La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié des recommandations sur l'utilisation des outils collaboratifs en ligne dans l'enseignement du premier et du second degrés, afin d'assurer leur conformité avec le RGPD.

Les établissements scolaires, en tant que responsables de traitement, doivent fonder les traitements de données personnelles sur l'exécution d'une mission d'intérêt public, le consentement étant difficilement applicable en raison du déséquilibre dans la relation avec les élèves et le personnel. Une information claire, concise et adaptée, notamment pour les mineurs, doit être fournie aux personnes concernées conformément aux article 12, article 13 et article 14 du RGPD. La réalisation d'une analyse d'impact relative à la protection des données (AIPD) est généralement nécessaire, car les traitements impliquent souvent des personnes vulnérables et sont effectués à grande échelle, conformément à l'article 35 du RGPD.

Le responsable de traitement doit sélectionner des sous-traitants présentant des garanties suffisantes, comme l'exige l'article 28 du RGPD, et formaliser la relation par un contrat. Il doit également s'assurer que le fournisseur n'utilise pas de traceurs publicitaires, conformément au principe de neutralité commerciale du service public. Une attention particulière doit être portée aux transferts de données hors de l'Union européenne, encadrés par le Chapitre V du RGPD. La CNIL recommande de protéger les données contre les risques d'accès par des autorités de pays tiers, suggérant par exemple le recours à des prestataires qualifiés SecNumCloud par l'Agence nationale de la sécurité des systèmes d’information (ANSSI). Enfin, le décret n° 2025-1165 du 5 décembre 2025 impose aux collèges et lycées publics le respect de prescriptions techniques spécifiques.