La décision clarifie les conditions strictes dans lesquelles une entité publique peut se fonder sur son obligation légale pour traiter des données sur une plateforme numérique fournie par un tiers, en insistant sur l'interdiction pour ce dernier d'utiliser les données à ses propres fins.

Faits et contexte

L'autorité finlandaise de protection des données (Tietosuojavaltuutettu) a aujourd'hui publié une nouvelle décision concernant l'utilisation de la plateforme pédagogique "Google Workspace for Education" par la ville d'Espoo, précisant les conditions de licéité du traitement des données des élèves.

L'affaire trouve son origine dans une plainte déposée en 2021, conduisant à une première décision de l'autorité, qui a ensuite été annulée et renvoyée pour réexamen par la plus haute juridiction administrative en avril 2025.

Motifs de la décision

• Obligation de licéité du traitement (article 6 du RGPD) : L'autorité précise sa position antérieure en confirmant que l'obligation légale d'organiser l'enseignement primaire peut constituer une base juridique valide pour le traitement des données personnelles des élèves via une plateforme pédagogique numérique. Cependant, cette base juridique ne couvre que les traitements strictement nécessaires à la finalité d'enseignement. L'autorité a conclu que permettre au fournisseur de services ou à des tiers d'accéder aux données personnelles pour leurs propres finalités, telles que le développement de services ou le profilage, excède ce qui est nécessaire à l'organisation de l'enseignement. Par conséquent, de tels traitements secondaires sont dépourvus de base juridique valable.

Décision de l'autorité

En conséquence, l'autorité a clarifié que le traitement des données personnelles sur la plateforme n'est licite que si les données ne sont pas utilisées par le fournisseur de services ou des tiers à leurs propres fins.

Enseignements

Cette décision précise que :

• La base juridique de l'obligation légale incombant à un responsable du traitement public ne peut être invoquée que pour les activités de traitement strictement nécessaires à l'accomplissement de cette mission, et ne s'étend pas aux finalités propres du sous-traitant, comme l'amélioration de ses produits.
• Le principe de responsabilité impose aux entités publiques, notamment les municipalités et les écoles, de sélectionner leurs fournisseurs de services numériques avec une extrême diligence. Elles doivent s'assurer que les conditions d'utilisation et les contrats interdisent explicitement toute réutilisation des données personnelles par des tiers.
• L'évaluation de la nécessité d'un traitement doit être réalisée au regard exclusif des objectifs du responsable du traitement, et non des besoins opérationnels ou commerciaux de ses sous-traitants.