans un contexte de publication sur un réseau social, éclaire le raisonnement applicable aux diffusions scolaires : l’atteinte se constate, le préjudice s’apprécie concrètement, et la qualité de mineur aggrave l’exigence de protection. Le juge y applique également l’article 372-1 du code civil en retenant que les atteintes au droit à l’image de l’enfant sont des actes non usuels qu’un parent ne peut accomplir seul, ce qui conforte les familles dont un seul parent aurait signé l’autorisation.

Pour mettre toutes les chances de votre côté, soignez le contenu de vos courriers. Indiquez votre identité et votre qualité de représentant légal, identifiez précisément l’enfant concerné, décrivez les faits avec dates et supports, formulez une demande explicite assortie d’un délai, et rappelez le fondement invoqué : absence d’autorisation écrite, retrait du consentement, effacement, opposition. La CNIL met à disposition des modèles de courrier pour exercer ces droits, que vous pouvez adapter à la situation scolaire. Envoyez vos demandes par un moyen qui établit la réception et conservez l’ensemble des échanges : formulaires de rentrée, autorisations signées, captures d’écran datées des pages où l’image apparaît, réponses de l’établissement. Ces pièces feront la différence si vous devez ensuite saisir la CNIL ou le juge, car elles établissent à la fois le manquement et votre diligence préalable. Si l’image litigieuse circule déjà entre parents d’élèves sur des groupes de messagerie, demandez par écrit à chaque diffuseur identifiable de la supprimer, sans polémique : la plupart des situations se règlent à ce stade, et vos écrits mesurés démontreront votre bonne foi si le litige persiste.

B. Saisir la CNIL et le juge, et obtenir réparation du préjudice

Si l’établissement ne répond pas ou maintient la diffusion, la plainte devant la CNIL constitue la deuxième étape. L’article 77 du RGPD dispose que toute personne qui estime qu’un traitement de données la concernant viole le règlement peut introduire [« une réclamation auprès d’une autorité de contrôle »] En pratique, la CNIL attend que vous ayez d’abord effectué des démarches préalables auprès de l’organisme : conservez donc vos courriers au chef d’établissement et, le cas échéant, au délégué à la protection des données de l’académie ou de la collectivité. Joignez à votre plainte les captures d’écran des diffusions litigieuses, les formulaires d’autorisation signés ou refusés, et la chronologie de vos demandes. La CNIL peut alors instruire le dossier, mettre l’établissement en demeure de se mettre en conformité, et prononcer des sanctions en cas de manquement persistant. Pour un dispositif biométrique déployé sans garanties, la plainte peut utilement viser l’absence d’analyse d’impact, le défaut d’alternative non biométrique et le caractère disproportionné du système au regard de l’avis rendu par la Commission sur les lycées.

La voie judiciaire reste ouverte en parallèle, sans attendre l’issue de la plainte. En cas d’urgence, le juge des référés peut être saisi « Dans tous les cas d’urgence » pour ordonner le retrait et allouer une provision : par exemple une photographie de votre enfant diffusée sur un site public ou un réseau social à quelques jours d’un événement scolaire médiatisé. Ce pouvoir résulte de l’article 835 du code de procédure civile, selon lequel le juge peut « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ». La décision parisienne de mars 2026 montre que le retrait de la publication avant l’assignation ne fait pas obstacle à la réparation : le tribunal a jugé ce moyen inopérant, dès lors que la seule constatation de l’atteinte ouvre droit à indemnisation. Au fond, l’article 82 du RGPD dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir [« réparation du préjudice subi »] Le préjudice moral de l’enfant exposé sans autorisation, l’inquiétude des parents et, le cas échéant, les conséquences concrètes d’une diffusion mal maîtrisée, comme des moqueries à l’école ou une reprise malveillante de l’image en ligne, entrent dans le champ de cette réparation. L’action peut être dirigée contre l’établissement public ou la collectivité responsable du traitement, et le juge apprécie le montant au regard de la nature de l’atteinte et des éléments versés aux débats.

Quelques situations appellent enfin une vigilance particulière. Lorsque les parents sont séparés et en désaccord, l’école ne peut se contenter de l’autorisation d’un seul : elle doit recueillir l’accord des deux titulaires de l’autorité parentale, et le parent qui s’oppose peut saisir le juge aux affaires familiales. Lorsque l’enfant est en âge de comprendre, son avis doit être recueilli en plus de l’autorisation parentale, et son refus clairement exprimé doit être respecté. Lorsque la diffusion émane non de l’école mais d’un autre parent d’élève qui publie la photo de classe sur ses réseaux sociaux, le recours s’exerce directement contre l’auteur de la publication sur le fondement du droit à l’image, selon les mêmes principes rappelés par le tribunal judiciaire de Paris. Et lorsque l’établissement invoque la sécurité pour justifier un dispositif biométrique ou de vidéosurveillance, exigez la communication de l’analyse d’impact et de la base légale précise : la sécurité des élèves est une finalité légitime, mais elle n’autorise pas tous les moyens, comme la CNIL l’a rappelé pour la reconnaissance faciale dans les lycées.

Préparez enfin l’hypothèse où la diffusion litigieuse émane d’un support que l’école ne maîtrise pas entièrement, comme la page d’une association de parents d’élèves ou le site de la commune. Adressez votre demande à chaque responsable de traitement identifié : l’école pour ses propres supports, la mairie pour le site municipal, l’éditeur du réseau social pour le compte concerné. La plainte devant la CNIL peut être déposée en ligne via la page adresser une plainte, après les démarches préalables que vous aurez conservées. Devant le juge, chiffrez votre préjudice avec des éléments concrets : durée d’exposition de l’image, audience du support, âge de l’enfant, circonstances aggravantes comme un contexte de séparation parentale conflictuelle ou de harcèlement scolaire. La décision parisienne de mars 2026 montre que les juges tiennent compte de la minorité pour renforcer la protection, tout en appréciant strictement l’étendue du dommage : une demande documentée, proportionnée et appuyée sur des captures datées obtiendra davantage qu’une réclamation approximative.

En France,En France, l’image et les données scolaires de votre enfant bénéficient donc d’une protection à trois niveaux : l’autorisation parentale écrite et conjointe pour toute diffusion d’image, le consentement ou la mission publique strictement encadrée pour les traitements numériques, et l’interdiction de principe pour la biométrie. Refuser une autorisation de diffusion, retirer un accord donné trop vite, exiger l’effacement des images publiées, contester un dispositif disproportionné puis, si nécessaire, saisir la CNIL et le juge : chaque étape repose sur des textes précis et des décisions récentes qui donnent aux familles des leviers effectifs. Face à la fiche d’autorisation de la rentrée, prenez le temps de lire chaque case, cochez de manière différenciée selon les supports, et gardez une copie de vos choix : c’est ce document, joint à vos courriers ultérieurs, qui fera la force de votre dossier si l’établissement dépasse les limites que vous avez fixées.