RGPD et captation des cours : Ce que doit vérifier un établissement avant de filmer

Une caméra ne capte pas seulement un cours. Elle enregistre des visages, des voix, des questions, parfois un écran ou un nom. Le bon réflexe n’est donc pas de demander un accord à la dernière minute. Il faut organiser la captation avant d’appuyer sur REC.

À retenir. Le RGPD n’interdit pas de filmer un cours. Il oblige l’établissement à expliquer pourquoi il filme, à limiter ce qu’il capte, à protéger le replay et à supprimer les données au bon moment.

Définir l’usage avant de choisir la caméra

« Filmer à des fins pédagogiques » est trop vague. Un direct pour un étudiant empêché, un replay jusqu’à l’examen, une ressource conservée trois ans et une vidéo publiée sur YouTube sont quatre usages différents. Ils n’ont ni le même public, ni la même durée, ni le même niveau de risque.

L’établissement doit écrire une finalité précise pour chaque usage. Une vidéo enregistrée pour le replay ne peut pas devenir automatiquement une vidéo promotionnelle. Une nouvelle diffusion exige une nouvelle analyse et, lorsque le droit à l’image l’impose, une autorisation adaptée.

Ne pas confondre base légale et consentement

Toute captation de personnes identifiables traite des données personnelles. Il faut donc choisir une base légale avant le déploiement. Pour un établissement qui exerce une mission de service public, la mission d’intérêt public peut être pertinente si la captation est réellement nécessaire à cette mission. La CNIL le rappelle pour les outils collaboratifs de l’enseignement supérieur.

Le consentement n’est pas un bouton magique. Dans une relation d’autorité, un étudiant ou un enseignant peut ne pas se sentir libre de refuser. La CNIL considère donc que cette base est souvent difficile à utiliser dans ce contexte. Un organisme privé doit, lui aussi, documenter la base retenue : contrat, intérêt légitime, mission d’intérêt public lorsqu’elle est juridiquement établie, ou consentement réellement libre selon le cas.

Séparer le RGPD du droit à l’image

Le RGPD répond à la question « pourquoi et comment traiter ces données ? ». Le droit à l’image répond à une autre question : « peut-on reproduire et diffuser cette personne reconnaissable ? ». Une captation peut être correctement documentée au titre du RGPD et rester contestable si l’image est diffusée sans autorisation appropriée.

Pour une diffusion publique ou promotionnelle, l’autorisation écrite doit préciser le support, l’objectif et la durée. Le site officiel Service Public rappelle aussi qu’accepter d’être filmé ne signifie pas accepter toutes les diffusions. Pour les mineurs, l’autorisation des représentants légaux est indispensable ; l’enfant doit également être associé à la décision dès qu’il peut la comprendre.

Filmer moins pour enseigner mieux

Le principe de minimisation est très concret : la caméra doit voir ce qui aide à apprendre, pas tout ce qui se passe dans la salle. Un cadrage professeur et tableau suffit souvent. La caméra tournée en permanence vers les étudiants transforme vite un outil pédagogique en dispositif de surveillance.

Prévoir un canal de questions non enregistré, couper les micros inutiles et retirer du replay une intervention sensible protège les personnes sans appauvrir le cours. Dans une salle comodale bien conçue, la technique doit rendre le distant présent. Elle ne doit pas rendre toute la salle observable.

Informer avant le cours et signaler pendant

L’information doit arriver avant la première captation. Elle indique le responsable du traitement, la finalité, la base légale, les personnes qui auront accès au replay, la durée de conservation, l’hébergement, les éventuels transferts hors Union européenne, les droits et le contact du délégué à la protection des données.

Un voyant rouge, un message sur l’écran de la salle ou une annonce au début du cours évite l’enregistrement invisible. Ce signal ne remplace pas la notice RGPD. Il la rend réelle au moment où la caméra démarre.

Fermer le replay par défaut

Un lien public est rarement nécessaire. Le replay doit être réservé au groupe concerné, derrière une authentification, avec des droits liés au cours et retirés quand l’étudiant quitte la formation. Le téléchargement doit être désactivé s’il n’apporte rien à l’objectif pédagogique.

Les rôles doivent être simples : qui publie, qui corrige, qui consulte, qui supprime ? Le SSO, les groupes du LMS et des journaux d’accès permettent de répondre. La plateforme Kalyzée Connect illustre l’intérêt d’intégrer captation, replay, LMS et gestion des accès dans une même chaîne. Ces fonctions doivent ensuite être paramétrées selon la politique de l’établissement.

Fixer une vraie date de suppression

Le RGPD ne fixe pas une durée universelle pour les cours filmés. Il impose une durée justifiée par l’objectif. « Jusqu’à nouvel ordre » n’est pas une durée. Un établissement peut, par exemple, ouvrir le replay jusqu’à la fin du semestre puis le supprimer après la période d’examen. Ce calendrier doit être adapté au besoin réel et validé avec le DPO.

La suppression doit couvrir la plateforme, les exports, les espaces de partage et les sauvegardes selon leur cycle. La CNIL distingue la base active de l’archivage intermédiaire : archiver n’est pas conserver discrètement la même vidéo avec les mêmes accès.

Vérifier le prestataire au-delà du mot hébergement

« Hébergé en France » est une information utile. Ce n’est pas, à elle seule, une preuve de conformité. Il faut connaître le lieu des données et des sauvegardes, les sous-traitants ultérieurs, les transferts hors UE, les mesures de sécurité, les délais de notification d’incident, la réversibilité et la suppression en fin de contrat.

Le contrat doit contenir les clauses prévues par l’article 28 du RGPD. Il doit aussi interdire au prestataire de réutiliser les vidéos, les transcriptions ou les données d’usage pour son propre compte sans cadre légal et autorisation. La fiche CNIL sur la sous-traitance fournit le socle de contrôle.

Protéger les cours comme des données institutionnelles

Un mot de passe partagé entre enseignants n’est pas une politique de sécurité. Il faut des comptes nominatifs, des droits minimaux, une authentification renforcée pour les administrateurs, du chiffrement, des journaux, des sauvegardes protégées et une procédure de retrait rapide des accès.

L’établissement doit aussi savoir qui appeler si un replay fuit. Une violation présentant un risque doit être évaluée avec le DPO et, si nécessaire, notifiée à la CNIL dans les 72 heures. Attendre d’avoir tous les détails peut faire perdre ce délai.

Vérifier le droit d’auteur du cours

Filmer un enseignant ne donne pas automatiquement le droit de reproduire son support. Les diapositives, illustrations, extraits vidéo, travaux d’étudiants et ressources tierces peuvent être protégés. Le périmètre de diffusion doit donc être prévu avec l’enseignant et les licences doivent être vérifiées.

Le Code de la propriété intellectuelle interdit en principe la reproduction ou la représentation sans autorisation. L’exception pédagogique existe, mais elle est encadrée et ne couvre pas toutes les œuvres ni toutes les diffusions. Un replay fermé dans le LMS et une publication ouverte sur le web ne sont pas équivalents.

Déterminer si une AIPD est nécessaire

Une analyse d’impact sur la protection des données doit être réalisée avant le traitement lorsqu’un risque élevé est probable. Les mineurs, le traitement à grande échelle, les données sensibles et la surveillance systématique sont des signaux d’alerte. La CNIL estime qu’une AIPD sera probablement nécessaire dans de nombreux projets d’outils collaboratifs de l’enseignement supérieur.

L’AIPD n’est pas une formalité de fin de projet. Elle sert à modifier le cadrage, les accès ou la durée avant que la première vidéo ne soit enregistrée.

Le parallèle éthique et pédagogique

Un bon enseignement à distance donne du choix : suivre en direct, revoir un passage difficile, apprendre malgré la distance, la maladie ou une contrainte professionnelle. Le replay peut aussi réduire la pression de la prise de notes et soutenir l’accessibilité lorsqu’il est chapitré, sous-titré et facile à retrouver. Prépa Connect montre concrètement comment le direct, plusieurs vues et le replay peuvent compléter le cours en salle.

Mais enregistrer deux heures de vidéo ne crée pas automatiquement une ressource pédagogique. Il faut une image lisible, un son clair, des chapitres, des sous-titres et un lien avec les activités du cours. Les conseils pour améliorer une formation à distance restent donc inséparables du choix technique.

L’éthique et la pédagogie se rejoignent ici. Dans les deux cas, il faut redonner du contrôle à l’apprenant. La caméra doit élargir l’accès au cours, pas réduire la liberté de parole. Le meilleur dispositif est celui que l’on remarque pour la qualité du cours, pas pour la quantité de données qu’il collecte.

Besoin d’un accompagnement pour un projet de diffusion de cours ? Kalyzée s’occupe de tout !

Checklist avant la première captation

Conclusion

Avant de filmer, un établissement doit pouvoir répondre à cinq questions : pourquoi, qui apparaît, qui regarde, combien de temps et que se passe-t-il en cas de problème ? Si une réponse manque, la captation n’est pas prête.

Le RGPD n’est pas l’ennemi du distanciel. Il évite qu’un outil conçu pour ouvrir la salle de cours ne transforme cette salle en espace de surveillance. Cette exigence de confiance est aussi une exigence pédagogique.

Sources principales

• CNIL Enseignement supérieur et outils collaboratifs en ligne
• CNIL Les bases légales
• CNIL Les durées de conservation des données
• CNIL Travailler avec un sous-traitant
• Service Public Droit à l’image et respect de la vie privée
• Légifrance Article 9 du Code civil
• Légifrance Articles L122-4 et L122-5 du Code de la propriété intellectuelle
• EUR-Lex Règlement général sur la protection des données

Note : ce document propose une grille pratique. Il ne remplace pas l’analyse du DPO ni un conseil juridique adapté au statut de l’établissement, au public filmé et au mode de diffusion.