Le RGPD dans les universités : le guide complet pour l’enseignement supérieur (2026)

Une vue d’ensemble sourcée de la protection des données dans l’enseignement supérieur, à l’usage des délégués à la protection des données, des équipes informatiques et des bibliothèques : ce que le RGPD exige d’une université, comment d’autres universités européennes l’appliquent, ce qui a valu des sanctions à des universités et à des établissements scolaires, et un plan sur 12 mois pour passer à la pratique. Chaque section renvoie à un guide plus détaillé.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

1. Que signifie le RGPD pour une université ?

Le RGPD s’applique à toutes les universités de l’UE et de l’EEE, publiques comme privées, car toutes traitent des données personnelles d’étudiants, de candidats, de personnels, de participants à la recherche, de diplômés, d’usagers des bibliothèques et de visiteurs. Une université publique est en général une autorité publique, ce qui change trois choses : les bases légales qu’elle peut invoquer, son obligation de désigner un DPO et, dans certains pays, la possibilité de lui infliger une amende.

L’enseignement supérieur est un environnement difficile pour la protection des données. Une université est à la fois employeur, établissement d’enseignement, autorité qui délivre les diplômes, organisme de recherche, bibliothèque, bailleur et parfois partenaire d’établissements de santé. Les composantes et les équipes de recherche choisissent souvent leurs propres outils. Des milliers de nouveaux étudiants arrivent chaque année, et de nombreux personnels travaillent entre plusieurs établissements et pays. Le RGPD ne prévoit pas de règles spécifiques aux universités, mais il laisse une place au droit national, et les lois nationales sur les universités et sur les archives façonnent une grande partie de la pratique quotidienne.

Ce guide couvre l’ensemble du sujet sous forme de vue d’ensemble. Pour le texte du règlement lui-même, voir notre page Le RGPD expliqué. Pour chaque thème ci-dessous, nous renvoyons à un guide, un modèle ou un outil gratuit plus détaillé.

2. Sur quelle base légale une université s’appuie-t-elle ?

La plupart des universités publiques européennes s’appuient sur l’article 6, paragraphe 1, point e, du RGPD : le traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. L’article 6, paragraphe 3, exige que cette base soit définie par le droit de l’Union ou d’un État membre : l’université renvoie donc au texte national qui lui confie ses missions, par exemple une loi sur les universités. L’obligation légale (art. 6, paragraphe 1, point c) couvre les obligations imposées par la loi.

Une mission d’intérêt public ancrée dans le droit national

L’article 6, paragraphe 3, dispose que le fondement du traitement visé aux points c) et e) « est défini par » le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis. Les mentions d’information des universités montrent comment cela fonctionne en pratique :

• L’université d’Oslo fonde le traitement des données des étudiants sur l’article 6, paragraphe 1, point e, combiné aux articles 2-1 et 2-8 de la loi norvégienne sur les universités et les établissements d’enseignement supérieur.
• L’université d’Helsinki indique que le traitement « is based on the University’s statutory tasks carried out in the public interest (section 2 of the Universities Act) » (repose sur les missions légales de l’université exercées dans l’intérêt public, article 2 de la loi sur les universités).
• L’université de Stockholm précise que la base légale la plus courante est « a task of public interest in accordance with Article 6(1)(e) » (une mission d’intérêt public au sens de l’article 6, paragraphe 1, point e).
• L’université d’Uppsala relève que le traitement « is often an aspect of the exercise of official authority » (relève souvent de l’exercice de l’autorité publique) dans les affaires concernant les étudiants, et qu’il s’inscrit souvent dans l’intérêt public pour la recherche.
• Le Trinity College Dublin fonde la recherche sur l’article 6, paragraphe 1, point e, et sur l’Universities Act irlandais de 1997, selon lequel promouvoir la recherche est « a primary object and function of the University » (un objet et une fonction premiers de l’université).
• L’université de Barcelone invoque l’intérêt public pour les données de mobilité étudiante, en citant la loi organique espagnole 2/2023 sur le système universitaire (LOSU) et la loi catalane sur les universités.

Une même mention peut recourir à plusieurs bases. La mention d’information destinée aux candidats de l’université Paris-Saclay (septembre 2026) cite la mission d’intérêt public pour l’examen des candidatures, une obligation légale pour l’inscription et l’intérêt légitime pour les invitations aux cérémonies de remise des diplômes. Cette approche finalité par finalité est une bonne pratique et facilite la tenue de votre registre des traitements.

La limite de l’intérêt légitime

Le dernier alinéa de l’article 6, paragraphe 1, prévoit que le point f), l’intérêt légitime, « ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions ». Le considérant 47 explique qu’il appartient au législateur de prévoir par la loi la base juridique des traitements des autorités publiques. Les lignes directrices 1/2024 du CEPD sur l’intérêt légitime (version 1.0, soumise à consultation) ajoutent que les autorités publiques ne peuvent l’invoquer que « in exceptional and limited cases » (dans des cas exceptionnels et limités) pour des activités sans lien avec leurs missions spécifiques, lorsque le droit national le permet, et que ce choix doit être documenté en interne.

Analyse de Validemic En pratique, une université publique ne devrait pas recourir à l’intérêt légitime pour l’enseignement, l’évaluation, la gestion de la scolarité ou la recherche. Il peut se défendre pour des activités réellement périphériques, comme certains événements destinés aux diplômés ou une boutique sur le campus, selon le droit national. Si vous l’utilisez, réalisez et conservez une mise en balance des intérêts ; notre modèle d’évaluation de l’intérêt légitime est conçu pour cela.

Pourquoi le consentement est une base fragile pour les traitements essentiels

Le considérant 43 indique que le consentement ne devrait pas constituer un fondement juridique valable lorsqu’il existe « un déséquilibre manifeste entre la personne concernée et le responsable du traitement, en particulier lorsque le responsable du traitement est une autorité publique ». Les consignes de l’université d’Oslo à ses personnels appliquent ce principe à l’emploi : l’université en tant qu’employeur « would normally not be able to use consent as a processing basis for employees » (ne pourrait normalement pas utiliser le consentement comme base de traitement pour ses salariés). La même logique vaut pour les étudiants qui doivent utiliser un système pour valider un cours. Le consentement garde sa place pour les activités facultatives : lettres d’information, photos utilisées à des fins de communication ou outil pilote facultatif. Les lignes directrices du CEPD sur le consentement en précisent les conditions. Pour la recherche, le choix de la base légale est traité dans notre guide la base légale de la recherche au regard du RGPD.

3. Quelles personnes une université concerne-t-elle ?

Une université traite des données sur au moins sept catégories de personnes. Chacune a ses propres finalités, bases légales, durées de conservation et risques : il est donc utile d’organiser les mentions d’information, le registre et le tableau de gestion des durées de conservation par catégorie. Le tableau donne un point de départ courant, pas une règle : vérifiez votre propre droit national.

4. Catégories particulières de données et données d’infraction

L’article 9, paragraphe 1, interdit le traitement des catégories particulières de données, sauf si une exception de l’article 9, paragraphe 2, s’applique. Ces catégories sont l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques aux fins d’identifier une personne, les données de santé et les données concernant la vie sexuelle ou l’orientation sexuelle. Les universités traitent toutes ces catégories.

Exemples courants à l’université :

• Données de santé pour les aménagements d’études, les aménagements d’examens, les congés maladie et la médecine du travail.
• Données biométriques dans certains outils de télésurveillance des examens, la reconnaissance faciale et le contrôle d’accès.
• Appartenance syndicale dans les retenues sur salaire.
• Données de recherche en médecine, psychologie, sciences sociales et science politique, où les catégories particulières sont souvent l’objet même de la recherche.

Pour les missions essentielles d’une université, les exceptions les plus courantes sont l’article 9, paragraphe 2, point b (droit du travail), point g (motifs d’intérêt public important sur la base du droit) et point j (recherche, avec les garanties de l’article 89). L’université d’Oslo indique que, pour les catégories particulières de données des étudiants, « the legal basis is Article 9 g) of the GDPR » (la base légale est l’article 9, point g, du RGPD), lu conjointement avec la loi nationale. Chacune de ces exceptions dépend du droit de l’Union ou du droit national : le fondement exact varie donc selon les pays.

Les condamnations pénales et les infractions relèvent de l’article 10, qui n’autorise le traitement que sous le contrôle de l’autorité publique ou lorsque le droit de l’Union ou d’un État membre l’autorise. C’est le cas des vérifications d’antécédents judiciaires pour les étudiants des formations d’enseignants, de santé et de travail social, qui reposent généralement sur le droit national.

5. Une université doit-elle désigner un DPO ?

Oui, si elle est une autorité ou un organisme public. L’article 37, paragraphe 1, point a, impose un DPO lorsque « le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle ». Les universités privées en ont généralement besoin aussi, car le traitement à grande échelle de catégories particulières de données ou le suivi régulier et systématique de personnes sont courants dans l’enseignement supérieur (art. 37, paragraphe 1, points b et c).

La faculté de droit de l’université de Lisbonne en donne un exemple typique : sa politique de confidentialité indique que, « Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD » (compte tenu de l’obligation légale découlant de l’article 37, paragraphe 1, point a, du RGPD), elle a désigné un DPO. L’article 37, paragraphe 3, permet de désigner un seul DPO pour plusieurs organismes publics, compte tenu de leur structure et de leur taille, ce que font certains petits établissements.

Ce que fait le DPO, et ce qu’il ne fait pas

Selon l’article 39, paragraphe 1, le DPO doit au minimum informer et conseiller l’université et ses personnels, contrôler le respect du règlement (y compris la répartition des responsabilités, la sensibilisation, la formation et les audits), conseiller sur les AIPD, et coopérer avec l’autorité de contrôle et faire office de point de contact pour celle-ci. L’université d’Utrecht le résume ainsi : « The DPO’s main job is to oversee the application and observance of the GDPR within the organisation » (la mission principale du DPO est de veiller à l’application et au respect du RGPD au sein de l’organisation).

Le DPO conseille ; l’université décide. L’article 38 protège la fonction : le DPO doit être associé « d’une manière appropriée et en temps utile » à toutes les questions de protection des données, disposer des ressources nécessaires, ne peut « être relevé de ses fonctions ou pénalisé » pour l’exercice de ses missions, et fait directement rapport au niveau le plus élevé de la direction. Ses coordonnées doivent être publiées et communiquées à l’autorité de contrôle (art. 37, paragraphe 7). La plupart des universités publient une adresse fonctionnelle, comme fg@uva.nl à l’université d’Amsterdam ou dataskyddsombud@uu.se à Uppsala.

Les lignes directrices du groupe de travail « Article 29 » concernant les DPO (WP243 rev.01), approuvées par le CEPD, précisent que le DPO ne peut pas occuper une fonction qui l’amène à déterminer les finalités et les moyens d’un traitement, et citent le responsable informatique et le responsable des ressources humaines comme exemples de fonctions potentiellement incompatibles. Lors de l’action coordonnée du CEPD de 2023 sur les DPO, 25 autorités ont notamment constaté des DPO aux ressources insuffisantes et des DPO auxquels n’étaient pas confiées toutes les missions prévues par le RGPD.

Analyse de Validemic Dans une grande université, un seul DPO ne peut pas examiner chaque outil, chaque mention et chaque projet. Les établissements qui s’en sortent le mieux construisent un réseau : des référents protection des données dans chaque composante, un spécialiste au service de la recherche, et la sécurité informatique chargée de l’examen technique. Le DPO conseille alors sur les cas difficiles et contrôle l’ensemble du dispositif.

6. Le registre des activités de traitement (article 30)

Toute université doit tenir un registre des activités de traitement. L’exemption de l’article 30, paragraphe 5, pour les organisations de moins de 250 salariés n’est d’aucun secours : elle ne s’applique pas lorsque le traitement « n’est pas occasionnel » ou porte sur des catégories particulières de données, ce qui est le cas de toute université. Le registre doit indiquer les finalités, les catégories de données et de personnes concernées, les destinataires, les transferts, les durées de conservation et les mesures de sécurité.

Le registre est aussi un outil de travail. La KU Leuven indique à ses étudiants que « specific retention periods per processing activity are included in the register of processing activities » (les durées de conservation propres à chaque activité de traitement figurent dans le registre des activités de traitement), ce qui relie directement le registre au tableau de gestion des durées de conservation. L’université Complutense de Madrid publie son registre des activités de traitement (Registro de Actividades de Tratamiento) en ligne, de sorte que chacun peut voir ce que traite l’université et pourquoi.

Une structure pratique consiste à prévoir une fiche par finalité, regroupée par catégorie de personnes, avec une colonne pour chaque système et fournisseur concerné. Notre modèle de registre pour les universités et le modèle Word suivent cette structure.

7. Transparence et mentions d’information

Les articles 13 et 14 imposent à l’université d’indiquer aux personnes, au moment de la collecte (ou dans un délai d’un mois si les données proviennent d’une autre source), l’identité du responsable du traitement, les coordonnées du DPO, les finalités et la base légale, les destinataires, les transferts, la durée de conservation et leurs droits. Les universités publient généralement des mentions à plusieurs niveaux : une mention générale, puis une mention par catégorie de personnes ou par processus important.

Exemples à consulter :

• L’université d’Amsterdam désigne clairement le responsable du traitement : « The Executive Board of the UvA is the controller » (le conseil exécutif de l’UvA est le responsable du traitement).
• La KU Leuven dispose d’une mention distincte pour les participants à la recherche, en plus de sa mention destinée aux étudiants.
• L’université Paris-Saclay publie une mention propre à un processus (les candidatures en ligne), avec une base légale par finalité et une durée de conservation par catégorie.

Pour les participants à la recherche, l’article 14, paragraphe 5, point b, prévoit une exception lorsque l’information de chaque personne se révèle impossible ou exigerait des efforts disproportionnés, notamment pour la recherche, mais l’université doit alors rendre l’information publique et prendre d’autres mesures. Notre modèle de mention d’information pour les participants à la recherche détaille ces points.

8. Les droits des personnes concernées

Les étudiants, les personnels, les candidats et les participants disposent des droits d’accès, de rectification, d’effacement, de limitation, de portabilité (pour le consentement et le contrat) et d’opposition (pour la mission d’intérêt public). L’université doit répondre « dans un délai d’un mois à compter de la réception de la demande », délai qui peut être prolongé de deux mois pour les demandes complexes (art. 12, paragraphe 3).

Trois questions se posent plus souvent à l’université qu’ailleurs :

1. Les demandes d’accès dans un contexte de litige. Les étudiants qui contestent une note et les personnels en litige avec leur employeur demandent souvent tout, y compris les e-mails. Notre guide des demandes d’accès dans les universités traite des copies d’examen, des e-mails et des données de recherche, avec des modèles de réponse. Les lignes directrices 01/2022 du CEPD sur le droit d’accès sont la référence principale.
2. Effacement et archivage. Les universités publiques doivent souvent conserver des documents en application des lois sur les archives. L’université de Copenhague indique qu’il n’existe « no right to erasure of information that has been filed in the University’s archives in accordance with the Archives Act » (aucun droit à l’effacement des informations versées aux archives de l’université en application de la loi sur les archives). L’article 17, paragraphe 3, points b et d, prévoit les exceptions sur lesquelles cela repose.
3. L’accès du public aux documents administratifs. En Suède et en Finlande en particulier, toute personne peut demander communication des documents détenus par les universités publiques au titre des règles de transparence administrative. L’université de Lund rappelle que les documents publics sont conservés en application de la loi sur la liberté de la presse et de la loi sur les archives. Protection des données et gestion des archives doivent être coordonnées.

L’article 22 prend aussi de l’importance avec la diffusion des outils automatisés. Les décisions fondées exclusivement sur un traitement automatisé et affectant une personne de manière significative, comme un refus d’admission automatique, ne sont autorisées que dans des cas limités, avec des garanties comprenant une intervention humaine.

9. Quand une AIPD est-elle nécessaire ?

Une analyse d’impact relative à la protection des données est obligatoire avant tout traitement « susceptible d’engendrer un risque élevé » pour les personnes (art. 35, paragraphe 1). Les lignes directrices WP248, approuvées par le CEPD, posent neuf critères ; un traitement qui en remplit deux exige en général une AIPD. Dans l’enseignement supérieur, le suivi des étudiants, les catégories particulières de données, les technologies nouvelles et la relation inégale entre université et étudiant suffisent souvent à réunir deux critères.

Traitements universitaires qui exigent généralement une AIPD : la télésurveillance des examens, l’analytique de l’apprentissage et les systèmes d’alerte précoce, les outils d’IA qui évaluent les travaux des étudiants ou les commentent, les grands projets de recherche portant sur des données de santé, les systèmes de vidéoprotection du campus et les nouveaux systèmes de scolarité ou de RH. Le responsable du traitement doit demander conseil au DPO lorsqu’il effectue une AIPD (art. 35, paragraphe 2).

L’université d’Édimbourg montre un circuit d’entrée efficace : les personnels écrivent au DPO et « will be assigned an assessment through our online tool » (se voient attribuer une évaluation dans l’outil en ligne), et une AIPD existante pour le même système peut être réutilisée. La réutilisation compte : si dix services adoptent la même plateforme, une AIPD bien tenue à jour, complétée d’annexes locales, vaut mieux que dix analyses partielles.

Commencez par notre outil gratuit de pré-évaluation AIPD, puis utilisez le modèle d’AIPD pour les universités. Pour les domaines à risque élevé, voir examens en ligne et télésurveillance et analytique de l’apprentissage.

10. Sous-traitants et contrats avec les fournisseurs

Lorsqu’un fournisseur traite des données personnelles pour le compte de l’université, celle-ci doit faire uniquement appel à des sous-traitants présentant des « garanties suffisantes » et conclure un contrat conforme à l’article 28, paragraphe 3. Cela vaut pour la plateforme pédagogique, le système de gestion de la scolarité, le stockage en ligne, les outils d’enquête et les services d’IA, ainsi que pour les outils gratuits adoptés de leur propre initiative par les enseignants.

Le volet fournisseurs de la conformité universitaire comprend en général :

• Une analyse des rôles : le fournisseur est-il sous-traitant, responsable du traitement pour certaines finalités (par exemple l’amélioration du produit ou l’entraînement de modèles) ou responsable conjoint ? Voir notre guide sur l’accord de responsabilité conjointe pour les consortiums de recherche.
• Un contrat de sous-traitance vérifié au regard des huit points de l’article 28, paragraphe 3. Notre outil de vérification des contrats de sous-traitance confronte un projet à chacun de ces points.
• Une liste à jour des sous-traitants ultérieurs avec leur localisation, et un moyen de repérer les changements et de s’y opposer. Notre outil d’alertes sur les sous-traitants ultérieurs facilite ce suivi.
• Des preuves de sécurité, comme une certification ISO/IEC 27001 ou un rapport SOC 2, dont le périmètre est vérifié.
• Pour les fonctionnalités d’IA : l’utilisation ou non des données de l’université pour l’entraînement, et l’identité des fournisseurs d’IA qui interviennent comme sous-traitants ultérieurs.

Notre guide de référence sur l’évaluation des fournisseurs pour les universités couvre l’ensemble du processus, de la demande initiale à la sortie du contrat, et nos fiches RGPD résument ce que des fournisseurs comme Canvas, Moodle, Microsoft 365, Google Workspace, Zoom et Turnitin documentent publiquement. Les outils non autorisés sont un problème distinct ; voir le shadow IT et les outils d’IA non autorisés.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

11. Transferts internationaux

Les transferts de données personnelles hors de l’EEE ne sont autorisés que dans le cadre du chapitre V : une décision d’adéquation, des garanties appropriées comme les clauses contractuelles types (CCT) accompagnées d’une analyse d’impact des transferts, ou une dérogation d’interprétation stricte. L’accès à distance depuis un pays tiers, par exemple par le support d’un fournisseur, constitue aussi un transfert : un hébergement dans l’UE ne règle donc pas à lui seul la question.

Pour les fournisseurs américains, la décision d’adéquation relative au cadre de protection des données UE-États-Unis (décision d’exécution (UE) 2023/1795) couvre les organisations inscrites sur la liste du DPF. Un pourvoi contre l’arrêt du Tribunal qui l’a confirmée est pendant (affaire C-703/25 P) : les universités doivent donc savoir quels fournisseurs en dépendent. L’article 49, paragraphe 3, précise en outre que les dérogations fondées sur le consentement et sur le contrat ne s’appliquent pas aux autorités publiques dans l’exercice de leurs prérogatives de puissance publique, ce qui en limite l’usage pour les universités publiques.

Les transferts sont au cœur de plusieurs affaires dans le secteur de l’éducation. En 2022, le Datatilsynet danois a interdit à la commune d’Helsingør d’utiliser des Chromebooks et Google Workspace dans ses écoles, y compris pour les transferts vers des pays tiers ; l’interdiction a ensuite été suspendue et remplacée par des injonctions. L’IMY suédoise a sanctionné l’université d’Umeå dans une affaire portant notamment sur des données sensibles stockées dans un service cloud sans protection suffisante.

Pour aller plus loin : le cadre de protection des données UE-États-Unis pour les universités, le modèle d’analyse d’impact des transferts, l’outil gratuit sur les mécanismes de transfert et le CLOUD Act et la souveraineté numérique.

12. Sécurité et violations de données

L’article 32 impose une sécurité adaptée au risque. L’article 33 impose à l’université de notifier toute violation de données à caractère personnel à l’autorité de contrôle dans les meilleurs délais et, si possible, « 72 heures au plus tard après en avoir pris connaissance », à moins que la violation ne soit pas susceptible d’engendrer un risque. Si le risque est élevé, les personnes concernées doivent aussi être informées (art. 34).

Le délai de 72 heures court à partir du moment où l’université a connaissance de la violation, et non du moment où le DPO en est informé : le circuit interne doit donc être rapide et connu de tous les personnels. Les procédures des universités présentent des points communs :

• Université Aalto : une violation suspectée « must be immediately reported by contacting the university’s information security team » (doit être immédiatement signalée à l’équipe de sécurité informatique de l’université) ; le DPO se charge de la notification au médiateur de la protection des données.
• Le Karolinska Institutet donne à ses personnels des exemples concrets, comme un e-mail envoyé au mauvais destinataire, des données perdues ou des identifiants piratés.
• Le Trinity College Dublin demande aux personnels de signaler sans délai au bureau de la protection des données et précise que le signalement d’une violation n’est pas traité comme une affaire disciplinaire.
• La NTNU distingue les incidents de sécurité (signalés à son SOC) des signalements d’écarts en matière de vie privée, en précisant qu’un signalement « must describe the action, not the person who performed it » (doit décrire l’action, et non la personne qui l’a commise).

L’article 33, paragraphe 5, impose de documenter toute violation, y compris celles qui ne sont pas notifiées à l’autorité. Les lignes directrices 9/2022 du CEPD expliquent quand la notification est requise. Notre guide de gestion des violations, le kit de réponse aux violations et le minuteur de notification des violations aident à s’y préparer. Les universités peuvent aussi relever des règles nationales de transposition de NIS2 ; voir NIS2 et les universités.

13. Durées de conservation et archivage

Les données personnelles ne doivent pas être conservées plus longtemps que nécessaire au regard de leurs finalités (limitation de la conservation, art. 5, paragraphe 1, point e), mais celles qui sont conservées uniquement à des fins archivistiques dans l’intérêt public ou à des fins de recherche peuvent l’être plus longtemps, moyennant des garanties. Pour les universités publiques, les lois nationales sur les archives déterminent souvent ce qui doit être conservé et pendant combien de temps : le tableau de gestion doit donc être élaboré avec l’archiviste, et pas seulement avec le DPO.

Exemples de l’influence des règles nationales sur la conservation :

• L’université de Lund explique qu’en vertu de la loi suédoise sur les archives (1990:782), les données personnelles peuvent être conservées « in some cases indefinitely in the University’s archive » (dans certains cas indéfiniment dans les archives de l’université).
• L’université Paris-Saclay conserve les données des candidats admis pendant 50 ans en application des règles françaises sur les archives : « Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans ».
• L’université d’Utrecht conserve les données brutes de recherche « for at least ten years after publication of the research results » (au moins dix ans après la publication des résultats), conformément aux règles d’intégrité scientifique.

C’est dans les systèmes des fournisseurs que la conservation échoue le plus souvent : un dossier supprimé dans le système de scolarité peut subsister dans un outil d’enquête, une plateforme vidéo ou des sauvegardes. Notre modèle de tableau de gestion des durées de conservation (fichier Word) comporte une colonne pour les systèmes qui contiennent chaque type de document.

14. La recherche et l’article 89

Le RGPD est relativement favorable à la recherche. L’article 9, paragraphe 2, point j, autorise le traitement de catégories particulières de données à des fins de recherche sur la base du droit de l’Union ou d’un État membre, et l’article 89, paragraphe 1, impose des garanties, en particulier la minimisation et, lorsque c’est possible, la pseudonymisation. L’article 89, paragraphe 2, permet au droit national de limiter certains droits lorsqu’ils risqueraient de compromettre gravement la recherche.

La mise en œuvre varie fortement d’un pays à l’autre ; un guide d’ensemble ne peut en donner que les grandes lignes. Quelques exemples :

• Université d’Utrecht : « Conducting scientific research is a task of public interest entrusted to the UU » (mener des recherches scientifiques est une mission d’intérêt public confiée à l’UU), avec un consentement explicite recueilli pour les catégories particulières de données.
• Université de Copenhague : en l’absence de consentement, les données de recherche sensibles sont traitées sur le fondement de l’article 6, paragraphe 1, point e, et de l’article 10 de la loi danoise sur la protection des données, mais seulement « if the processing is aimed at statistical or scientific studies with potential public interest » (si le traitement vise des études statistiques ou scientifiques présentant un intérêt public potentiel).
• Le Trinity College Dublin s’appuie sur l’article 9, paragraphe 2, point j, avec les garanties de l’article 89, paragraphe 1, tout en relevant que la réglementation irlandaise sur la recherche en santé impose toujours un consentement explicite pour celle-ci.
• La bibliothèque de l’University College Dublin rappelle aux chercheurs que le RGPD « applies to any research that uses personal data, including scientific research and studies in the arts and humanities » (s’applique à toute recherche utilisant des données personnelles, y compris en arts et en sciences humaines).
• En Norvège, les établissements conventionnés utilisent le formulaire de déclaration de Sikt ; Sikt décrit son rôle comme « to advise and guide you on how to process personal data lawfully » (vous conseiller et vous guider pour traiter les données personnelles de manière licite).

Les mémoires et projets de fin d’études des étudiants sont un angle mort fréquent. L’université d’Uppsala considère l’université comme responsable du traitement pour ces travaux et indique aux étudiants que « when processing sensitive personal data, consent must be obtained before the processing begins » (lorsque des données sensibles sont traitées, le consentement doit être recueilli avant le début du traitement).

Pour aller plus loin : la base légale de la recherche, l’information des participants à la recherche, les accords de responsabilité conjointe, les accords de partage de données, où stocker les données de recherche et le RGPD et les outils d’IA dans la recherche.

15. Les outils d’IA et le règlement européen sur l’IA

Le RGPD s’applique aux outils d’IA comme à tout autre traitement : une base légale, un contrat de sous-traitance, un contrôle des transferts et souvent une AIPD. Le règlement européen sur l’IA (règlement (UE) 2024/1689) ajoute des obligations distinctes pour les universités en tant que déployeurs. Il ne remplace pas le RGPD, et la plupart des outils d’IA utilisés aujourd’hui dans les universités soulèvent davantage de questions au regard du RGPD qu’au regard du règlement sur l’IA.

Le règlement sur l’IA a été modifié par le règlement (UE) 2026/1744 (l’Omnibus numérique sur l’IA), en vigueur depuis le 27 juillet 2026. Au 9 octobre 2026, la situation des universités est la suivante :

Analyse de Validemic Les questions RGPD à poser pour tout outil d’IA sont les suivantes : le fournisseur utilise-t-il les données de l’université pour entraîner ses modèles, la réponse diffère-t-elle entre l’offre gratuite et l’offre établissement, quels fournisseurs de modèles d’IA interviennent comme sous-traitants ultérieurs et où sont-ils situés, et l’outil prend-il ou appuie-t-il des décisions concernant les étudiants susceptibles de relever de l’article 22 ? Les universités qui répondent dès maintenant à ces questions aborderont bien plus facilement les obligations de 2027 relatives au haut risque.

Pour aller plus loin : le règlement européen sur l’IA pour les universités, le règlement sur l’IA expliqué, l’outil de vérification du règlement sur l’IA pour l’éducation, notre modèle de politique d’IA, les outils d’IA autorisés dans les universités européennes et les services d’IA gérés par les universités nordiques. Les bibliothèques qui négocient des clauses relatives à l’IA dans leurs licences peuvent consulter les licences des bibliothèques, l’IA et la fouille de textes et de données.

16. Sanctions : ce qui a été reproché aux universités et aux établissements scolaires

Les autorités de contrôle ont sanctionné des universités, et pas seulement des entreprises. La possibilité d’infliger une amende à un organisme public relève du droit national : l’article 83, paragraphe 7, permet à chaque État membre de déterminer « si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics ». Les affaires ci-dessous sont tirées des pages des autorités elles-mêmes.

Analyse de Validemic La tendance est constante. Les universités sont rarement sanctionnées pour des questions juridiques pointues. Elles le sont pour la sécurité de base (messagerie, serveurs web), pour l’adoption de technologies de surveillance ou biométriques sans base légale ni AIPD appropriées, et pour avoir placé des données sensibles dans des services qui n’avaient pas été évalués. Chacun de ces écueils peut être évité grâce aux fondamentaux de la feuille de route ci-dessous.

17. Qui fait quoi dans une université

Le RGPD fait peser la responsabilité sur l’université en tant que responsable du traitement, et en pratique sur sa direction et sur les responsables métier de chaque processus. Le DPO conseille et contrôle. L’essentiel du travail est assuré par d’autres services, et des lacunes apparaissent lorsque chacun suppose qu’un autre a fait la vérification.

Mettez cette répartition par écrit. Une courte matrice des responsabilités, approuvée par la direction, évite la plupart des différends et rend possible la mission de contrôle du DPO. Nos guides sur la vie privée des usagers des bibliothèques et sur l’accessibilité dans les achats traitent de deux domaines où les responsabilités sont souvent floues.

18. Une feuille de route de mise en conformité sur 12 mois

Le plan ci-dessous convient à une université dont les fondamentaux existent sur le papier mais doivent encore fonctionner en pratique. Adaptez l’ordre à vos propres lacunes ; une université qui vient de subir une violation commencera par la sécurité. Chaque étape doit aboutir à un document ou à une décision.

Sources

1. Règlement (UE) 2016/679 (RGPD), texte du Journal officiel, considérants 43 et 47, articles 5, 6, 9, 10, 12 à 14, 17, 22, 28, 30, 32 à 39, 49, 83, 88 et 89 (consulté le 9 octobre 2026).
2. Règlement (UE) 2024/1689 (règlement sur l’IA), articles 4, 5, 26, 27, 50 et annexe III, et règlement (UE) 2026/1744 (Omnibus numérique sur l’IA).
3. Décision d’exécution (UE) 2023/1795 de la Commission (cadre de protection des données UE-États-Unis) et pourvoi dans l’affaire C-703/25 P.
4. Lignes directrices 1/2024 du CEPD sur le traitement fondé sur l’article 6, paragraphe 1, point f, du RGPD, version 1.0, points 98 et 99 (en anglais, consulté le 9 octobre 2026).
5. Lignes directrices 05/2020 du CEPD sur le consentement (consulté le 9 octobre 2026).
6. Groupe de travail « Article 29 », lignes directrices concernant les délégués à la protection des données (WP243 rev.01) (consulté le 9 octobre 2026).
7. Action coordonnée du CEPD : désignation et position des délégués à la protection des données, rapport publié en janvier 2024 (en anglais, consulté le 9 octobre 2026).
8. Groupe de travail « Article 29 », lignes directrices concernant l’AIPD (WP248 rev.01) (consulté le 9 octobre 2026).
9. Lignes directrices 01/2022 du CEPD sur le droit d’accès (consulté le 9 octobre 2026).
10. Lignes directrices 9/2022 du CEPD relatives à la notification des violations de données à caractère personnel (consulté le 9 octobre 2026).
11. Data Protection Commission (Irlande) : Inquiry into University College Dublin et décision du 17 décembre 2020 (en anglais, consulté le 9 octobre 2026).
12. Garante per la protezione dei dati personali : décision du 16 septembre 2021 concernant l’Università Bocconi (docweb 9703988) et lettre d’information du 18 février 2020 (docweb 9266789) (en italien, consulté le 9 octobre 2026).
13. IMY (Suède) : Umeå universitet et Gymnasienämnden i Skellefteå kommun (en suédois, consulté le 9 octobre 2026).
14. Autoriteit Persoonsgegevens : HAN University of Applied Sciences fined EUR 175,000 (en anglais, consulté le 9 octobre 2026).
15. Datatilsynet (Danemark) : décision du 14 juillet 2022 dans l’affaire des Chromebooks (Helsingør) (en danois, consulté le 9 octobre 2026).
16. ICO : Essex school reprimanded after using facial recognition technology for canteen payments, juillet 2024 (en anglais, consulté le 9 octobre 2026).
17. Sikt : Notification form for personal data (en anglais, consulté le 9 octobre 2026).
18. Université d’Oslo : Declaration on data protection (students) et Conditions for processing personal data (en anglais, consulté le 9 octobre 2026).
19. Université d’Uppsala : Data protection policy et GDPR in degree projects (en anglais, consulté le 9 octobre 2026).
20. Université de Lund : Processing of personal data at Lund University (en anglais, consulté le 9 octobre 2026).
21. Université de Stockholm : Processing of personal data at Stockholm University (en anglais, consulté le 9 octobre 2026).
22. Karolinska Institutet : Report information security incidents and personal data breaches (en anglais, consulté le 9 octobre 2026).
23. Université d’Helsinki : Data protection (en anglais, consulté le 9 octobre 2026).
24. Université Aalto : Aalto University data protection policy (en anglais, consulté le 9 octobre 2026).
25. Université de Copenhague : Privacy policy (en anglais, consulté le 9 octobre 2026).
26. NTNU : Information security: digital security incidents and deviations (en anglais, consulté le 9 octobre 2026).
27. KU Leuven : Processing of student data et Processing of research participants’ data (en anglais, consulté le 9 octobre 2026).
28. Université d’Amsterdam : Privacy statement (en anglais, consulté le 9 octobre 2026).
29. Université d’Utrecht : Privacy statement for participants in scientific research et Data protection officer (en anglais, consulté le 9 octobre 2026).
30. Trinity College Dublin : Legal basis for research et Data breaches (en anglais, consulté le 9 octobre 2026).
31. Bibliothèque de l’University College Dublin : Research data management: GDPR (en anglais, consulté le 9 octobre 2026).
32. Université d’Édimbourg : Data protection impact assessments (en anglais, consulté le 9 octobre 2026).
33. Université Paris-Saclay : mention d’information sur le traitement des données des candidats (eCandidat), septembre 2026 (consulté le 9 octobre 2026).
34. Université Complutense de Madrid : Delegado de Protección de Datos (en espagnol, consulté le 9 octobre 2026).
35. Université de Barcelone : informations sur la protection des données (mobilité SICUE) (en catalan, consulté le 9 octobre 2026).
36. Université de Lisbonne, faculté de droit : Política de Privacidade (2021) (en portugais, consulté le 9 octobre 2026).

À propos de cette page

Sources vérifiées le 9 octobre 2026. Nous avons lu le RGPD dans la version du Journal officiel publiée par l’Office des publications de l’Union européenne, les documents du CEPD et du groupe de travail « Article 29 » cités ci-dessus, les pages de décision des autorités de contrôle elles-mêmes et les pages consacrées à la protection des données des universités citées. Les citations du RGPD reprennent le texte officiel français ; les citations de pages rédigées dans d’autres langues sont données dans leur langue d’origine, avec une traduction ou une explication en français entre parenthèses. Les exemples universitaires montrent comment un établissement applique le RGPD dans le cadre de son propre droit national ; ce ne sont pas des modèles valables pour tous les pays. Le calendrier du règlement sur l’IA et le cadre de protection des données UE-États-Unis sont susceptibles d’évoluer, et nous mettrons cette page à jour le cas échéant. Notre propre interprétation est signalée comme une analyse de Validemic. Cette page fournit une information générale et ne constitue pas un conseil juridique. Si vous repérez une erreur ou un point dépassé, contactez-nous et nous la corrigerons.