Connaissez-vous la charte RGPD pour les établissements du supérieur ?

Sensibiliser les acteurs de l’enseignement supérieur aux enjeux liés aux données personnelles et au Règlement général sur la protection des données, dit RGPD : tel était l’un des objectifs de la charte RGPD pour les établissements du supérieur, publiée en octobre dernier. Elle a été conçue par La Rochelle Université, en collaboration avec 11 autres établissements, dans le cadre du projet Hybrider et partager les enseignements (Hype-13), coordonné par l'Université de Pau et des Pays de l’Adour.

Le consortium Hype-13 fait partie des 15 lauréats de l’appel à projets « Hybridation des formations de l’enseignement supérieur » annoncés en juillet 2020. Il a reçu une dotation de 3 millions d’euros de l’État au titre du plan d’investissement « France 2030 », afin de faciliter le partage et la réutilisation des ressources numériques sur l’hybridation.

Comment ces universités ont-elles travaillé ensemble durant 24 mois ? Quelles bonnes pratiques RGPD les établissements du supérieur peuvent-ils mettre en place ? Réponses avec Renata Cabas, chargée de projet Hype-13, et Jean-Christophe Burie, vice-président campus numérique et système d’information de La Rochelle Université.

Un projet construit avec 12 universités

« Les tâches ont été réparties entre les différents établissements membres d’Hype-13. La Rochelle Université a apporté sa contribution à une réflexion sur l'évaluation en ligne et sur la protection des données personnelles. Nous voulions étudier comment les universités abordent les questions de RGPD afin d'établir une charte des bonnes pratiques », retrace Jean-Christophe Burie.

Financé par l'Agence nationale de la recherche, le projet Hype-13 a également reçu le soutien d'EdTech France et l’Association des professionnels des services d’appui à la pédagogie, des services Tice et des services audiovisuels de l’enseignement supérieur (Anstia).

Un travail d'équipe et plusieurs corps de métiers impliqués

Avant de rédiger cette charte, un audit des établissements impliqués dans Hype-13 a été réalisé en novembre 2021. Ont participé les universités d’Angers, CY Cergy Paris Université, Caen, Limoges, Le Mans, Pau, Reims, Rouen, Tours, Lyon 2, Savoie Mont-Blanc et La Rochelle.

« Nous avons envoyé un questionnaire aux établissements pour déterminer les services et logiciels utilisés et vérifier si les pratiques étaient conformes au RGPD. Nous avons travaillé en mode projet, avec des réunions mensuelles réunissant les autres établissements. Les ateliers nous ont permis de travailler en symbiose au sein d’Hype-13, de réfléchir et créer cette charte, puis de la diffuser en dehors du consortium  », détaille Renata Cabas, docteure en sciences de l’information et de la communication.

Plusieurs corps de métiers ont été impliqués dans la réflexion : les enseignants-chercheurs, enseignants, ingénieurs pédagogiques, responsables des plateformes numériques, des services SI, data protection officers, dits DPO ou délégués à la protection des données… « Cette charte est née d’un travail d'équipe », résume la chargée de projet Hype-13 de La Rochelle Université.

11 bonnes pratiques RGPD à retenir

La charte consigne 11 bonnes pratiques en matière de RGPD parmi lesquelles :

• la formation à la problématique du RGPD de différents acteurs de la vie universitaire comme les enseignants, les personnels administratifs ou encore les étudiants ;
• l’identification et le traitement des risques en amont ;
• la vigilance concernant le transfert de données hors de l’Union européenne.

« Le transfert de données hors de l’UE est très encadré. Nous avons constaté que certains outils américains utilisés en classe ou pour les cours hybrides n'étaient pas conformes au RGPD. Il faut choisir ces outils avec précaution », souligne Jean-Christophe Burie.

Le rôle primordial du DPO

Parmi les bonnes pratiques inscrites dans la charte, le consortium souligne l’importance du délégué à la protection des données (DPO).

Depuis l’application du RGPD dans l’Union européenne le 25 mai 2018, tous les établissements publics, comme ceux d’enseignement supérieur se doivent d’en recruter un.

« Les DPO ont le rôle d’informer et de dispenser des conseils sur l’usage des données. C’est important pour les enseignants et les personnels de savoir qu’ils peuvent solliciter leur DPO », rappelle Renata Cabas. 

La charte RGPD recommande ainsi d’impliquer le DPO dès la conception d’un projet qui implique le traitement de données personnelles. Le délégué pourra ainsi apporter son expertise en amont pour assurer la mise en conformité du projet avec la protection des données. 

Les suites au projet : sa diffusion et sa pérennisation

Le programme Hype-13 s’est clôturé fin octobre 2022. Vient maintenant l’heure de la diffusion des ressources créées par le consortium d’universités, comme l’explique la chargée de projet Hype-13 : « Nous avons présenté en anglais notre charte aux membres de l’alliance européenne EU-Conexus, dont La Rochelle Université est membre. Les enseignants des autres pays se posent les mêmes questions que nous sur la protection des données. »

La charte RGPD fait partie des 19 livrables produits par Hype-13 et mis à disposition de tous gratuitement sur le site du consortium. Parmi les autres ressources disponibles, figurent notamment :

• une boîte à outils sur l’hybridation,
• une charte pour le respect des droits d’auteur,
• un guide pour concevoir des ressources grâce à l’oeuvre collective,
• une formation introductive aux learning analytics, plus communément appelés traces d’apprentissage.

La fin des financements

Au-delà des livrables et ressources mises à disposition, les 12 universités impliquées dans le programme Hype-13 s’interrogent aussi sur la pérennité de ce projet d’une durée de deux ans.

« Nous disposons actuellement d’une charte sur le RGPD, mais si la réglementation évolue, nous ne serons pas en mesure de faire évoluer la charte. La fin du projet signifie la fin des financements », regrette le vice-président campus numérique et système d’information de La Rochelle Université. 

« Les financements ont permis à La Rochelle Université de recruter trois personnes dédiées à 100 % au projet. D’autres personnels de l'établissement ont également contribué au projet », témoigne Jean-Christophe Burie.

Mais quid de leur prolongation, une fois le programme clôturé ? Si l’université rochelaise a pu conserver les personnes embauchées sur le projet Hype-13, la pérennisation des postes dans les autres établissements du consortium ne peut se faire généralement que sur fond propres. Et elle n’est pas toujours simple, dans un contexte budgétaire contraint pour les universités.