Ce que les écoles doivent savoir sur le RGPD, la PDPA et la conformité transfrontalière des données

Un aperçu en langage clair des réglementations en matière de protection des données les plus pertinentes pour les écoles internationales, et de leurs implications pratiques pour les administrateurs et les responsables informatiques.

Les écoles internationales occupent une place complexe dans le domaine de la protection des données. Elles collectent et traitent des données personnelles sensibles concernant les élèves, leurs familles et le personnel, et ce, fréquemment dans plusieurs juridictions. Une école basée à Bangkok peut accueillir des élèves originaires de 40 pays, utiliser une plateforme cloud hébergée en Irlande et employer du personnel de nationalités diverses. Chacune de ces caractéristiques peut avoir des implications réglementaires.

Cet article ne constitue pas un avis juridique et les établissements scolaires doivent toujours consulter un avocat qualifié pour obtenir des conseils adaptés à leur situation particulière. Il offre un aperçu pratique des réglementations les plus pertinentes et des questions que tout administrateur scolaire et responsable informatique devrait se poser.

La conformité en matière de protection des données n'est pas un projet ponctuel. Il s'agit d'une responsabilité opérationnelle continue qui concerne la configuration des systèmes, la formation du personnel, la gestion des fournisseurs et la politique de l'établissement. Le point de départ est de bien comprendre les réglementations applicables à votre établissement, et non de supposer qu'un seul cadre de référence couvre tout.

Les principales réglementations et à qui elles s'appliquent

RGPD - Règlement général sur la protection des données (Union européenne)

Le RGPD est la réglementation en matière de protection des données la plus citée au monde. Il s'applique à toute organisation qui traite les données personnelles de personnes résidant dans l'UE ou au Royaume-Uni, quel que soit son lieu d'établissement. Pour les écoles internationales, cela signifie que si vous avez des élèves ou des familles résidant dans l'UE ou au Royaume-Uni, le RGPD est probablement concerné, même si votre école est située en Asie ou au Moyen-Orient.

Les principes clés du RGPD pour les établissements scolaires sont les suivants : ne collecter que les données nécessaires (minimisation des données), ne les conserver que le temps nécessaire (limitation de la conservation), les sécuriser de manière appropriée et faire preuve de transparence envers les familles quant à leur utilisation. Les parents et les élèves ayant atteint un certain âge disposent également d’un droit d’accès, de rectification et, dans certains cas, de suppression de leurs données.

PDPA - Loi sur la protection des données personnelles (Thaïlande et variantes dans d'autres pays)

La loi thaïlandaise sur la protection des données personnelles (PDPA), pleinement entrée en vigueur en 2022, s'applique à toute organisation traitant des données personnelles de personnes résidant en Thaïlande. Les établissements scolaires opérant en Thaïlande doivent s'y conformer, que leurs systèmes soient hébergés localement ou à l'étranger. Des législations similaires existent dans de nombreux autres pays d'Asie et du Moyen-Orient sous différentes appellations, notamment la PDPA de Singapour et celle de Malaisie. Les établissements scolaires doivent identifier la législation nationale applicable à leur juridiction.

FERPA (États-Unis)

La loi FERPA s'applique aux établissements d'enseignement qui reçoivent des fonds fédéraux américains. Pour la plupart des écoles internationales, la loi FERPA ne s'applique pas directement ; toutefois, les écoles suivant un programme américain ou accueillant une part importante de la population américaine peuvent être confrontées à des familles qui s'attendent à des protections similaires à celles offertes par la loi FERPA et qui évoquent ces protections lors des discussions relatives aux droits d'accès aux données.

Autres cadres à connaître

Les établissements scolaires accrédités par des organismes tels que le CIS ou le WASC peuvent également être soumis à des exigences en matière de gouvernance des données dans le cadre de leurs normes d'accréditation. Bien qu'il ne s'agisse pas de réglementations juridiques, ces exigences peuvent avoir un impact opérationnel important. Les établissements scolaires du Moyen-Orient peuvent être soumis à des exigences nationales de localisation des données qui déterminent où les données peuvent être stockées et traitées.

Questions pratiques de conformité auxquelles chaque école devrait répondre

Question	Pourquoi c'est important
Quelles sont les réglementations en matière de protection des données qui s'appliquent à notre école ?	Vous ne pouvez pas vous conformer à des réglementations que vous n'avez pas identifiées ; commencez ici.
Où sont stockées et traitées les données de nos élèves ?	Dans certains pays, les exigences de localisation des données restreignent les transferts de données transfrontaliers.
Avons-nous une base légale pour collecter chaque type de données que nous détenons ?	La plupart des cadres réglementaires exigent une base juridique définie (consentement, contrat, intérêt légitime) pour le traitement des données personnelles
Nos fournisseurs tiers, y compris Faria , traitent-ils les données dans le cadre d'accords appropriés ?	Les établissements scolaires restent responsables des données traitées pour leur compte par des prestataires ; des accords de traitement des données (ATD) sont requis dans la plupart des cadres réglementaires.
Pouvons-nous répondre à une demande d'accès aux données d'un parent ou d'un élève dans les délais impartis ?	Le RGPD exige des réponses dans un délai de 30 jours ; de nombreux autres cadres réglementaires ont des exigences similaires.
Avons-nous une procédure documentée de réponse aux violations de données ?	La plupart des réglementations exigent la notification des infractions aux autorités et aux personnes concernées dans un délai défini.

Ce que cela signifie pour la configuration de votre plateforme Faria

L'utilisation de plateformes cloud comme ManageBac+ , OpenApply , Atlas et SchoolsBuddy implique que les données personnelles des élèves et du personnel sont traitées par un prestataire tiers. Conformément à la plupart des réglementations en matière de protection des données, l'établissement scolaire demeure le responsable du traitement des données ; il reste donc responsable de l'utilisation de ces données, même lorsqu'elles sont traitées par les systèmes de Faria .

Étapes pratiques à suivre concernant vos plateformes Faria :

Vérifiez qu'un accord de traitement des données (DPA) est en place avec Faria ; il s'agit d'une exigence standard du RGPD et de nombreux autres cadres réglementaires.
Vérifiez où sont hébergées les données : Faria peut confirmer l’emplacement du traitement et du stockage des données pour votre région ; ceci est important pour les établissements scolaires situés dans des pays ayant des exigences de localisation des données.
Limitez la collecte de données à ce qui est nécessaire : examinez les champs que vous collectez dans OpenApply et ManageBac+ et déterminez si tous sont requis pour vos besoins opérationnels.
Assurez-vous que votre avis de confidentialité aux familles couvre le traitement des données par Faria ; les familles doivent être informées que leurs données sont traitées par des plateformes tierces dans le cadre des activités de l’école.

Les informations relatives à la sécurité et à la protection des données de Faria sont disponibles sur faria.org/secure .

Conseils et considérations

Désignez un responsable de la protection des données – certains cadres réglementaires exigent un délégué à la protection des données (DPO) officiel ; même lorsque cela n’est pas obligatoire, la désignation d’un responsable interne améliore la responsabilisation et les délais de réponse.
Tenir un registre des activités de traitement – un simple registre des données collectées, des raisons de leur collecte, de leur lieu de stockage et de leur durée de conservation – est un outil de conformité fondamental et une obligation légale pour la plupart des organisations, conformément au RGPD.
Former le personnel à ses obligations en matière de traitement des données : les manquements à la conformité résultent souvent du partage ou de l’accès aux données par des employés bien intentionnés qui ne comprennent pas les règles ; une formation annuelle de sensibilisation est un minimum.
Revoyez vos avis de confidentialité chaque année : à mesure que vos systèmes et vos pratiques en matière de données évoluent, votre documentation relative à la confidentialité doit évoluer elle aussi.

En résumé

Les écoles internationales fonctionnent généralement simultanément sous plusieurs cadres de protection des données ; identifiez ceux qui s’appliquent à votre école avant de concevoir votre approche de conformité.
L’établissement scolaire demeure le responsable du traitement des données même lorsqu’il utilise des plateformes tierces comme ManageBac+ ou OpenApply ; il convient de s’assurer que des accords appropriés sont en place avec tous les fournisseurs.
La mise en conformité pratique commence par la connaissance des données que vous détenez, des raisons pour lesquelles vous les détenez, de l'endroit où elles sont stockées et des personnes qui peuvent y accéder.
La formation annuelle du personnel et la mise à jour des avis de confidentialité constituent la base de la conformité opérationnelle.

Cet article ne constitue qu'un avis général et ne saurait être considéré comme un avis juridique. Les établissements scolaires sont invités à consulter un avocat qualifié pour obtenir des conseils adaptés à leur juridiction et à leur situation. Pour en savoir plus sur la manière dont Faria gère la sécurité et la confidentialité des données, veuillez consulter le site faria.org/secure .