Visio souveraine et RGPD : guide éducation et formation

La visioconférence est devenue un outil quotidien dans l’éducation et la formation professionnelle. Mais derrière la simplicité d’un clic pour rejoindre un cours ou un webinaire, se pose une question que beaucoup d’établissements et d’organismes de formation n’ont pas encore tranchée : leur outil de visio est-il conforme au RGPD, et les données de leurs élèves, étudiants et stagiaires sont-elles réellement protégées ?

Ce guide fait le point sur le cadre légal, les risques concrets, les critères de choix et les solutions disponibles en 2026.

Que signifie « visioconférence souveraine » ?

Une visioconférence souveraine est un outil dont les données (audio, vidéo, chat, métadonnées de connexion) restent sous le contrôle de l’organisation qui l’utilise, hébergées sur le territoire national ou européen, et non soumises à des législations extraterritoriales comme le Cloud Act américain.

Trois conditions doivent être réunies simultanément :

1. L’hébergement sur le territoire, sur une infrastructure non soumise au droit d’un pays tiers.
2. L’absence de dépendance technique à des fournisseurs extraterritoriaux, y compris pour les briques invisibles (serveurs STUN, certificats TLS, CDN, analytics).
3. La transparence du code, qui permet de vérifier ce que fait réellement le logiciel avec les données.

Un outil hébergé en France mais édité par une entreprise américaine ne suffit pas : le Cloud Act permet au gouvernement des États-Unis de réclamer l’accès aux données détenues par une entreprise américaine, quel que soit le pays d’hébergement.

Quels risques concrets pour un établissement qui utilise Zoom ou Teams ?

Le risque n’est pas théorique. Il se manifeste de plusieurs façons.

L’accès extraterritorial aux données. Lorsqu’un cours est dispensé via Zoom ou Teams, les flux audio et vidéo transitent par des serveurs contrôlés par une entreprise américaine. Même si ces serveurs sont physiquement en Europe, le Cloud Act autorise les autorités américaines à exiger l’accès à ces données sans passer par les mécanismes d’entraide judiciaire européens. Pour un établissement qui traite des données de mineurs ou des travaux de recherche confidentiels, c’est un risque juridique documenté.

La collecte de métadonnées. Au-delà du contenu des réunions, les outils américains collectent des métadonnées : qui a participé, quand, combien de temps, quel appareil, quelle localisation. Ces métadonnées permettent de reconstituer des habitudes, des relations et des comportements sans accéder au contenu lui-même.

La dépendance fonctionnelle. Un établissement qui construit ses processus pédagogiques autour d’un outil propriétaire (planning, enregistrements, intégration LMS, gestion des salles) devient captif de cet outil. Une augmentation de prix, un changement de conditions d’utilisation ou une décision politique (comme le ban du secteur public en janvier 2026) peut forcer une migration d’urgence.

Le risque d’image. Pour un établissement public, utiliser un outil que la CNIL déconseille et que le secteur public a banni envoie un signal contradictoire. Pour un organisme de formation certifié Qualiopi, c’est un point de faiblesse potentiel en cas d’audit.

Pourquoi l’éducation et la formation sont-elles particulièrement concernées ?

Les données en jeu sont sensibles

Dans l’éducation, la visioconférence traite des données de mineurs (image, voix, nom, données de connexion), des contenus pédagogiques parfois confidentiels, des recherches en cours dans le supérieur, et des échanges qui peuvent toucher à la santé ou au handicap. La CNIL a explicitement souligné ces risques dans son avis de 2021 rendu à la demande de la Conférence des grandes écoles (CGE) et de la Conférence des présidents d’université (CPU) (IT-Connect).

Dans la formation professionnelle, les données sont tout aussi sensibles : identité et parcours professionnel des stagiaires, niveau de qualification, évaluations, données de connexion aux plateformes e-learning, et parfois des données de santé (formations en milieu médical) ou des données liées au handicap (RQTH). L’organisme de formation est responsable de traitement au sens du RGPD (DPO Partage).

Le cadre réglementaire s’est durci en 2025 et 2026

La CNIL déconseille Zoom et Teams dans l’enseignement supérieur depuis 2021. Son avis rappelle que ces outils sont édités par des entreprises américaines soumises au Cloud Act, et que les données traitées (étudiants, chercheurs, mineurs) nécessitent des garanties que ces outils ne peuvent pas offrir de manière certaine (Phonandroid).

Le décret n°2025-1165 du 5 décembre 2025 a inscrit dans le Code de l’éducation un cadre de référence du numérique qui impose aux collèges et lycées publics d’utiliser des outils conformes aux référentiels d’interopérabilité, de sécurité et de numérique responsable définis par le ministère (Légifrance). C’est la première fois qu’un cadre technique contraignant entre dans le Code de l’éducation (Café pédagogique).

Le 26 janvier 2026, le ministre de la Fonction publique a annoncé l’interdiction de Zoom, Teams, Webex et Google Meet dans tout le secteur public français. Les fonctionnaires doivent migrer vers Visio, la plateforme souveraine de la DINUM (CX Foundation). Cette interdiction ne s’applique pas encore aux écoles ni aux organismes de formation privés, mais elle trace une direction politique claire.

La Direction du numérique pour l’éducation (DNE) est explicite : « On a insisté pour que les suites collaboratives des écoles, collèges et lycées soient maîtrisées et souveraines. Les données de nos élèves sont politiquement sensibles » (Café pédagogique).

Quelles sont les obligations RGPD pour la visioconférence ?

Le RGPD s’applique dès qu’un outil de visioconférence traite des données à caractère personnel, ce qui est le cas à chaque session (image, voix, nom du participant, métadonnées de connexion, contenu du chat).

Pour les établissements scolaires et universitaires

L’établissement est responsable de traitement. Il doit s’assurer que l’outil de visioconférence respecte les principes du RGPD : minimisation des données (ne collecter que ce qui est nécessaire), limitation de la conservation, sécurité des données et information des personnes concernées. Quand les participants sont des mineurs, la vigilance doit être renforcée.

L’enregistrement d’une classe virtuelle est un traitement de données personnelles à part entière. Il exige une base légale (intérêt légitime ou consentement), une information préalable des participants, une durée de conservation définie et une inscription au registre des traitements (lavisioconference.com).

Pour les organismes de formation professionnelle

L’organisme de formation est responsable de traitement pour la gestion pédagogique et administrative. Les relations avec les OPCO, le CPF (Caisse des Dépôts) et France Travail impliquent des transmissions de données encadrées par des textes réglementaires spécifiques (DPO Partage).

La certification Qualiopi, obligatoire pour les formations financées sur fonds publics ou mutualisés, inclut des exigences en matière de suivi, de traçabilité et d’amélioration continue qui impliquent la collecte de données personnelles. L’outil de visioconférence doit permettre ces fonctions tout en respectant le RGPD.

Concrètement, un organisme de formation qui utilise la visioconférence doit pouvoir documenter la présence des stagiaires (émargement numérique), conserver les enregistrements de session à des fins de traçabilité, et exporter les données de participation pour les transmettre aux financeurs (OPCO, CPF). Chacune de ces opérations est un traitement de données personnelles qui doit figurer au registre.

La question de l’enregistrement mérite une attention particulière. L’enregistrement d’une session de formation capture l’image, la voix et le nom des participants. Le consentement des participants doit être recueilli, ou l’intérêt légitime doit être documenté. La durée de conservation doit être définie (en général alignée sur les obligations Qualiopi, soit 3 à 5 ans selon les financeurs). Et l’enregistrement doit être stocké de manière sécurisée, idéalement chiffré au repos.

Un outil de visioconférence qui stocke les enregistrements sur un cloud américain (c’est le cas de Zoom et Teams par défaut) pose un problème structurel : les données de formation de vos stagiaires sont alors soumises au Cloud Act, sans que vous puissiez y remédier techniquement.

En 2026, les obligations RGPD se renforcent encore : les professionnels manipulant des données sensibles doivent justifier d’une formation annuelle en protection des données et cybersécurité (Adnov). L’article 39 du RGPD impose au DPO de sensibiliser et former le personnel participant aux opérations de traitement (Leto).

Comment évaluer la conformité RGPD d’un outil de visioconférence ?

Voici les critères à vérifier, du plus fondamental au plus technique.

1. L’éditeur est-il soumis au Cloud Act ?

Si l’éditeur est une entreprise américaine (Zoom, Microsoft, Google, 8x8/Jitsi), le Cloud Act s’applique, quel que soit le lieu d’hébergement. C’est le premier filtre.

2. Où sont hébergées les données ?

Les données (flux média, chat, enregistrements, métadonnées) doivent rester dans l’Union européenne, idéalement en France. Attention aux briques invisibles : un outil peut être « hébergé en France » tout en utilisant un serveur STUN Google, un CDN américain ou des certificats TLS d’une autorité américaine.

3. Quelles données sont collectées ?

Un outil souverain bien conçu minimise les données : pas de compte utilisateur obligatoire, pas de cookie de pistage, pas de collecte de données comportementales. Chaque donnée collectée doit avoir une finalité précise et documentée.

4. Les données sont-elles chiffrées ?

Le chiffrement en transit (DTLS-SRTP) est standard en WebRTC et protège les données sur le réseau. Le chiffrement des données au repos (configuration, historique de chat, enregistrements) est une protection supplémentaire essentielle en cas de compromission du serveur.

5. Que se passe-t-il à la fin de la session ?

Les données de session doivent être supprimées automatiquement à la fermeture de la salle. Les enregistrements doivent avoir une durée de conservation définie et être supprimables à la demande.

6. Le code est-il auditable ?

Un logiciel open source permet à l’établissement (ou à un tiers de confiance) de vérifier ce que fait réellement l’outil avec les données. Un code fermé oblige à faire confiance à l’éditeur sur parole.

7. L’outil est-il compatible avec votre LMS ?

Pour l’éducation, la compatibilité avec Moodle (via l’API BigBlueButton ou LTI) est souvent un critère bloquant. Un outil de visio qui ne s’intègre pas au LMS existant crée une rupture dans le parcours pédagogique et oblige les enseignants à jongler entre plusieurs interfaces.

8. L’outil est-il réellement indépendant ?

Au-delà de la licence logicielle, vérifiez la chaîne de dépendances : l’outil utilise-t-il un serveur STUN ou TURN opéré par un tiers américain (Google, Amazon) ? Le certificat TLS est-il délivré par une autorité européenne ? Les mises à jour transitent-elles par une infrastructure souveraine ? Ce sont ces détails qui distinguent une souveraineté réelle d’une souveraineté de façade.

Comparatif des solutions pour l’éducation et la formation

Critère	Zoom / Teams	BigBlueButton	Jitsi Meet	Vuisio
Éditeur	États-Unis	Canada	États-Unis (8x8)	France (Geezot)
Cloud Act	Oui	Non (auto-hébergé)	Oui (8x8)	Non
Licence	Propriétaire	LGPL 3.0	Apache 2.0	AGPL 3.0
Compatibilité Moodle	Plugin tiers	Native	Plugin LTI	API compatible BBB (docs.vuis.io)
Compte utilisateur requis	Oui	Oui (Greenlight)	Oui (meet.jit.si)	Non (docs.vuis.io)
Cookies	Oui	Oui	Oui	Aucun imposé par le cœur (docs.vuis.io)
Chiffrement au repos	Non documenté	Non documenté	Non documenté	AES-256-GCM (docs.vuis.io)
Nettoyage automatique	Non	14 jours par défaut	Non documenté	Données effacées à la fermeture de salle (docs.vuis.io)
Serveur STUN	Propre (USA)	Google	Non documenté	Nextcloud européen (docs.vuis.io)
Certificat TLS	Propre (USA)	Let’s Encrypt (USA)	Let’s Encrypt (USA)	Actalis européen par défaut (docs.vuis.io)
Infrastructure minimum	Cloud éditeur	16 Go RAM, 8 cœurs, Ubuntu	8 Go RAM recommandés	Raspberry Pi (1 Go RAM) testé
Cloud souverain France	Non	Non	Non	Oui (gratuit ou Pro)
Enregistrement	Cloud éditeur	Sur serveur (format BBB)	Jibri (Chrome + ffmpeg, 8 Go RAM/session)	MP4 natif (module Pro)
Anonymisation vocale	Non	Non	Non	Oui (docs.vuis.io)
Prix	Licence par utilisateur	Gratuit (infra lourde)	Gratuit (infra) / JaaS 0,35 USD/MAU	Gratuit / Pro 7,90 €/mois par animateur

Comment Vuisio répond aux exigences de l’éducation et de la formation

Vuisio a été conçu pour répondre aux besoins spécifiques des organisations qui ne peuvent pas confier les données de leurs publics à un fournisseur étranger.

Souverain jusqu’aux détails. Hébergement France, éditeur français, code source auditable (AGPL 3.0), aucun compte utilisateur (identifiant numérique éphémère), aucun cookie, aucun pistage comportemental (docs.vuis.io). Le serveur STUN par défaut est européen (Nextcloud), le certificat TLS par défaut est européen (Actalis). Les données de salle sont chiffrées en AES-256-GCM et supprimées automatiquement à la fermeture (docs.vuis.io).

Compatible Moodle et les LMS existants. Le module compat-api implémente le protocole BigBlueButton (docs.vuis.io), ce qui permet aux établissements déjà équipés de Moodle de migrer sans toucher à l’intégration existante. L’enseignant lance la visio depuis son cours, l’étudiant rejoint d’un clic.

Léger, même pour les petits établissements. L’architecture SFU en Rust sans transcodage permet de faire tourner Vuisio sur du matériel modeste (docs.vuis.io). Un Raspberry Pi à 1 Go de RAM suffit pour 10 utilisateurs. Un serveur standard à 6 vCPU tient 450 à 500 participants. C’est un avantage décisif pour les écoles, les collèges ruraux ou les organismes de formation qui n’ont pas de DSI.

Adapté à la formation professionnelle. L’enregistrement natif en MP4 (module Pro) permet de conserver les sessions pour la traçabilité Qualiopi. Le chat et les métadonnées de session sont chiffrés et exportables pour le suivi pédagogique (docs.vuis.io). La facturation par animateur (pas par participant) convient aux organismes qui forment des groupes de taille variable.

Fonctionnalité unique pour l’éducation : l’anonymisation vocale. Vuisio propose un module d’anonymisation vocale en temps réel (docs.vuis.io), utile dans les contextes où la protection de l’identité des participants est nécessaire (témoignages, consultations, évaluations sensibles).

Comment migrer vers une solution souveraine

Depuis Moodle + BigBlueButton

C’est le scénario le plus courant dans l’éducation. Installez le module compat-api de Vuisio (vuisio module add compat-api), modifiez l’URL du serveur et la clé secrète dans la configuration Moodle (Administration > Plugins > BigBlueButton), et testez. Les salles, rôles et liens d’accès continuent de fonctionner.

Depuis Zoom ou Teams (sans LMS)

Partagez un lien Vuisio (via le module lobby ou l’API) avec vos participants. Rien à installer, tout fonctionne dans le navigateur. L’offre cloud souverain gratuite couvre les réunions jusqu’à une heure, ce qui correspond à un créneau de cours ou de formation standard.

Pour les établissements sans infrastructure

Le cloud souverain gratuit de Vuisio ne demande aucun serveur, aucun certificat et aucune maintenance. Si l’établissement veut le contrôle total, l’installeur interactif déploie une instance en quelques minutes sur un serveur Debian ou Ubuntu (docs.vuis.io), avec mises à jour atomiques et retour arrière automatique. Notre guide complet pour héberger sa propre visioconférence compare les options d’auto-hébergement étape par étape.

Les points à inscrire dans votre registre RGPD

Si vous déployez un nouvel outil de visioconférence, votre registre des traitements doit documenter :

La finalité du traitement (classes virtuelles, formations, webinaires). La base légale (mission d’intérêt public pour les établissements publics, intérêt légitime ou consentement pour les organismes privés). Les catégories de données traitées (image, voix, nom, métadonnées de connexion, contenu du chat, enregistrements). Les destinataires (qui a accès aux données : enseignants, administrateurs, hébergeur). Les mesures de sécurité (chiffrement en transit, chiffrement au repos, contrôle d’accès, nettoyage automatique). La durée de conservation (éphémère pour les sessions en direct, définie pour les enregistrements). Et les transferts hors UE : avec un outil souverain hébergé en France, la réponse est « aucun ».

Avec Vuisio, la plupart de ces points sont couverts par conception : pas de compte, pas de cookie, données chiffrées, nettoyage automatique, hébergement France, pas de transfert hors UE.

Les bonnes pratiques d’usage au quotidien

Choisir un outil souverain est une condition nécessaire, mais pas suffisante. Les usages quotidiens comptent autant que l’infrastructure.

Informez les participants avant chaque session. Le RGPD exige que les personnes concernées soient informées de la collecte de leurs données. En pratique, un message d’information dans l’invitation ou un rappel en début de session suffit : précisez la finalité (cours, formation), l’outil utilisé, le lieu d’hébergement des données et la durée de conservation éventuelle.

Obtenez le consentement pour l’enregistrement. Si vous enregistrez la session, le consentement doit être recueilli avant le lancement de l’enregistrement. L’intérêt légitime peut aussi servir de base légale, mais il doit être documenté et proportionné. Dans tous les cas, les participants doivent être informés que la session est enregistrée, par qui et pour combien de temps le fichier sera conservé.

Limitez les données collectées. Un outil bien conçu minimise la collecte par défaut. Ne demandez pas aux participants de créer un compte s’il suffit de rejoindre par un lien. Ne collectez pas de données de localisation ou de comportement si elles ne sont pas nécessaires. Le principe de minimisation (article 5 du RGPD) s’applique pleinement à la visioconférence.

Définissez des durées de conservation. Les enregistrements de cours ou de formation ne doivent pas être conservés indéfiniment. Alignez la durée de conservation sur vos obligations légales (Qualiopi, convention de formation, exigences des financeurs) et supprimez les fichiers à l’échéance.

Documentez dans le registre des traitements. La visioconférence est un traitement de données personnelles. Elle doit figurer dans votre registre RGPD avec la finalité, la base légale, les catégories de données, les destinataires, les mesures de sécurité et la durée de conservation.

Formez vos équipes. La CNIL rappelle que l’absence de sensibilisation du personnel est un manquement à l’obligation d’accountability (Leto). Assurez-vous que les enseignants et les formateurs connaissent les règles de base : ne pas partager les liens de réunion publiquement, activer la salle d’attente ou le mot de passe, ne pas enregistrer sans prévenir.

En résumé

Le cadre réglementaire français de 2025-2026 dessine une direction claire pour l’éducation et la formation : les outils numériques doivent être souverains, sécurisés et interopérables. La CNIL déconseille Zoom et Teams pour l’enseignement. Le décret du 5 décembre 2025 impose des référentiels contraignants aux collèges et lycées. Et le secteur public a banni les outils américains depuis janvier 2026.

Vuisio permet aux établissements scolaires, aux universités et aux organismes de formation de se mettre en conformité sans sacrifier l’usage : compatible Moodle, léger, chiffré, sans compte, sans cookie, hébergé en France, et gratuit pour commencer.

Testez Vuisio gratuitement et passez vos outils de visio au crible du RGPD.