Le handicap d'un élève est une donnée sensible : le risque invisible de l'AESH
Vous savez que tel élève est autiste, épileptique ou dyspraxique. Cette information est juridiquement une donnée sensible. La traiter avec légèreté vous expose.
- Le handicap et l'état de santé d'un élève sont des données sensibles au sens de l'article 9 du RGPD, protégées de façon renforcée.
- Notifications MDPH, PPS, comptes rendus : l'AESH manipule au quotidien des informations dont la divulgation peut causer un préjudice grave.
- Un partage par messagerie personnelle, un document oublié ou un appareil non sécurisé peut constituer une violation de données.
- Au-delà des bonnes pratiques, une garantie cyber couvre les frais de gestion d'incident et la défense en cas de mise en cause.
Une réalité que peu d'AESH formulent : vous êtes un gardien de données sensibles
On présente le métier d'AESH par ses gestes : aider, accompagner, sécuriser. On oublie une dimension pourtant centrale : vous détenez des informations parmi les plus protégées du droit français. Le diagnostic médical d'un enfant, sa notification MDPH, son projet personnalisé de scolarisation (PPS), ses traitements, ses crises éventuelles, ses comportements : tout cela transite par vous.
Le Règlement général sur la protection des données (RGPD) qualifie ces informations de données sensibles au titre de son article 9. Y figurent notamment les données concernant la santé et celles révélant un handicap. Leur traitement est en principe interdit, sauf exceptions encadrées, et leur divulgation peut causer à l'enfant et à sa famille un préjudice durable : stigmatisation, atteinte à la vie privée, discrimination.
Autrement dit, la confidentialité n'est pas pour l'AESH une simple politesse professionnelle. C'est une obligation juridique dont le non-respect peut être lourd de conséquences, pour l'élève comme pour vous.
Les situations à risque du quotidien
La fuite de données sensibles n'arrive presque jamais par malveillance. Elle naît de gestes anodins, répétés sous la pression du temps. Les plus fréquents chez les accompagnants :
- La messagerie personnelle. Envoyer un compte rendu mentionnant le diagnostic d'un élève depuis votre adresse personnelle, ou à un destinataire non autorisé, expose des données sensibles hors de tout cadre sécurisé.
- Le téléphone personnel. Photographier un document MDPH, un PPS ou les notes médicales pour « les avoir sous la main » stocke des données de santé sur un appareil non protégé, potentiellement synchronisé sur des services cloud grand public.
- Le document papier oublié. Une fiche de suivi laissée sur une table en salle des maîtres, visible de tous.
- La conversation de couloir. Évoquer la pathologie d'un élève devant des tiers non concernés.
- Le groupe de discussion informel. Partager une « anecdote » identifiable dans une boucle de messagerie entre collègues ou parents.
Chacun de ces gestes peut, juridiquement, constituer une violation de données à caractère personnel au sens du RGPD.
Ce que dit la loi : confidentialité, RGPD et discrétion professionnelle
Trois corps de règles se superposent pour encadrer votre rapport à l'information :
- Le RGPD. Il impose la confidentialité, la sécurité et la minimisation des données : vous ne traitez que ce qui est strictement nécessaire à votre mission, par des moyens sécurisés, sans diffusion non autorisée.
- L'obligation de discrétion professionnelle. En tant qu'agent public, vous êtes tenu de ne pas divulguer les informations dont vous avez connaissance dans l'exercice de vos fonctions.
- La protection pénale du secret. Certaines informations médicales relèvent d'une protection renforcée dont la révélation indue peut être sanctionnée.
Une violation de données sensibles concernant un mineur vulnérable est précisément le type d'incident que les autorités de contrôle prennent très au sérieux.
En cas d'incident, une notification à l'autorité compétente et, parfois, à la famille peut être requise. Pour l'établissement comme pour vous, la gestion de cette crise — technique, juridique, relationnelle — a un coût et demande un accompagnement.
Le scénario qui transforme une maladresse en mise en cause
Imaginez : pour gagner du temps, vous transférez depuis votre téléphone personnel le PPS d'un élève autiste à une collègue, via une application de messagerie grand public. L'appareil est ensuite perdu, ou la conversation atterrit par erreur dans le mauvais fil de discussion. Le document, nominatif et détaillant le diagnostic, circule.
La famille l'apprend. Elle vit cette divulgation comme une atteinte grave à l'intimité de leur enfant et engage des démarches. L'établissement doit gérer l'incident ; vous, vous êtes identifié comme l'origine de la fuite. S'ouvre alors une séquence où l'on vous demande des comptes, où votre responsabilité personnelle peut être discutée, et où les frais d'accompagnement juridique et de gestion de crise s'accumulent.
Aucune intention de nuire, encore une fois. Juste un transfert de fichier de trop, par le mauvais canal. C'est exactement ce type de sinistre immatériel que la RC Pro classique couvre mal et qu'une garantie cyber est conçue pour traiter.
Se protéger : bonnes pratiques et garantie cyber
La première ligne de défense, ce sont vos habitudes. Adoptez quelques réflexes simples :
- Utilisez uniquement les outils fournis par l'établissement pour tout document nominatif ; bannissez la messagerie et le cloud personnels.
- Ne photographiez jamais un document médical sur un appareil personnel.
- Appliquez la minimisation : ne partagez que l'information strictement nécessaire, au strict destinataire concerné.
- Verrouillez vos appareils et ne laissez aucun document sensible à la vue.
La seconde ligne, c'est l'assurance. Une garantie cyber prend en charge la gestion d'un incident de violation de données : assistance technique, accompagnement juridique, frais de notification et défense en cas de mise en cause. Couplée à votre RC Pro d'AESH, elle couvre la dimension immatérielle que les contrats traditionnels laissent de côté. Le handicap d'un élève est une donnée précieuse et fragile : la protéger, c'est aussi vous protéger.
Questions fréquentes
Oui. Les données concernant la santé et celles révélant un handicap sont des données sensibles au sens de l'article 9 du RGPD. Leur traitement est strictement encadré et leur divulgation non autorisée peut causer un préjudice grave à l'enfant et engager des responsabilités.
Non, c'est à proscrire. Tout document nominatif, et a fortiori médical, doit transiter par les outils sécurisés fournis par l'établissement. Une messagerie ou un cloud personnels exposent les données hors de tout cadre conforme et peuvent constituer une violation de données.
L'établissement doit gérer l'incident et, selon les cas, le notifier. Votre responsabilité personnelle peut être discutée, avec des frais juridiques et de gestion de crise à la clé. Une garantie cyber prend en charge cet accompagnement et votre défense.
Pas toujours. Les RC Pro traditionnelles couvrent surtout les dommages matériels et corporels et gèrent mal le préjudice immatériel d'une violation de données. Une garantie cyber est spécifiquement conçue pour ces incidents : notification, défense, gestion de crise.
Utiliser uniquement les outils de l'établissement pour les documents nominatifs, ne jamais photographier de document médical sur un appareil personnel, appliquer la minimisation des données, verrouiller ses appareils et ne laisser aucun document sensible à la vue.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Auxiliaire de vie scolaire (AESH) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Auxiliaire de vie scolaire (AESH) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.