Chaque année, des milliers d’enseignants de l’académie de Versailles saisissent des bilans périodiques, des évaluations de compétences et des résultats d’élèves dans le Livret Scolaire Unique (LSU). Ces données personnelles, protégées par le RGPD, circulent entre plusieurs mains : directeurs, professeurs remplaçants, AESH, parfois personnels municipaux. La question n’est pas de savoir si un incident peut survenir, mais comment réduire concrètement les risques au quotidien.
Habilitations LSU : le maillon faible que personne ne vérifie assez
Vous avez déjà remarqué qu’un collègue parti en mutation l’an dernier conservait encore un accès actif au portail ARENA ? Ce cas de figure est plus fréquent qu’on ne le pense. La CNIL alerte sur le risque de multiplication des accès non maîtrisés dans les environnements scolaires, et recommande de revoir les habilitations au moins une fois par an.
A découvrir également : Comment récupérer son mot de passe entuphf et sécuriser son compte ?
Le problème touche plusieurs profils : enseignants remplaçants affectés quelques semaines, stagiaires en observation, AESH qui changent d’établissement en cours d’année. Sans procédure formalisée de départ et d’arrivée, leurs comptes restent ouverts.
Pour un directeur d’école ou un chef d’établissement, la démarche concrète passe par le portail ARENA Versailles. C’est depuis cet espace que les droits d’accès au LSU sont attribués ou retirés. Voici les étapes à suivre chaque rentrée, et idéalement à chaque mouvement de personnel :
A lire aussi : Habilec7 : optimiser vos séances de travaux pratiques en sécurité électrique
- Lister tous les personnels disposant d’un accès au LSU, y compris les comptes créés pour des remplacements ponctuels ou des missions temporaires.
- Croiser cette liste avec les affectations réelles en cours : tout compte sans titulaire en poste doit être désactivé immédiatement.
- Documenter chaque modification dans un registre interne (même un simple tableur partagé entre direction et secrétariat suffit), en notant la date, le nom et le motif.
Cette vérification prend moins d’une heure par trimestre. Elle constitue pourtant la première barrière contre une consultation non autorisée de données élèves.
Stockage des données scolaires : ce que la charte numérique de Versailles interdit
Un enseignant qui exporte un bilan périodique depuis le LSU pour le retravailler chez lui, puis le stocke sur son Google Drive personnel, enfreint la politique de confiance numérique de l’académie. Ce scénario arrive pourtant régulièrement, souvent par commodité plutôt que par négligence.
Les chartes numériques académiques révisées, dont celle de Versailles, interdisent explicitement le recours à des solutions de stockage grand public non approuvées pour héberger des informations contenant des données personnelles d’élèves. Google Drive personnel, Dropbox, clés USB non chiffrées : tous ces supports sont concernés.
Quelles alternatives utiliser au quotidien ?
L’académie met à disposition plusieurs outils institutionnels accessibles via ARENA. Le cloud académique et les espaces numériques de travail (ENT) validés par la DRANE Île-de-France sont conçus pour respecter le cadre réglementaire. Les données y sont hébergées sur des serveurs conformes au RGPD.
Si vous devez transférer un document contenant des évaluations ou des bilans de compétences, la messagerie professionnelle académique reste le canal à privilégier. Envoyer un fichier de notes via une adresse Gmail ou Outlook personnelle expose les informations des élèves à des conditions d’utilisation sur lesquelles l’Éducation nationale n’a aucun contrôle.
EduConnect et mots de passe : former les familles pour protéger les données
La sécurité du LSU ne dépend pas uniquement des enseignants. Les parents accèdent aux bilans de leurs enfants via EduConnect, le portail d’authentification national. Un identifiant partagé avec un tiers, un mot de passe trop simple ou réutilisé sur d’autres sites, et ce sont les données de scolarité de l’élève qui deviennent vulnérables.
Lors des réunions de rentrée ou des remises de bulletins, quelques minutes suffisent pour rappeler trois principes simples aux familles :
- Ne jamais partager ses identifiants EduConnect, même avec un autre parent ou un membre de la famille élargie, car chaque responsable légal dispose de son propre accès.
- Choisir un mot de passe différent de ceux utilisés pour les réseaux sociaux ou les sites de commerce en ligne, avec au minimum une douzaine de caractères.
- Signaler immédiatement à l’établissement toute connexion suspecte ou tout message demandant de « vérifier » ses identifiants, car l’académie de Versailles n’envoie jamais ce type de sollicitation par courriel.
Sensibilisation en conseil d’école : un sujet à inscrire à l’ordre du jour
La DRANE Île-de-France encourage désormais les équipes à aborder la sécurité des données élèves en conseil d’école ou en conseil pédagogique comme un sujet à part entière. Cette recommandation s’inscrit dans les modules de formation au numérique éducatif déployés depuis peu, qui ciblent les usages d’outils institutionnels comme le LSU, les ENT et la plateforme Éléa.
Concrètement, inscrire ce point à l’ordre du jour d’un conseil d’école permet de formaliser les pratiques. Qui a accès à quoi ? Où sont stockés les exports de bilans ? Les remplaçants reçoivent-ils une information sur les règles de confidentialité dès leur arrivée ?
Passer de l’intention à la trace écrite
Un compte rendu de conseil mentionnant les décisions prises en matière de protection des données constitue une preuve de conformité. En cas de contrôle ou d’incident, ce document montre que l’établissement a pris ses responsabilités. Nul besoin d’un protocole de vingt pages : une demi-page dans le procès-verbal suffit, à condition d’y noter les actions décidées et les responsables désignés.
La protection des données sur le LSU à Versailles repose moins sur des dispositifs techniques sophistiqués que sur des gestes professionnels réguliers : vérifier les accès, utiliser les bons outils de stockage, sensibiliser les familles à EduConnect, formaliser les décisions en conseil. Ces habitudes, une fois ancrées, réduisent la surface d’exposition sans alourdir le quotidien des équipes.
