Une enquête de deux ans sur les applications de technologie éducative (EdTech) utilisées par les écoles de l'Utah a révélé que beaucoup collectaient et partageaient des données sur les élèves d'une manière qui semblait incompatible avec leurs engagements en matière de confidentialité.
L'EdTech est un secteur commercial colossal, et certains affirment qu'il fonctionne de la même manière que les grandes entreprises technologiques traditionnelles, en privilégiant les profits, les logiciels évolutifs et la collecte de données utilisateur plutôt que les résultats d'apprentissage avérés.
Ce projet, publié par le Conseil d'éducation de l'État de l'Utah en partenariat avec l'Université Brigham Young et Internet Safety, vise à garantir la sécurité sur Internet. Labs , ont examiné le trafic réseau de 100 applications EdTech entre 2023 et 2025. Plutôt que de se fier uniquement aux politiques de confidentialité ou aux assurances des fournisseurs, les chercheurs ont examiné ce que les applications transmettaient réellement lors de leur utilisation.
Leurs conclusions sont préoccupantes. Sur les 85 applications testées disposant d'accords de confidentialité des données pertinents, 52 % auraient collecté au moins une donnée concernant un élève sans y être autorisées. Parmi toutes les applications testées, les chercheurs ont constaté que 61 % partageaient des données avec des tiers et 36 % les transmettaient à des annonceurs.
Un district scolaire peut avoir signé un accord de confidentialité des données avec un fournisseur de technologies éducatives, précisant quelles informations l'entreprise peut collecter, pourquoi elle peut les utiliser et avec qui elle peut les partager. Cependant, les engagements contractuels ne se traduisent pas toujours par le comportement d'une application. Une application peut inclure des logiciels d'analyse tiers, des services publicitaires ou d'autres composants intégrés qui envoient des informations à des tiers sans que l'école ou le district n'ait une visibilité claire sur ces transferts.
Cela démontre comment les tests techniques, notamment l'analyse du trafic réseau en temps réel, peuvent révéler des comportements que les évaluations sur support papier ne permettent pas de déceler. Le rapport conclut que de telles investigations pourraient mettre au jour des cas de non-conformité potentiels qui resteraient indétectés par les procédures d'examen traditionnelles.
La réaction de l'État ne s'est pas limitée à la publication des conclusions. Les fournisseurs présentant des problèmes potentiels ont été invités à s'expliquer ou à y remédier. Les entreprises ayant répondu aux préoccupations soulevées pouvaient voir leur identité masquée dans le rapport public, une approche visant à encourager les mesures correctives tout en responsabilisant les fournisseurs n'ayant pas répondu.
Suite à l'enquête, l'Utah a adopté la loi HB 55, relative à la conformité en matière de protection Privacy des fournisseurs de technologies éducatives (2026) , entrée en vigueur le 1er juillet. Elle modifie l'article 53E-9-309 du Code de l'Utah. Entre autres modifications, la loi exige que les établissements d'enseignement incluent des mesures spécifiques de protection des données des élèves dans les contrats avec les fournisseurs, qu'ils notifient aux fournisseurs toute utilisation non autorisée des données des élèves et qu'ils résilient les contrats lorsqu'un fournisseur ne remédie pas à une violation confirmée de la vie privée après en avoir été informé.
Puisque nous ne vivons pas tous dans l'Utah, la question la plus importante pour chaque système scolaire est la suivante : comment se comportent vos applications ?
La protection des données des élèves ne se limite pas à la simple confiance dans une politique de confidentialité. Les établissements scolaires ont besoin d'inventaires précis des outils utilisés, de limites contractuelles claires et d'un accès à l'expertise technique nécessaire pour vérifier le respect de ces limites.
Au fait, connaissiez-vous le programme Malwarebytes Student Protection ?
