Numérique éducatif : derrière le rapport du DPD, une crise de gouvernance
Pourquoi la conformité ne suffit plus à gouverner les dépendances numériques de l'Éducation nationale
Chaque année, le rapport de la Déléguée à la protection des données (DPD) du ministère de l'Éducation nationale est lu comme un document de conformité. En réalité, il révèle surtout les limites de la gouvernance du numérique public.
Depuis l'entrée en vigueur du RGPD, les responsabilités se sont considérablement accrues. En effet, les traitements concernent plusieurs millions d'élèves, près d'un million d'agents, des milliers d'applications et des centaines de prestataires. À ces exigences se sont ajoutés l'intelligence artificielle — nouveau catalyseur de dépendance — ainsi que l'AI Act, NIS2 et les enjeux de souveraineté numérique. Or, dans le même temps, les moyens humains dédiés à la protection des données n'ont pas suivi cette montée en puissance.
Un déficit de moyens, symptôme d'un problème plus large
Comme le souligne François Bocquet, consultant chez ASKA-SE et ancien chef de projet veille et prospective à la Direction du numérique pour l'éducation (DNE), le code pénal qualifie de délit tout traitement mis en œuvre sans que le responsable de traitement en ait pris les mesures préalables.
Or plus de 3 000 établissements secondaires publics et une cinquantaine de DASEN n'ont, à ce jour, toujours pas désigné de DPD — la toute première de ces mesures. Sans même évoquer les registres de traitement, les analyses d'impact ou les contrats de sous-traitance après audit, ce seul constat suffit à interroger, huit ans après l'entrée en vigueur du RGPD, la capacité collective à en assurer l'application. Dans ces conditions, il serait illusoire d'attendre des DPD qu'ils garantissent, à eux seuls, une conformité durable.
Le problème est ailleurs.
En réalité, il n'est donc pas seulement celui des moyens accordés aux DPD. Il tient à la place que l'on fait à la gouvernance en amont des décisions numériques.
Or le RGPD confie aux DPD une mission de conseil, d'alerte et d'accompagnement. Il ne leur demande ni de définir la stratégie numérique d'une administration ni d'arbitrer les choix technologiques. Pourtant, faute d'une gouvernance suffisamment affirmée, ces arbitrages finissent souvent par leur être implicitement renvoyés.
Une question qui dépasse la conformité juridique
Lorsqu'une collectivité équipe ses établissements de Chromebooks, lorsqu'une académie choisit une plateforme cloud ou lorsqu'un établissement déploie un outil d'intelligence artificielle, la question ne peut plus se limiter à la conformité juridique. Elle devient stratégique.
Qui maîtrise réellement les données ?
Qui contrôle les évolutions de la plateforme ?
Quel degré de dépendance technologique acceptons-nous ?
Qui assumera les conséquences de ces choix dans cinq ou dix ans ?
Quel capital de maîtrise conserverons-nous demain ?
Ces interrogations dépassent largement le champ du RGPD. En effet, elles relèvent d'une véritable gouvernance des dépendances numériques : une Analyse d'Impact des Dépendances Numériques (AIDN) permettrait de les examiner dès la conception des projets, en évaluant, avant toute décision, les effets d'un choix technologique sur la maîtrise, l'autonomie et la réversibilité.
Il ne s'agit pas d'une contrainte administrative supplémentaire, mais d'un outil d'aide à la décision, au même titre qu'une étude d'impact environnementale ou financière : elle n'empêche pas le projet, elle en éclaire les conséquences avant qu'il ne devienne irréversible — et redonne ainsi aux décideurs une vraie liberté de choix.
Le paradoxe de la réponse actuelle
Le rapport annuel du DPD révèle ainsi un paradoxe. Chaque nouvelle réglementation accroît les obligations. Chaque nouveau service numérique augmente la complexité, et chaque nouvel outil d'intelligence artificielle crée de nouvelles dépendances. Pourtant, la réponse consiste encore trop souvent à demander davantage aux DPD, plutôt qu'à renforcer la capacité de gouvernance des décideurs publics.
« La conformité ne peut être le dernier rempart d'une stratégie qui n'a pas été pensée en amont. Elle en est la conséquence, non le point de départ. »
Le RGPD répond à une question précise : le traitement est-il conforme ? Le Modèle GDN en pose une autre, en amont : devons-nous créer cette dépendance ? Ces deux démarches ne sont pas concurrentes, mais complémentaires — l'une sécurise l'usage, l'autre éclaire la décision.
« Gouverner le numérique, c'est préserver aujourd'hui la capacité de choisir demain. »
Le rapport annuel de la DPD rappelle finalement une évidence : protéger durablement les données de millions de citoyens suppose d'investir autant dans la gouvernance que dans les technologies elles-mêmes. Le RGPD protège les données ; la gouvernance protège la capacité de décider. C'est ce capital de maîtrise qui devient aujourd'hui le véritable enjeu stratégique du numérique éducatif.
« La gouvernance ne commence pas lorsque survient un incident »
Pour aller plus loin sur la méthode et les outils évoqués dans cette tribune (AIDN, ICM, Modèle GDN)
Découvrir le Modèle GDN →