Droit et économie · Terminale STMGBac
Protection des données personnelles : cours de Terminale STMG
Publié le 11 novembre 2026 · Mis à jour le 11 novembre 2026 · Signaler une erreur
L'essentiel
- Une donnée personnelle est toute information qui permet d'identifier une personne physique, directement ou indirectement (nom, numéro d'identification, données biométriques…).54
- Les données sensibles (origines, opinions, appartenance syndicale, santé, vie sexuelle) méritent une vigilance particulière ; les données scolaires ne le sont pas toutes, mais certaines peuvent l'être.5
- Le RGPD (règlement UE 2016/679) a été adopté le 27 avril 2016 et s'applique depuis le 25 mai 2018 ; il s'impose directement dans chaque pays de l'Union.64
- En France, le RGPD s'articule avec la loi « Informatique et Libertés » du 6 janvier 1978 et la loi du 20 juin 2018 ; la CNIL contrôle et sanctionne.36
- Les organisations doivent garantir et prouver leur conformité ; un délégué à la protection des données (DPD) conseille, contrôle et sensibilise.63
Pourquoi protéger les données personnelles ?
Chaque fois que tu t'inscris sur une plateforme, que tu remplis un formulaire ou que ton lycée enregistre tes résultats, des informations te concernant sont collectées. Ces informations ont de la valeur pour ceux qui les utilisent, et elles peuvent te nuire si elles circulent n'importe comment. Le droit du numérique cherche donc un équilibre : permettre les usages utiles tout en protégeant les personnes.
Dans l'éducation, le numérique est encouragé quand il apporte un vrai plus pédagogique, mais sans renoncer à l'éthique.3 Les données des élèves peuvent aider à individualiser les parcours, à mieux évaluer les acquis ou à offrir de nouveaux outils aux enseignants, à condition d'être protégées avec rigueur.3
Ce cours répond à quatre questions que le programme de droit te pose : qu'est-ce qu'une donnée personnelle ? Quel texte la protège ? Qui contrôle son respect ? Quelles obligations pèsent sur les organisations ? À la fin, tu sauras raisonner sur un cas pratique, comme au bac.
La donnée à caractère personnel
Les usages pédagogiques s'appuient aujourd'hui sur des informations qui permettent d'identifier les élèves : nom, prénom, coordonnées, données biométriques, par exemple.4 Le mot clé est identifier. Une information qui, seule ou croisée avec d'autres, mène à une personne précise est une donnée personnelle.
Les données sensibles
| Information | Catégorie | Raison |
|---|---|---|
| Nom et prénom | Personnelle | Identifie directement une personne |
| Moyenne en droit | Personnelle, non sensible | Donnée scolaire ordinaire |
| Appartenance syndicale | Sensible | Figure dans la liste des catégories sensibles |
| Information de santé | Sensible | Touche à la santé |
Le cas des données scolaires est un piège classique. Elles ne sont pas, dans leur ensemble, des données sensibles. Pourtant, certaines peuvent l'être : une information de santé figurant dans un dossier d'élève, par exemple, entre dans la catégorie sensible.5 Il faut donc raisonner donnée par donnée, pas dossier par dossier.
Le RGPD : origine, date et portée
Le texte a été adopté le 27 avril 2016.65 Il s'applique depuis le 25 mai 2018 (on parle souvent de son entrée en vigueur), et toutes les organisations ont dû en intégrer les règles, qui ont modifié en profondeur la gestion des données personnelles.4
Le RGPD a remplacé une ancienne directive européenne, la directive 95/46/CE, adoptée le 24 octobre 1995 et restée en vigueur jusqu'au 24 mai 2018.6 Le passage d'une directive à un règlement n'est pas un détail, comme on le voit plus bas.
Deux objectifs principaux se dégagent. Le premier : mieux protéger les personnes dont les données sont traitées. Le second : responsabiliser ceux qui traitent ces données. Ces principes sont rendus applicables grâce au pouvoir accru des autorités de contrôle.6
Le cadre français : loi de 1978, loi de 2018 et CNIL
Les données personnelles sont encadrées en France par un texte européen, le RGPD, et par la loi nationale.5 Cette loi est celle du 6 janvier 1978, dite « Informatique et Libertés ». Les dernières dispositions de cette loi et le RGPD ont renforcé la protection pour que l'usage des données respecte le droit des personnes.3
Pourquoi une loi nationale s'ajoute-t-elle à un règlement directement applicable ? Le règlement laissait certains points au droit national, et plusieurs règles françaises allaient à l'encontre des nouvelles normes. La France a donc mis son droit interne en conformité avec une loi du 20 juin 2018 consacrée aux données personnelles.6
- 6 janvier 1978Loi Informatique et Libertés
- 27 avril 2016Adoption du RGPD
- 25 mai 2018Entrée en vigueur du RGPD
- 20 juin 2018Loi française d'adaptation
Les acteurs de la protection des données
La protection ne repose pas sur un seul organisme. Plusieurs acteurs, à des niveaux différents, ont chacun un rôle.
Les missions du DPD se regroupent en trois familles :
- Veiller : il contrôle en toute indépendance le respect du RGPD et des autres normes applicables par les responsables de traitement ou leurs sous-traitants. Il est obligatoirement consulté avant la mise en place d'un nouveau traitement ou d'une modification importante d'un traitement existant.3
- Contrôler : il pilote les actions qui permettent de mesurer la conformité, de repérer les non-conformités et de vérifier que les procédures et consignes sont bien appliquées.3
- Sensibiliser : il informe les services académiques, notamment par des formations et des supports de communication.3
Les obligations des organisations
Le RGPD ne se contente pas de dire ce qui est interdit. Il demande aux organisations d'être responsables, c'est-à-dire de pouvoir démontrer qu'elles respectent les règles.
L'éducation au numérique et la protection des données
Protéger les données et la vie privée fait partie intégrante de l'éducation au numérique, et les personnels éducatifs ont un rôle essentiel dans cette éducation citoyenne.2 Le sujet est de première importance et touche l'ensemble des pays.2
Une infographie intitulée « 10 principes clés pour protéger les données de vos élèves » aide les enseignants à utiliser le numérique en vérifiant que les données de leurs élèves sont protégées.3 Elle montre que la protection n'est pas réservée aux juristes : chacun, à son niveau, peut adopter les bons réflexes.
Traiter un cas pratique au bac
Exercices corrigés
Exercice 1 Classer des informations
Un lycée enregistre les informations suivantes sur un élève : (a) son nom et son prénom, (b) sa moyenne en droit et économie, (c) son appartenance à un syndicat lycéen, (d) un certificat médical, (e) le chiffre d'affaires d'une entreprise partenaire. Pour chacune, dis s'il s'agit d'une donnée personnelle, d'une donnée sensible, ou d'aucune des deux, en justifiant.
Indice 1
Une donnée personnelle concerne une personne physique identifiable.
Indice 2
Regarde la liste des catégories sensibles : origines, opinions, appartenance syndicale, santé, vie sexuelle.
Voir la correction pas à pas
(a) Le nom et le prénom identifient directement l'élève : donnée personnelle, non sensible.4
(b) La moyenne se rattache à un élève identifiable : donnée personnelle. Une donnée scolaire n'est pas sensible dans son ensemble : non sensible.5
(c) L'appartenance syndicale figure dans la liste des données sensibles : donnée personnelle et sensible.5
(d) Un certificat médical touche à la santé : donnée sensible.5
(e) Le chiffre d'affaires concerne une entreprise, pas une personne physique : ce n'est pas une donnée personnelle au sens étudié.
On raisonne information par information : la nature de chaque donnée détermine sa catégorie.
Exercice 2 Quel acteur, quel texte ?
Une académie veut déployer un nouveau service numérique qui collecte les coordonnées des familles. Un responsable affirme : « Le RGPD ne s'applique pas tant que la France n'a pas voté de loi pour le transposer. » Réponds en trois temps : (1) cette affirmation est-elle exacte ? (2) quelle démarche l'académie doit-elle accomplir avant de lancer le service ? (3) quelle autorité peut contrôler et sanctionner ensuite ?
Indice 1
Pense à la différence entre règlement et directive.
Indice 2
Le DPD doit être consulté dans un cas précis lié à la nouveauté du traitement.
Voir la correction pas à pas
(1) L'affirmation est fausse : un règlement européen est obligatoire et directement applicable, sans transposition en droit national.6
(2) Le service est un nouveau traitement : le DPD doit être obligatoirement consulté avant sa mise en œuvre.3
(3) La CNIL, autorité de surveillance française, dispose d'un pouvoir de contrôle et de sanction accru depuis la loi du 20 juin 2018.6
Synthèse : la règle s'applique déjà, le DPD est consulté en amont, la CNIL peut intervenir en aval.
Un règlement s'applique directement ; le DPD agit avant, la CNIL peut agir après.
Exercice 3 Du changement de texte à la durée
La directive 95/46/CE a été adoptée en 1995 et le RGPD s'applique depuis 2018. Combien d'années séparent les deux années, en prenant seulement les années civiles ?
Indice 1
Fais une soustraction entre les deux années.
Indice 2
Ne tiens pas compte des mois.
Exercice 4 Cas pratique complet
Un lycée installe un logiciel qui permet de suivre les absences et les motifs d'absence des élèves, dont certains motifs de santé. Rédige une analyse en identifiant : la qualification des données, les acteurs concernés, et la preuve de conformité attendue.
Indice 1
Sépare les données personnelles ordinaires des données de santé.
Indice 2
Pense à la protection dès la conception et par défaut.
Voir la correction pas à pas
Les noms et les absences identifient des élèves : données personnelles.4
Les motifs de santé entrent dans la catégorie sensible.5
Le logiciel est un nouveau traitement : le DPD doit être consulté à l'avance.3
L'organisation doit garantir et prouver sa conformité ; elle intègre dès la conception des mesures de protection par défaut.6
La CNIL, autorité de contrôle française, peut vérifier et sanctionner.6
Une bonne analyse qualifie, désigne les acteurs puis conclut sur la capacité à prouver la conformité.
Quiz
7 questions · correction immédiate · ton score reste sur ton appareil.
-
Une donnée personnelle concerne une personne physique identifiée ou qui peut l'être, directement ou indirectement.5 Limiter la notion au nom est tentant mais faux : un numéro d'identification suffit aussi. Les données de santé ne sont qu'une catégorie sensible parmi d'autres.
-
L'appartenance syndicale figure dans la liste des données sensibles, avec les opinions, les origines, la santé et la vie sexuelle.5 Le prénom identifie une personne mais n'est pas sensible ; la classe et l'établissement n'entrent pas dans cette liste.
-
Le CEPD a été créé pour coordonner les actions des autorités nationales et veiller à la protection des données.6 Le DPD agit au sein d'une organisation, pas entre pays ; une loi n'est pas un organisme.
Les questions qu'on se pose
Quelle est la différence entre donnée personnelle et donnée sensible ?
Une donnée personnelle est une information qui identifie ou peut identifier une personne physique.5 Une donnée sensible est une donnée personnelle d'un type particulier, notamment : origines, opinions politiques, philosophiques ou religieuses, appartenance syndicale, santé ou vie sexuelle.5 Toute donnée sensible est donc personnelle, mais l'inverse est faux.
Quelles dates dois-je retenir pour le bac ?
Quelle différence entre le DPD et la CNIL ?
Pourquoi apprendre cela en STMG ?
Toute organisation qui traite des données doit pouvoir garantir et prouver sa conformité.6 Cette logique de responsabilité sert directement dans les cas pratiques de droit.
Sources
Programme visé : Programmes et ressources en série STMG · Éduscol (Ministère de l'Éducation nationale)
- Programmes et ressources en série STMG, Éduscol (Ministère de l'Éducation nationale). Consulté le 11 novembre 2026.
- Le référentiel CNIL de formation des élèves à la protection des données personnelles, Éduscol. Consulté le 11 novembre 2026.
- Les enjeux de la protection des données au sein de l'éducation, Ministère de l'Éducation nationale. Consulté le 11 novembre 2026.
- Protection des données personnelles et assistance, Éduscol. Consulté le 11 novembre 2026.
- Le RGPD dans les établissements scolaires, Académie de Nancy-Metz. Consulté le 11 novembre 2026.
- Règlement général sur la protection des données, Wikipédia. Consulté le 11 novembre 2026.
Les numéros dans le texte renvoient à ces sources. Une source qui ne dit pas ce qu'on lui fait dire ? Signale-le.