L'Autorité de protection des données a publié une décision à l'encontre d'une institution scolaire pour des manquements en lien avec la collecte de données de santé de mineurs via un questionnaire en ligne.
Cette affaire débute par une plainte déposée le 18 mai 2022, signalant la réalisation d'une enquête en ligne auprès de mineurs sur des sujets sensibles tels que la consommation de drogues et d'alcool, sans consentement préalable et en remettant en cause l'anonymat du traitement.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement et conditions applicables au traitement de catégories particulières de données (articles 5, 6 et 9 du RGPD) : L'école a collecté des données de santé concernant des mineurs via un questionnaire sur la consommation de substances et les jeux d'argent. Bien que l'école ait invoqué l'exécution d'une mission d'intérêt public, l'autorité a jugé que le traitement de ces données sensibles nécessitait le consentement explicite des parents ou tuteurs, ce qui n'a pas été obtenu. L'école n'a donc pas établi de base juridique valable pour ce traitement.
* Obligation de minimisation des données et de responsabilité (article 5 du RGPD) : L'établissement scolaire a affirmé que le traitement était anonyme, mais n'a fourni aucune preuve des mesures techniques et organisationnelles mises en place pour garantir cet anonymat. Au contraire, la transmission à un sous-traitant d'une liste d'élèves avec leur prénom et leur classe pour générer des codes de connexion uniques contredit cette affirmation. En l'absence de documentation, l'autorité n'a pas pu vérifier le respect du principe de minimisation et a conclu à un manquement à l'obligation de responsabilité, l'école n'ayant pas démontré sa conformité.

En conséquence, l'autorité a conclu à plusieurs violations du RGPD par l'institution scolaire.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet, après anonymisation des parties.