Edtech Examined — les audits de l'ICO britannique auprès de 28 fournisseurs de technologies scolaires et 596 recommandations sur la protection des données

Entre 2024 et 2025, l'Information Commissioner's Office (ICO) du Royaume-Uni a mené des audits consensuels de protection des données auprès de 28 fournisseurs de technologies éducatives dont les produits - systèmes d'information de gestion, outils de protection de l'enfance, plateformes de gestion du comportement, systèmes de gestion de l'apprentissage, applications de classe et services d'intégration de données - sont largement utilisés dans les écoles primaires et secondaires en Angleterre et au-delà.

Les audits ont évalué la conformité des fournisseurs au droit de la protection des données, en se concentrant sur les rôles de responsable de traitement et de sous-traitant, les contrats de traitement des données, la cartographie des flux de données, la minimisation des données et la limitation de la conservation, les mentions d'information sur la vie privée, et les analyses d'impact relatives à la protection des données, en particulier concernant les données des enfants.

Les auditeurs de l'ICO ont examiné les 28 fournisseurs et émis au total 596 recommandations, couvrant les lacunes de conformité identifiées. L'ICO a publié ses conclusions dans le rapport « Edtech examined » en juin 2026 et échange désormais avec le ministère de l'Éducation et les autorités décentralisées pour élaborer un code de bonnes pratiques statutaire pour les technologies éducatives en vertu du Data (Use and Access) Act 2025.

Au moment de la publication, les fournisseurs avaient accepté et mis en œuvre 98 % des 596 recommandations. Parmi les problèmes courants identifiés figuraient l'incapacité des fournisseurs à distinguer correctement leur rôle de responsable de traitement ou de sous-traitant - en particulier lorsque les données des enfants étaient réutilisées pour le développement de produits ou l'analyse -, des contrats de traitement des données avec les écoles insuffisamment détaillés, une cartographie incomplète des flux de données, une pratique insuffisante de minimisation des données, des mentions d'information sur la vie privée obsolètes, et des lacunes dans les analyses d'impact relatives à la protection des données.

L'ICO a lui-même souligné qu'il s'agissait d'un échantillon auto-sélectionné et consensuel, et non d'un audit exhaustif du marché. Des groupes de défense des droits de l'enfant tels que 5Rights et le Digital Futures for Children Centre ont fait valoir qu'une application plus stricte, adossée à un code, et non de simples audits, est nécessaire pour mettre fin à l'exploitation commerciale des données éducatives des enfants ; le code statutaire proposé par l'ICO vise à étendre les améliorations constatées dans cette cohorte à l'ensemble du marché.