Cours en visio avec un mineur : ce que la loi vous impose vraiment

Beaucoup de professeurs particuliers pensent que le Règlement général sur la protection des données (RGPD) ne vise que les grandes entreprises et les sites web marchands. C'est faux. Le RGPD s'applique dès lors qu'une personne traite des données personnelles dans un cadre professionnel, quelle que soit sa taille.

Or, en donnant des cours en ligne, vous traitez en permanence des données personnelles :

• le prénom et nom de l'élève, son niveau, son établissement ;
• ses résultats scolaires, ses bulletins, ses copies corrigées ;
• son image et sa voix via la webcam ;
• parfois des informations sensibles : difficultés d'apprentissage, troubles « dys », situation familiale.

Vous êtes donc, au sens de la loi, responsable de traitement. Et lorsque l'élève est mineur — ce qui est le cas de la majorité des cours de soutien — les obligations se renforcent nettement.

La règle cardinale : un mineur ne peut pas consentir seul au traitement de ses données dans la plupart des cas. C'est le titulaire de l'autorité parentale qui doit donner son accord.

Concrètement, cela signifie que vous ne pouvez pas, de votre seule initiative :

• enregistrer une séance de visioconférence « pour que l'élève la réécoute » ;
• faire une capture d'écran de la caméra ;
• publier un témoignage avec le prénom de l'enfant et une photo ;
• partager une copie corrigée sur un réseau social ou un groupe.

Sans l'accord écrit préalable du parent, chacune de ces actions est une atteinte. Le droit à l'image du mineur est ici cumulatif avec le RGPD : capter le visage d'un enfant suppose une autorisation parentale, indépendamment de la question des données.

La bonne pratique : un court document signé par le parent au démarrage, précisant ce que vous collectez, pourquoi, combien de temps vous le conservez, et listant explicitement tout enregistrement éventuel.

Enregistrer une séance pour que l'élève puisse la revoir est pédagogiquement utile et parfaitement légal — à condition de respecter quatre principes RGPD.

1. Finalité. L'enregistrement ne sert qu'à un usage défini (révision de l'élève), jamais à autre chose. Vous ne pouvez pas le réutiliser comme contenu marketing sans nouvel accord.
2. Minimisation. Vous ne collectez que ce qui est nécessaire. Couper la caméra et n'enregistrer que l'écran partagé et la voix est souvent suffisant et bien moins intrusif.
3. Durée de conservation. Vous fixez une durée raisonnable (par exemple l'année scolaire) et supprimez ensuite. Conserver indéfiniment des dizaines d'heures de visio avec des mineurs est un risque majeur.
4. Sécurité. Les fichiers doivent être stockés de façon protégée (espace chiffré, mot de passe), pas en clair sur un cloud partagé ou un disque accessible.

Sur ce dernier point, le risque est concret : si votre ordinateur ou votre espace de stockage est piraté, ce sont les images et les données de mineurs qui fuient. C'est exactement le type de sinistre que couvre une assurance cyber : gestion de l'incident, notification, assistance juridique et prise en charge des frais consécutifs à une violation de données.

Supposons le pire. Votre boîte mail est compromise, ou un dossier contenant les copies et enregistrements de vos élèves est exfiltré. En tant que responsable de traitement, vous avez des obligations légales précises.

• Notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes concernées.
• Informer les parents lorsque le risque est élevé, en expliquant la nature de la fuite et les mesures prises.
• Documenter l'incident dans un registre, même si vous n'êtes pas tenu de le notifier.

Ces démarches sont techniques, stressantes et chronophages. Une plainte d'un parent auprès de la CNIL peut déboucher sur une mise en demeure. Au-delà de la sanction théorique, c'est la perte de confiance qui fait le plus mal à un professeur dont l'activité repose sur le bouche-à-oreille.

L'assurance cyber ne se résume pas à un chèque : elle vous donne accès, dès la détection, à des experts qui pilotent la notification, sécurisent vos systèmes et gèrent la communication. Pour un indépendant seul face à un incident, c'est souvent ce qui fait la différence entre une crise maîtrisée et une activité à l'arrêt.

Donner cours en ligne suppose une chaîne d'outils : un logiciel de visioconférence, un espace de stockage, parfois une plateforme de mise en relation. Chacun de ces maillons traite des données de vos élèves. Le RGPD organise les rôles, et il est utile de savoir où vous vous situez.

Quand vous utilisez un logiciel de visio ou un cloud pour vos propres élèves directs, ces prestataires agissent comme sous-traitants : ils traitent les données pour votre compte, selon vos instructions. Vous restez le responsable de traitement. Conséquence pratique : vous devez choisir des outils sérieux, idéalement hébergés dans l'Union européenne ou offrant des garanties équivalentes, et savoir ce qu'ils font des données (un service de visio « gratuit » qui réutilise les enregistrements à des fins publicitaires est un risque).

Quand vous passez par une grande plateforme de cours (GoStudent, Acadomia, Maxicours), la répartition est différente : la plateforme est souvent responsable de traitement pour les données qu'elle collecte directement auprès des familles. Mais dès que vous récupérez ces données dans vos propres outils — un fichier de suivi, des copies stockées chez vous — vous redevenez responsable de votre côté.

La règle simple à retenir : tout ce qui transite ou se stocke sur VOS appareils relève de VOTRE responsabilité, quelle que soit la plateforme par laquelle l'élève est arrivé.

C'est précisément cette zone — vos appareils, vos fichiers — qui constitue votre exposition principale et que votre assurance doit couvrir.

Vous n'avez pas besoin d'un délégué à la protection des données pour être en règle. Quelques réflexes suffisent à couvrir l'essentiel :

• Une autorisation parentale écrite au démarrage, listant les données collectées et tout enregistrement éventuel.
• Une caméra coupée par défaut côté élève quand elle n'est pas nécessaire, et aucun enregistrement caché.
• Un stockage sécurisé et daté : dossier protégé par mot de passe, suppression en fin d'année scolaire.
• Une séparation claire entre votre matériel personnel et votre activité, pour limiter les portes d'entrée d'un piratage.
• Une assurance cyber couplée à votre RC Pro, pour la gestion technique et juridique d'une fuite.

Enseigner à un mineur derrière un écran, c'est endosser une responsabilité que peu de professeurs mesurent. La conformité RGPD n'est pas une contrainte administrative de plus : c'est ce qui protège à la fois vos élèves et la pérennité de votre activité.