Données des apprenants et RGPD : le concepteur e-learning très exposé
Quiz notés, tracking d'assiduité, connexion LMS : votre module collecte des données personnelles d'apprenants. Sous-traitant RGPD ? Quel risque en cas de fuite ?
- Un module e-learning collecte des données personnelles : identité, scores, temps passé, progression, parfois données de connexion — souvent sans que le concepteur en ait conscience.
- Selon votre rôle (conception pure vs hébergement/exploitation du module), vous pouvez être qualifié de sous-traitant RGPD, avec des obligations contractuelles précises.
- Les normes SCORM et xAPI génèrent des traces fines de comportement d'apprentissage, qui sont des données personnelles à part entière.
- Une faille dans un module ou une mauvaise configuration LMS peut causer une fuite : l'assurance cyber couvre la gestion de crise, la notification CNIL et les réclamations.
Votre module collecte plus de données personnelles que vous ne le pensez
Un concepteur pédagogique se voit comme un créateur de contenus, pas comme un collecteur de données. C'est une erreur d'appréciation. Dès que votre dispositif intègre une couche d'interactivité, il manipule des données personnelles au sens du RGPD.
Inventaire de ce qu'un module e-learning standard peut collecter :
- Données d'identité : nom, prénom, email, parfois numéro de stagiaire ou matricule.
- Données de résultats : scores aux quiz, réponses données, taux de réussite, tentatives. Ce sont des données qui révèlent le niveau et les difficultés d'une personne.
- Données de suivi : temps passé par écran, date et heure de connexion, progression, assiduité — exigée par ailleurs pour Qualiopi.
- Données techniques : adresse IP, identifiant de session, type d'appareil.
Le suivi d'assiduité, particulièrement, est une donnée comportementale fine : il indique quand une personne se forme, combien de temps, à quel rythme. Croisée avec l'identité, c'est une donnée personnelle classique, et son traitement engage des responsabilités.
SCORM, xAPI : les normes techniques qui transforment chaque clic en donnée
Les standards e-learning ne sont pas neutres du point de vue des données. Comprendre ce qu'ils tracent est indispensable pour mesurer votre exposition.
SCORM remonte au LMS un ensemble de données par apprenant : statut de complétion, score, temps de session, données de suivi. Ces données sont nominatives dès qu'elles sont rattachées à un compte apprenant.
xAPI (Tin Can) va beaucoup plus loin : il enregistre des "déclarations" du type "X a répondu à la question Y à telle heure", "X a regardé la vidéo Z pendant N secondes". C'est une granularité comportementale qui transforme l'apprentissage en flux de traces détaillées. Stockées dans un LRS (Learning Record Store), ces traces constituent un profil d'apprentissage particulièrement riche — et donc une donnée personnelle sensible à protéger.
Plus votre module est "data-driven" (adaptive learning, recommandations, tableaux de bord apprenant), plus il collecte de données, et plus votre responsabilité dans leur traitement augmente.
Le principe de minimisation du RGPD s'applique directement à votre conception : ne collectez que ce qui est nécessaire à l'objectif pédagogique, et anonymisez ou pseudonymisez dès que possible. Une bonne conception réduit le risque à la source.
Êtes-vous responsable de traitement, sous-traitant, ou ni l'un ni l'autre ?
La question juridique centrale est celle de votre qualification RGPD, car elle détermine vos obligations. Tout dépend de votre rôle réel :
| Votre rôle | Qualification probable |
|---|---|
| Vous concevez et livrez un module, le client l'héberge et l'exploite sur son propre LMS | Vous n'êtes généralement ni responsable ni sous-traitant des données d'usage (le client les traite) |
| Vous hébergez le module, gérez la plateforme, accédez aux données des apprenants pour le compte du client | Vous êtes sous-traitant au sens de l'article 28 du RGPD |
| Vous décidez seul des finalités et moyens du traitement (votre propre plateforme commercialisée) | Vous êtes responsable de traitement |
Si vous êtes sous-traitant, l'article 28 du RGPD vous impose des obligations strictes : un contrat de sous-traitance écrit (DPA), des mesures de sécurité appropriées, une obligation d'assistance au responsable de traitement, une remontée des violations de données. Ne pas formaliser ce contrat est en soi un manquement.
Beaucoup de concepteurs naviguent dans le flou de cette qualification. Clarifiez-la par écrit dans chaque mission : cela protège juridiquement les deux parties et conditionne la prise en charge en cas d'incident.
Les outils tiers que vous branchez vous rendent co-responsable
Un module e-learning moderne n'est jamais un bloc isolé : il s'appuie sur un écosystème d'outils tiers que vous intégrez. Chacun de ces branchements ajoute un maillon à votre chaîne de responsabilité data.
- Les outils auteur et plateformes de scénarisation qui hébergent vos contenus et parfois les données de test.
- Les LRS et solutions d'analytics qui stockent les traces xAPI, souvent hébergés hors Union européenne — ce qui soulève la question des transferts internationaux de données.
- Les services d'évaluation, de proctoring ou de classe virtuelle intégrés au parcours, qui collectent parfois des données très sensibles (webcam, voix, comportement).
- Les outils de génération ou d'assistance IA auxquels vous transmettez parfois, sans y penser, des données réelles d'apprenants pour tester ou personnaliser.
Le RGPD vous impose, lorsque vous êtes sous-traitant, de n'utiliser que des sous-traitants ultérieurs présentant des garanties suffisantes, et d'en informer le responsable de traitement. Brancher un outil hébergé hors UE sans vérifier ses conditions et son cadre de transfert est un manquement qui peut vous être imputé.
Avant d'intégrer un outil tiers dans un dispositif manipulant des données d'apprenants, vérifiez son hébergement, son cadre de transfert international, et exigez un engagement de conformité (DPA). Tenez un registre de ces outils : c'est votre preuve de diligence.
Cette vigilance distingue le concepteur amateur du professionnel : le premier branche ce qui marche, le second branche ce qui est conforme. En cas d'incident, cette différence pèse lourd dans l'appréciation de votre responsabilité.
Le scénario de la fuite : ce qui se passe vraiment
Imaginez : un module que vous avez conçu et que vous hébergez présente une faille de configuration. Les résultats nominatifs de 800 apprenants — noms, emails, scores, difficultés repérées — deviennent accessibles publiquement, ou sont exfiltrés. Que se passe-t-il ?
- Détection et confinement. Il faut identifier la faille, la corriger, mesurer l'étendue de la fuite. Cela mobilise une expertise technique en urgence.
- Notification CNIL sous 72 heures. Si vous êtes responsable de traitement, ou notification au responsable si vous êtes sous-traitant. Le délai est court et le formalisme exigeant.
- Information des personnes concernées si le risque pour leurs droits est élevé.
- Gestion des conséquences : réclamations des apprenants, mise en cause par le client, atteinte à votre réputation, éventuelle procédure CNIL.
Chacune de ces étapes a un coût — expertise forensique, conseil juridique, communication de crise, indemnisations. Pour un freelance, l'addition est potentiellement fatale si elle repose sur les seuls fonds propres.
Pourquoi RC Pro et cyber sont deux protections complémentaires, pas redondantes
Beaucoup de concepteurs pensent que leur RC Pro couvre tout. Ce n'est pas le cas pour le risque data. Il faut distinguer deux logiques :
- La RC Professionnelle couvre les conséquences d'une faute de prestation : une erreur de conception, un manquement contractuel, un litige de droits. Elle répond quand votre travail cause un préjudice à votre client.
- L'assurance cyber couvre le cycle de l'incident de sécurité : gestion de crise, expertise forensique, frais de notification CNIL, communication, et les réclamations de tiers consécutives à une violation de données. C'est une protection que la RC Pro classique ne fournit pas.
Pour un concepteur pédagogique qui manipule des données d'apprenants — surtout s'il héberge ses modules ou opère une plateforme — les deux protections se complètent. La RC Pro gère la faute professionnelle ; la cyber gère la fuite de données et ses conséquences techniques et réglementaires.
Un dernier point : votre exposition cyber augmente avec votre matériel et vos accès. Si vous travaillez sur un parc informatique conséquent, pensez aussi à protéger vos outils de production. Vous trouverez le détail des garanties adaptées à votre activité sur la page assurance concepteur pédagogique.
Questions fréquentes
Cela dépend de votre rôle réel. Si vous concevez et livrez un module que le client héberge et exploite seul, vous n'êtes généralement ni responsable ni sous-traitant des données d'usage. Si vous hébergez le module et accédez aux données des apprenants pour le compte du client, vous êtes sous-traitant au sens de l'article 28 du RGPD, avec un contrat de sous-traitance écrit obligatoire.
Oui, dès qu'ils sont rattachés à une personne identifiable. Les scores révèlent le niveau et les difficultés d'un apprenant, le suivi d'assiduité révèle son comportement. Les standards SCORM et xAPI génèrent des traces particulièrement fines qui constituent un profil d'apprentissage à protéger selon le RGPD.
Pas nécessairement, et rarement de manière complète. La RC Pro couvre la faute de prestation. La gestion d'un incident de sécurité — expertise forensique, notification CNIL, communication de crise, réclamations consécutives à la violation — relève de l'assurance cyber. Les deux protections sont complémentaires pour un concepteur qui manipule des données d'apprenants.
Confiner la faille, mesurer l'étendue de la fuite, puis notifier : la CNIL sous 72 heures si vous êtes responsable de traitement, ou le responsable de traitement si vous êtes sous-traitant. Si le risque pour les personnes est élevé, elles doivent aussi être informées. Une assurance cyber vous accompagne sur chacune de ces étapes, qui sont techniques et juridiquement exigeantes.
Appliquez le principe de minimisation : ne collectez que les données strictement nécessaires à l'objectif pédagogique. Pseudonymisez ou anonymisez dès que possible, limitez la granularité des traces xAPI au nécessaire, et clarifiez par écrit votre qualification RGPD dans chaque mission. Une conception sobre en données réduit le risque à la source.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Concepteur pédagogique (e-learning) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Concepteur pédagogique (e-learning) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.