Loi 25 et données des élèves : ce qui vous concerne vraiment
Vous n'êtes pas responsable de la conformité de votre centre de services. Mais quelques gestes simples, dans votre classe, changent beaucoup — et évitent des ennuis.
Depuis 2023, la Loi 25 encadre la façon dont les organismes québécois — écoles et centres de services compris — recueillent et conservent les renseignements personnels. Le texte est long et il ne vous vise pas directement : c'est votre organisme qui est responsable.
Mais certains gestes se posent dans votre classe, et personne d'autre ne peut les poser à votre place.
Le principe qui résume tout : ne recueillez que ce qui sert
C'est la minimisation, et c'est de loin la règle la plus utile.
Un exemple concret. Pour faire passer un examen sur tablette, de quoi avez-vous besoin? Du prénom et du nom de l'élève, pour savoir à qui appartient la copie. C'est tout.
Pas de sa date de naissance. Pas de son code permanent. Pas de son adresse courriel personnelle. Pas de sa photo. Chacun de ces éléments est un renseignement de plus à protéger, à conserver, et à supprimer un jour — pour un gain nul.
Quand un outil vous demande plus que le nécessaire, la bonne réaction n'est pas de remplir les champs. C'est de se demander pourquoi il les demande.
Les élèves ne devraient pas avoir de compte
C'est l'application la plus directe du principe.
Un compte élève, c'est un courriel, un mot de passe, une identité numérique de mineur hébergée quelque part, souvent hors du Québec. Pour faire remplir un examen de trente minutes.
Un lien ou un code à usage unique fait exactement le même travail sans rien créer de permanent. Quand l'examen est terminé, le code ne vaut plus rien.
L'intelligence artificielle : ce qui part et ce qui reste
C'est la question que les directions posent le plus souvent, et elle est légitime.
La règle est simple à formuler : un service d'IA est un sous-traitant. Lui transmettre un renseignement personnel, c'est le communiquer à un tiers — ce qui suppose une raison, une entente, et une transparence.
En pratique, cela veut dire regarder ce qui part réellement :
- Faire générer des questions de mathématique de 4e année : aucun renseignement personnel n'est en jeu. Aucun problème.
- Faire corriger des copies photographiées : le nom de l'élève est sur la copie. C'est un traitement de renseignements personnels — à faire avec un fournisseur encadré, et à déclarer.
- Faire rédiger une appréciation de bulletin : là, tout dépend de la façon dont c'est fait. Envoyer « Rédige un commentaire pour Léa Tremblay, 62 % en C2 » transmet le nom. Envoyer « Rédige un commentaire pour un élève à 62 % en C2 » et remplacer le prénom dans votre navigateur, une fois le texte revenu, ne transmet rien du tout.
La deuxième façon donne le même résultat. Elle demande juste qu'on y ait pensé.
Conserver n'est pas archiver
Une classe de l'an dernier n'a plus besoin d'exister sous forme nominative. Les résultats vous servent encore — pour vos statistiques, pour ajuster vos examens — mais les noms, non.
Retirer les noms en conservant les données, c'est ce qu'on appelle l'anonymisation, et c'est ce que la loi encourage : ce qui n'est plus nominatif n'est plus un renseignement personnel, donc plus un risque.
Faites-le à la fin de l'année, une fois les bulletins déposés. Dix minutes, et votre historique de trois ans cesse d'être une pile de renseignements sur des enfants.
Ce que vous pouvez demander à un fournisseur
Vous avez le droit de poser ces questions à n'importe quel outil numérique qu'on vous propose. Une bonne réponse est claire et courte; une mauvaise réponse est longue et évasive.
- Où sont hébergées les données? « Au Canada » est une réponse. « Sur des serveurs sécurisés » n'en est pas une.
- Qui sont vos sous-traitants? Un fournisseur qui utilise un service d'IA doit pouvoir le nommer.
- Que se passe-t-il quand je supprime un élève? Suppression réelle, ou simple masquage?
- Combien de temps conservez-vous les données après la fin de mon abonnement?
- Puis-je exporter mes données? Sinon, vous êtes captif — ce qui est un problème de conformité autant que de sécurité.
Le réflexe qui règle 90 % des cas
Avant d'entrer un renseignement dans un outil, posez-vous une seule question : est-ce que j'accepterais que le parent de cet élève voie exactement ce que je viens d'écrire, et sache exactement où ça s'en va?
Si la réponse est oui, allez-y. Si elle est non, il y a presque toujours une façon de faire la même chose sans ce renseignement-là.
Ce texte est une vulgarisation, pas un avis juridique. Pour les obligations formelles de votre établissement — registre des incidents, évaluation des facteurs relatifs à la vie privée, responsable de la protection des renseignements personnels — adressez-vous à votre centre de services.