Données de santé et offres adaptées : profil DYS, réglages, version adaptée, PAP et PPS

Rapport corrigé et complété le 11/10/2026 d'après Y26-verif.md. Complété le 11/10/2026 d'après le lot navigateur (Y30-sources-lues-au-navigateur.md). Corrigé le 12/10/2026 d'après les relevés de la vague 6 (formules de l'arrêt C-21/23 substituées à celles du communiqué, § 2.1 n° 21 et § 3.1).

Vague 6 de l'étude « manuels de cours en ligne ». Relevé du 11/10/2026.

Ce rapport traite un manque relevé par la revue de complétude (etude/vague6/_brut_completude.json) : quand une offre adaptée enregistre un profil « DYS » choisi par la famille, mémorise des réglages d'accessibilité par élève, attribue nommément une version adaptée ou reçoit un PAP ou un PPS de l'établissement, traite-t-elle des données de santé au sens de l'article 9 du RGPD ? Sur quelle base légale ? Une AIPD est-elle obligatoire ? L'hébergement certifié HDS est-il exigé ? Le rapport répond dans le GAR et hors du GAR (vente aux familles).

Il part de ce que l'étude a établi : consentement des mineurs, mission d'intérêt public, AIPD « probable », sans catégorie particulière de données (V21 § 3.3) ; attributs du GAR (R15 § 3.2) ; offres DYS des éditeurs vendues en modules à part (W10 § 3.2 ; 09-vague4 § 9) ; élèves DYS sans notification (09-vague4 § 3.4) ; protections et polices (10-vague5 § 9).

Choix de périmètre : le droit applicable en France métropolitaine et dans les DROM. Le rapport ne traite pas les données de santé des élèves hors des offres de manuels (infirmerie, PAI alimentaire, vie scolaire), sauf quand elles éclairent le cas d'un éditeur.

#1. Sujet, requêtes, jeux de données interrogés

#1.1 Données ouvertes interrogées (extraction du 11/10/2026)

#1.2 Textes lus

#1.3 Documents d'acteurs lus

#1.4 Contre-vérification des valeurs décisives

#2. Recensement

#2.1 Textes, doctrine et décisions

#2.2 Pratiques des acteurs

#2.3 Ajouts de la contre-vérification (intégration du 11/10/2026)

#3. Fiches détaillées et mesures

#3.1 Ce qui fait d'une information une donnée de santé

La définition est large et tient au fait de révéler. L'article 4 § 15 du RGPD vise les données « relatives à la santé physique ou mentale […] qui révèlent des informations sur l'état de santé » ; le considérant 35 y range « toute information concernant, par exemple, une maladie, un handicap, un risque de maladie […] indépendamment de sa source ». La CNIL distingue trois catégories : les données de santé « par nature » (« antécédents médicaux, maladies, prestations de soins réalisés, résultats d'examens, traitements, handicap, etc. ») ; celles qui le deviennent « du fait de leur croisement avec d'autres données », « en ce qu'elles permettent de tirer une conclusion sur l'état de santé » ; celles qui le deviennent « en raison de leur destination, c'est-à-dire de l'utilisation qui en est faite au plan médical ». Elle répond « Oui » à la question « L'information sur le handicap, contenue dans un traitement, est-elle une donnée de santé ? », en renvoyant à la définition du handicap de l'article L. 114 du CASF, qui inclut l'altération de fonctions « cognitives ». Sources : RGPD ; CNIL, 08/01/2018.

Une déduction probable suffit. La Cour de justice, en grande chambre, juge que les données saisies lors d'une commande en ligne de médicaments sans prescription « constituent des données concernant la santé […] même si c'est seulement avec une certaine probabilité, et non avec une certitude absolue », que ces médicaments sont destinés au client ; le dispositif vise le nom, l'adresse de livraison et l'individualisation des médicaments (C-21/23, point 90). Le communiqué de la Cour parle de données « de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l'état de santé » et écrit « il est indifférent » : ces formules sont celles du communiqué, et l'arrêt ne pose pas lui-même d'exigence de consentement explicite. La Cour avait déjà jugé, en grande chambre, que le traitement de données « susceptibles de dévoiler, de manière indirecte, des informations sensibles » n'est pas « soustrait au régime de protection renforcé » (C-184/20, point 127). Sources : arrêts lus sur InfoCuria (Y30 § 1.12) ; communiqués n° 159/24 et 133/22.

La CNIL a déjà qualifié le type de trouble d'un élève. En 2013, pour le panel DEPP d'élèves en situation de handicap, elle écrit que le panel « suppose la collecte de données de santé (type de troubles), données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée » et que « des données relatives à la nature du trouble de l'élève sont également collectées selon une grille de différents troubles qui sont des données de santé ». La délibération est antérieure au RGPD, porte sur un traitement statistique du ministère et ne nomme ni la dyslexie ni les troubles des apprentissages ; c'est le texte de la CNIL le plus proche d'un profil DYS parmi les 9 910 du jeu. Source : délibération n° 2013-178 du 27/06/2013.

Ce que l'administration range parmi les données de santé, pour le cas exact d'un élève à besoins particuliers. Dans son avis sur le LPI, la CNIL relève que « seront traitées de nombreuses données concernant la santé » et recopie la liste du projet de décret, introduite par « s'agissant des données relatives à la santé contenues dans le LPI, la Commission observe que les données suivantes pourront être contenues » : c'est la liste du ministère, non une qualification faite par la CNIL donnée par donnée. Elle comprend, à côté des documents médicaux et des bilans psychologiques : « aménagements et adaptations mises en œuvre (sélection dans une banque de données d'adaptation ou saisie libre) » ; « informations (type, date de début et de fin) relatives aux plans ou projets mis en œuvre tels que le PPRE, le PAP et la mise en œuvre du PPS » ; « informations sur le matériel pédagogique adapté mis à disposition de l'élève (auditif, visuel, informatique) ». La liste contient aussi des éléments du PPRE, alors que le ministère y précise que « pour le PPRE, aucune donnée relative à l'état de santé n'est demandée » : son rangement sous l'intitulé « données relatives à la santé » ne vaut donc pas qualification de chaque ligne. Source : délibération n° 2021-082.

Application aux quatre cas de la mission. Ce qui suit est la lecture du rapport, chaque branche rattachée à la source qui la porte :

Aucune décision, recommandation ni fiche de la CNIL ne qualifie un réglage d'accessibilité ou un profil DYS d'une offre éducative : 0 document sur « dyslex », « élèves dys », « trouble du langage » ou « troubles des apprentissages » parmi les 9 910 délibérations du jeu (§ 1.1). Le plus proche est la qualification du « type de troubles » des élèves en situation de handicap par la délibération n° 2013-178, pour un panel statistique du ministère.

#3.2 La base légale

Hors du GAR, vente aux familles : le consentement explicite est la seule exception de l'article 9 qui s'ouvre à un éditeur privé. L'article 9 § 2 en compte dix. Le g) (« intérêt public important ») exige « le droit de l'Union ou […] d'un État membre » ; le h) vise la médecine, le diagnostic et la prise en charge sanitaire ou sociale « sur la base du droit […] ou en vertu d'un contrat conclu avec un professionnel de la santé » ; les autres (droit du travail, intérêts vitaux, organismes à but politique ou religieux, données rendues publiques, justice, santé publique, archives et recherche) ne visent pas la vente d'un manuel. Reste le a) : « consentement explicite au traitement de ces données […] pour une ou plusieurs finalités spécifiques ». Il s'ajoute à la base de l'article 6 (le contrat pour le service lui-même) : la CNIL rappelle qu'il « convient de distinguer la base légale (article du 6 RGPD) […] de la dérogation qui permet de traiter des données sensibles (article du 9 RGPD) », toutes deux « devant être justifiées ». Sources : RGPD art. 9 ; CNIL, « Quelles formalités… », 22/05/2024.

Avant 15 ans, ce consentement est double. L'article 45 de la loi de 1978 exige, pour un traitement fondé sur le consentement dans l'offre directe de services en ligne, le consentement conjoint du mineur et des titulaires de l'autorité parentale ; la CNIL tient ce consentement pour un « acte usuel » qui n'exige l'accord exprès que d'un parent (V21 § 3.3). La CNIL juge les systèmes purement déclaratifs à proscrire pour les traitements « à risque » (recommandation 7, V21 § 3.3) ; elle cite le ciblage publicitaire comme exemple, pas les données de santé : le rapport n'a lu aucun texte qui fixe le niveau de vérification exigé pour un consentement explicite à un traitement de santé par un enfant.

Pas de formalité auprès de la CNIL quand le traitement repose sur le consentement explicite. L'article 65 de la loi exclut des formalités de la section « santé » les traitements relevant des a et c à f de l'article 9 § 2 ; la CNIL écrit que l'accomplissement d'une formalité « n'est pas nécessaire lorsque la personne a donné son consentement au traitement de ses données de santé ». Le registre et, le cas échéant, l'AIPD restent dus. Source : loi n° 78-17, art. 65 ; CNIL, 22/05/2024.

Un précédent de la CNIL pour des données de santé d'enfants sur consentement des parents. La norme simplifiée de 2015 pour les affaires scolaires et périscolaires des collectivités admettait, « sous réserve de recueillir le consentement exprès des représentants légaux au traitement de données relatives à la santé du mineur, conformément à l'article 8-II-1° » de la loi de 1978, l'enregistrement facultatif des « allergies ou pathologies » que les parents « souhaiteraient porter à la connaissance du personnel encadrant ». La présence d'un handicap, d'un PAI ou d'un PPS y figurait sans cette réserve, mais « à l'exclusion de toute information relative à la nature du handicap ou des pathologies ». Le texte est antérieur au RGPD et vise des services municipaux, pas un éditeur ; il montre que la CNIL a déjà retenu le consentement des parents comme base d'un traitement de santé d'enfants hors du soin. Source : délibération n° 2015-433 du 10/12/2015.

Dans le GAR et pour un établissement : le ministère est responsable, et le cadre ne prévoit pas de données de santé. Le contrat GAR : « Dans le cadre du GAR, le ministre en charge de l'éducation nationale est le responsable du traitement […]. Cette responsabilité est étendue à l'hébergement des productions des utilisateurs lors de l'usage de la ressource », ce qui dégage « le chef d'établissement ou l'IA-DASEN de la responsabilité » pour l'accès aux ressources. L'éditeur, son distributeur technique et ses hébergeurs agissent « dans une logique de sous-traitance ultérieure ». La base retenue par le ministère pour ses traitements scolaires est la mission d'intérêt public (art. 6 § 1 e) (V21 § 3.3 ; kit juridique du SDET, modèle de mention ENT). Pour lever l'interdiction de l'article 9 sur des données de santé, l'État a pris pour le LPI un décret en Conseil d'État après avis de la CNIL, sur le fondement des articles 6-III et 31 de la loi : c'est la voie de l'article 6-III, « traitements […] justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 ». L'arrêté du 18/12/2017 qui crée le GAR ne vise que l'identité, la scolarité, les ressources affectées et les connexions. Le rapport n'a trouvé aucun texte qui autorise le GAR, ou une ressource diffusée par lui, à traiter des données de santé. Sources : contrat GAR v2026, annexe 3 § 1.4 ; délibération n° 2021-082 (visas) ; loi n° 78-17, art. 6-III ; arrêté du 18/12/2017.

Pour un établissement qui achète hors du GAR, le chef d'établissement (second degré) ou le DASEN (premier degré) est responsable du traitement et l'éditeur sous-traitant (fiche CNIL « outils collaboratifs » ; politique Biblio-Manuels de SEJER : « Le Client est responsable du traitement des données personnelles, l'Éditeur agissant en qualité de sous‐traitant »). La fiche CNIL écarte le consentement, qui « semble difficilement pouvoir être retenu » à cause de la position d'autorité (V21 § 3.3) : l'établissement ne peut donc pas s'appuyer sur le a) de l'article 9 pour un profil de santé, et aucun texte lu ne lui ouvre une autre exception pour un outil acheté à un éditeur. C'est la lecture du rapport.

#3.3 L'AIPD

La liste française ne vise pas l'enseignement. La délibération n° 2018-327 compte 14 types d'opérations soumis à AIPD : santé en établissement de santé ou médico-social, génétique, profilage RH, surveillance des salariés, alertes sociales et sanitaires, alertes professionnelles, entrepôts de santé, profilage excluant d'un contrat, manquements contractuels mutualisés, profilage avec données externes, biométrie sur personnes vulnérables, logement social, accompagnement social ou médico-social, localisation à large échelle. Un seul exemple scolaire : « contrôle d'accès à la cantine scolaire par reconnaissance du contour de la main ». Le kit juridique du SDET 2025 le constate pour les ENT : « La gestion des ENT ne figurant pas dans la liste établie par la CNIL […] (issue de la délibération de la CNIL n° 2018-327), la soumission à cette obligation doit être appréciée selon l'identification de 2 critères parmi une liste de 9 ». Sources : PDF CNIL ; kit juridique du SDET, p. 7-8.

Deux critères suffisent, et un profil DYS d'enfant en réunit deux. La CNIL : l'AIPD est obligatoire si le traitement « remplit au moins deux des neuf critères », dont « collecte de données sensibles ou données à caractère hautement personnel » et « personnes vulnérables (patients, personnes âgées, enfants, etc.) ». Un service qui enregistre un profil de trouble pour des élèves mineurs réunit ces deux critères ; le critère de la « large échelle » s'y ajoute pour un service national (le considérant 91 évoque « un niveau régional, national ou supranational »). La dispense de la délibération n° 2019-118 ne joue pas ici : elle vise les traitements des collectivités et des personnes morales « aux fins de gérer les services en matière d'affaires scolaires, périscolaires et de la petite enfance » (inscription, facturation, restauration, recensement), non les ressources pédagogiques, et exclut de toute façon « les traitements des données qui révèlent des données sensibles ». C'est la lecture du rapport, sans décision de la CNIL sur ce cas. Sources : CNIL, page AIPD ; délibération n° 2019-118 et PDF de la liste.

Qui la fait. Hors du GAR, en vente aux familles, l'éditeur responsable du traitement. Dans le GAR, le ministère, responsable ; l'éditeur sous-traitant doit l'y aider (RGPD art. 28 § 3 f) ; V21 § 3.3). Pour un établissement acheteur hors du GAR, le chef d'établissement ou le DASEN, que l'éditeur peut alimenter : la CNIL admet qu'« une AIPD peut également être menée par le fournisseur d'un produit » et que ses clients s'en servent pour leurs propres AIPD. Pour le LPI, la CNIL a exigé que l'AIPD, non finalisée lors de sa saisine, soit « complétée et réalisée avant la mise en œuvre du traitement ». Sources : CNIL, page AIPD ; délibération n° 2021-082.

Pour les seuls réglages, sans libellé de trouble ni service réservé, la donnée sensible n'est pas établie ; reste le critère des personnes vulnérables, seul : l'AIPD n'est pas obligatoire par la règle des deux critères. La CNIL, dans sa fiche « outils collaboratifs », recommande d'en faire une « en cas de doute ». Lecture du rapport.

#3.4 L'hébergement certifié HDS

Le texte vise l'origine de la donnée, pas sa seule nature. L'article L. 1111-8, version en vigueur depuis le 01/07/2025 : « Toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même » ; l'hébergeur sur support numérique « est titulaire d'un certificat de conformité ». L'article R. 1111-8-8 précise que les responsables de traitement qui confient l'hébergement à un tiers « s'assurent que celui-ci est titulaire du certificat ». L'ANS borne le « suivi social et médico-social » aux « activités de suivi réalisées par les établissements et services sociaux et médico-sociaux », « listés de façon exhaustive à l'article L. 312-1 » du CASF ; l'hébergement « pour le compte du patient » vise par exemple « les coffres forts numériques ». Sources : base LEGI ; FAQ ANS (03/07/2025, 10/04/2026, 06/05/2026).

Application. Lecture du rapport :

• Profil ou réglages déclarés par la famille, en vente directe : la donnée n'est pas recueillie à l'occasion d'une activité de prévention, de diagnostic, de soins ou de suivi médico-social ; elle l'est par un éditeur qui vend un manuel. Le texte n'exige pas de certification HDS. L'interdiction de l'article 9 et l'obligation de sécurité de l'article 32 restent entières.
• PAP ou PPS reçu de l'établissement : le PAP s'établit sur avis du médecin de l'éducation nationale, le PPS sur décision de la CDAPH de la MDPH ; les documents contiennent des données recueillies dans une activité de diagnostic ou de suivi médico-social. Le PPS circule dans le système médico-social : le décret examiné par la CNIL en 2017 complète les informations du plan personnalisé de compensation « par celles du projet personnalisé de scolarisation », dans le système national d'information de la CNSA alimenté par les MDPH, qui reçoit aussi « la nature du diagnostic médical » (délibération n° 2017-115). La MDPH est un groupement d'intérêt public créé par les articles L. 146-3 et L. 146-4 du CASF ; l'article L. 312-1, auquel l'ANS borne le « suivi social et médico-social », ne la nomme pas (version en vigueur depuis le 10/04/2024, base LEGI au 13/07/2025, lue à l'intégration). Ce circuit éclaire donc l'origine du document sans trancher, à lui seul, l'application de L. 1111-8. Un éditeur qui les conserverait pour le compte de l'établissement entrerait dans une zone qu'aucun texte, aucune FAQ de l'ANS ni aucune décision lue ne tranche. Pour son propre traitement, l'État a choisi un hébergement certifié : « L'application LPI et ses données sont hébergées dans un centre sécurisé porté par la société ATOS. Cet hébergement est par ailleurs certifié HDS » ; la CNIL « prend acte du choix du ministère d'avoir recours à un hébergeur des données de santé agréé » ; le décret réserve l'accès aux données de santé « aux professionnels de santé et au sous-traitant agréé ». Sources : mentions LPI ; délibération n° 2021-082 ; décret n° 2021-1246, art. 4.

Les exigences du référentiel en vigueur. Le référentiel v2.0 a été publié par arrêté du 26/04/2024 (JO du 16/05/2024) ; « Après la date du 16/05/2026 », « Tous les certificats HDS valides attestent exclusive[ment] » de la conformité à la v2 ; en février 2026, 64 % des hébergeurs certifiés l'étaient déjà en v2.0. Une v2.1 est annoncée. Source : webinaire ANS du 18/03/2026.

Le décret SREN est publié. Le décret n° 2026-209 du 24/03/2026 (JORF n° 0073 du 26/03/2026, texte n° 35), pris pour l'application de l'article 32 de la loi n° 2024-449 du 21/05/2024, crée l'article R. 1111-9-1 : quand l'hébergement « donne lieu à un stockage de ces données, il est mis en œuvre exclusivement sur le territoire d'un Etat membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen » ; un transfert, « y compris un accès à distance », vers un pays tiers n'est possible que sur décision d'adéquation (art. 45 du RGPD) ou avec les garanties de l'article 46, que le contrat d'hébergement décrit alors « avec précision ». Il complète aussi l'article R. 1111-11 : le contrat liste les réglementations extra-européennes auxquelles l'hébergeur ou ses sous-traitants sont soumis, et l'hébergeur « rend publique et met à jour la cartographie des transferts ». Le texte « entre en vigueur le lendemain de sa publication, à l'exception des 2° et 3° de l'article 1er » (R. 1111-9-1 et R. 1111-11), en vigueur six mois après la publication, soit fin septembre 2026 : au 11/10/2026, l'obligation de stockage dans l'UE ou l'EEE est en vigueur. Sources : JORF (capture Internet Archive du 05/04/2026 de la page Légifrance) ; fiche des Affaires juridiques de l'AP-HP (« entre en vigueur le 27 mars 2026 à l'exception des 2° et 3° de l'article 1er qui entrent en vigueur six mois plus tard »).

La liste des hébergeurs certifiés. Elle n'est pas sur data.gouv.fr (0 jeu) : l'ANS la publie sous forme de tableau web filtrable par lettre, « dans le cadre de la procédure de certification […] précisée par le décret 2018-137 », avec pour chaque hébergeur les activités couvertes (de 1, sites physiques, à 6, sauvegarde) et la version du référentiel ; « Les hébergeurs pour lesquels aucune version n'est précisée ont été certifiés sur la version 1.1 ». Hors navigateur, les captures d'Internet Archive ne servent que la lettre A. ATOS, hébergeur du LPI, y figure le 03/03/2026 pour « 1,2,3,4,5,6 sur version 1.1 » ; la v1.1 ne vaut plus depuis le 16/05/2026, et le rapport n'a pas pu lire une version postérieure de la liste. OVH (Cantoo) et ILT (site mobidys.com) relèvent des lettres O et I, non servies (§ 5). Source : esante.gouv.fr, captures du 13/01/2025, du 19/05/2025 et du 03/03/2026.

La certification ne protège pas de la sanction. NEXPUBLICA FRANCE, éditeur du logiciel de la MDPH du Nord, en confiait l'hébergement à une société « certifié[e] "hébergeur de données de santé" au sens de l'article L. 1111-8 » ; la CNIL l'a sanctionnée de 1 700 000 € pour manquement à l'article 32, en rappelant que le traitement « comporte des données relatives à la santé, et notamment au handicap, qui sont des catégories particulières de données au sens de l'article 9 du RGPD » et qu'une authentification multifacteur est « une mesure élémentaire de sécurité à mettre en œuvre, en particulier s'agissant d'un traitement comportant des données sensibles ». La formation restreinte a sanctionné le seul sous-traitant. Source : délibération SAN-2025-015.

#3.5 Dans le GAR : ce qui passe et ce qui ne passe pas

Les attributs. Le contrat GAR v2026 range les attributs en quatre catégories : « Catégorie 1 (attributs toujours transmis) : UAI, Identifiant opaque » ; « Catégorie 2 : profil (enseignant/élève) » ; « Catégorie 3 : informations de dispositif de formation (classe, niveau, discipline, etc.) » ; « Catégorie 4 : informations nominatives ». Le tableau des données de l'annexe 4 ne cite, pour les élèves, que des « Données d'identification » (civilité, nom, prénoms, identifiants opaque et complémentaire) et des « Données relatives à la scolarité » (projet ENT, établissement, division, groupes, formation et enseignement suivis). Aucune catégorie de santé, de handicap ou de besoin particulier. Le rapport V21 et la revue de complétude le disaient ; le texte le confirme. Source : contrat GAR v2026, annexe 3 § 1.3 et annexe 4.

Les attributs de catégorie 3 peuvent porter, de façon indirecte, un dispositif. Le référentiel technique du GAR (v8.2) transmet les divisions et les groupes « sous la forme du code utilisé dans l'ENT et du libellé », libellés que l'établissement saisit librement (« sixième 3, terminale S4 spécialité ISN, troisièmes allemand ») ; il transmet aussi, en codes de la base centrale des nomenclatures, le degré, le cycle, le « dispositif de formation » (N_MEF_STAT_3), le niveau et la filière de l'élève. Les établissements emploient des formations libellées par dispositif : dans le jeu Pix des parcours de rentrée, 25 992 lignes de 2022 à 2024 portent un libellé de MEF contenant « ulis » (« 3eme ulis », code 1031001911U ; « 4eme ulis », « 5eme ulis », « 6eme ulis ») et d'autres « 3eme segpa » (code 16710002110). L'ULIS est, selon le jeu fr-en-ulis du ministère, un dispositif « pour la scolarisation des élèves en situation de handicap » (10 424 établissements ouverts en sont dotés). Lecture du rapport : une division, un groupe ou une formation qui porte « ULIS », transmis à un éditeur avec le nom de l'élève, révèle indirectement une situation de handicap, cas que vise l'arrêt C-184/20 (données « susceptibles de dévoiler, de manière indirecte, des informations sensibles ») ; aucune source lue ne rattache la SEGPA au handicap. Le rapport n'a pas établi si le code N_MEF_STAT_3 distingue une formation ULIS ni si des ENT nomment des groupes « ULIS » (§ 5). Le contrat exige une « justification de demande des attributs GAR de catégorie 3, 4 » dans la déclaration de conformité. Sources : RTFS GAR v8.2, p. 53-54 et 135-136 ; contrat GAR v2026, p. 24 et 26 ; data.education.gouv.fr (fr-en-pix_participations_aux_campagnes_par_profil_cible_et_mef_code, fr-en-ulis, 11/10/2026) ; communiqué n° 133/22.

Aucune collecte hors de ce qui est fourni ou déclaré. L'annexe 3 interdit « toute nouvelle demande d'identification dans les pages de la ressource » et « toute collecte de données par l'application en dehors des DCP fournies par le GAR et justifiées dans la déclaration de conformité ». La clause a deux branches : les données transmises par le GAR, et celles que la déclaration de conformité justifie, laquelle décrit les « données produites par les utilisateurs et hébergées au sein de la ressource (données de connexion, de navigation, de personnalisation, de production, d'évaluation) ». Les données produites par l'usager et déclarées sont donc permises. Lecture du rapport, défendable mais non littérale : une ressource du GAR ne peut pas faire déclarer un trouble sans le justifier dans sa déclaration, que le ministère valide, et aucun texte du GAR ne prévoit une donnée de santé. Source : contrat GAR v2026, annexe 3 § 1.2 et § 2.2.

Les réglages : purge annuelle ou cookies jusqu'à 13 mois, le contrat ne les nomme pas. Le tableau des données du contrat définit les données de personnalisation comme la « création de données par la volonté de l'usager ; enregistrement d'un résultat, signet, note, surlignage, etc. » ; les « Données de personnalisation et données de production » subissent une « Purge par année scolaire avec période de récupération de 3 mois après la fin de l'année scolaire : fin d'année scolaire au 15/08/aaaa ». Le même tableau prévoit une autre durée pour les « Données conservées via des cookies : durée de conservation limitée à 13 mois au maximum (processus d'anonymisation possible sous réserve de justification) », et indique pour l'hébergement des données produites que la durée « peut être : l'année scolaire, le cycle, la présence dans l'établissement, la durée de la scolarité » et « fait l'objet d'une validation par le ministère dans le cadre de la déclaration de conformité applicative ». Les réglages d'accessibilité n'y sont pas nommés. Cantoo l'écrit pour son accès par le GAR : données « réinitialisées le 15 août de chaque année avec une période de récupération de 3 mois ». Conséquence, lecture du rapport : un réglage enregistré comme donnée de personnalisation sur le serveur de la ressource est purgé chaque année, comme chez Cantoo ; un réglage gardé par cookie peut durer jusqu'à 13 mois, donc passer une rentrée ; Cantoo Web le présente comme conservé « d'un manuel / appareil à l'autre », ce qu'un cookie ne fait pas d'un appareil à l'autre. Sources : contrat GAR v2026, p. 33-34 ; cantoo.fr ; support.edulib.fr.

L'affectation nominative d'une version adaptée. L'arrêté du 18/12/2017 range les « ressources affectées » parmi les données de l'élève ; le responsable des affectations les attribue nommément (R15 § 3.2). Le catalogue 2026 compte un seul manuel [MAN] en version adaptée DYS (« Mobidys Fleurs d'encre 3e », Hachette Éducation) et quelques ressources DYS d'autres types (W10 § 3.3). Affecter une ressource réservée aux élèves DYS à des élèves nommés produit, dans le GAR, l'information « matériel pédagogique adapté » que la liste du projet de décret LPI, recopiée dans l'avis de la CNIL, range parmi les données relatives à la santé, et la transmet à l'éditeur s'il reçoit les attributs nominatifs. Aucun texte du GAR lu ne traite ce cas. C'est la lecture du rapport.

#3.6 PAP et PPS : le circuit administratif

Le ministère limite les données de santé des élèves aux quatre dispositifs, sans la nature du trouble, et aux services de santé. La page ministérielle : « Le traitement de données relatives à la santé des élèves est autorisé mais limité à certains cas », ceux du PAI (« pathologies chroniques et ou alimentaires »), du PPS (« situation de handicap »), du PAP (« troubles des apprentissages ») et du PPRE (« maitrise de certaines de compétences et connaissances ») ; « En aucun cas, ces renseignements ne pourront préciser la nature du handicap ou de la pathologie. Les données ne sont communiquées qu'aux services de santé des élèves (médecins et infirmières scolaires). » La revue de complétude attribuait cette liste au SDET : ni le document principal du SDET 2025 ni son kit juridique ne nomment ces dispositifs ; la liste vient de cette page (déjà relevée par X35 § 3.15). La même limite se lit, pour les services scolaires des collectivités, dans la norme simplifiée de la CNIL de 2015 : la présence d'un handicap, d'un PAI ou d'un PPS pouvait être enregistrée, mais « à l'exclusion de toute information relative à la nature du handicap ou des pathologies ». Sources : page 7073 (capture du 27/11/2025) ; SDET 2025 ; délibération n° 2015-433.

Le LPI est le traitement réglementé des PAP et PPS, et aucun éditeur n'y a accès. Le décret n° 2021-1246 crée le LPI pour les élèves « pour lesquels sont envisagés ou mis en œuvre un ou plusieurs des dispositifs de l'école inclusive » ; ses mentions énumèrent 16 catégories d'accédants (enseignants, RASED, enseignants référents, CPE, directeurs, psychologues, médecins, infirmiers, MDPH, représentants légaux et élèves de plus de 15 ans, PIAL, IEN) et 5 de destinataires (DEPP, services informatiques académiques, services de l'école inclusive, secrétariats des chefs d'établissement, sous-traitants d'hébergement et de maintenance). Pour le PAP, « les documents médicaux et paramédicaux sont communiqués par la famille au médecin de l'éducation nationale qui seul accède à ces informations ». L'élève de plus de 15 ans et ses représentants peuvent « extraire les données qui leur sont utiles ». Sources : mentions LPI (eduscol) ; délibération n° 2021-082.

Conséquence pour une offre. Lecture du rapport : un établissement qui transmettrait à un éditeur le PAP ou le PPS d'un élève sortirait du cadre réglementé (le LPI) et de la doctrine ministérielle (communication aux seuls services de santé, jamais la nature du trouble) ; un éditeur n'a pas besoin du document pour adapter un manuel : il a besoin de savoir quelles adaptations activer, que la famille ou l'élève peuvent choisir eux-mêmes. Le cas d'un PAP remis par la famille à l'éditeur, en vente directe, relève du consentement explicite (§ 3.2) ; aucune source lue ne le décrit chez un éditeur.

L'exception handicap du droit d'auteur impose, elle, un circuit nominatif. Les organismes inscrits et agréés (R. 122-13) transmettent les documents adaptés « aux personnes bénéficiaires » (L. 122-5-1) ; le Cartable fantastique exige une notification MDPH (R14 § 3.5, § 4.1). L'éditeur qui diffuse sa propre version adaptée, sous ses propres droits, n'est pas dans ce régime et n'a pas à vérifier le handicap de l'acheteur : Hatier, Didier et Foucher délivrent la licence numérique gratuite destinée aux « élèves en situation de handicap » sur un bon de commande d'établissement commun aux trois marques, qui ne demande que la « preuve d'achat » du manuel papier, sans nom d'élève ni justificatif ; le bon compte 3 lignes à quantité imprimée « 1 » et durée « 1 an », soit 3 licences au plus par bon, et renvoie au service enseignants (infoprofs@editions-hatier.fr) pour un besoin plus important. Sources : base LEGI ; bon de commande KNE.

#3.7 Ce que font les offres adaptées

Quatre architectures se lisent, du plus au moins exposé.

1. Le service réservé à un public défini par un trouble, vendu aux familles : Cantoo Scribe se présente comme un logiciel pour « les enfants présentant un trouble cognitif d'apprentissage » ; abonnement mensuel payé par Stripe ; données hébergées chez OVH en France. Sa politique ne nomme ni donnée de santé, ni base légale, ni consentement explicite, ni AIPD, ni certification HDS ; elle fonde les droits sur « l'article 34 de la loi "Informatique et Libertés" », loi citée « telle que modifiée en 2004 », sans renvoi au RGPD pour ces droits. L'existence d'un compte y révèle probablement le trouble (§ 3.1). Cantoo a désigné un DPO le 05/07/2022, sous le nom « INSCHOOL » qui figure au registre pour son SIREN. Sources : cantoo.fr ; registre des DPO.
2. L'outil intégré au manuel, ouvert à tous, avec des profils nommés par besoin : Cantoo Web dans Lib Manuels propose « Aide à la vision », « Aide à la lecture », « Aide linguistique », « Aide à l'écriture » ; « Chaque profil active automatiquement certaines fonctionnalités » ; Édulib le présente comme « un outil d'inclusion pour tous » ; ses cas d'usage publiés incluent « un élève ayant plusieurs difficultés mais non diagnostiquées » et « un élève sans besoins particuliers ». Sources : libpremium.magnard.fr ; support.edulib.fr.
3. La bibliothèque adaptée ouverte à tout l'établissement : SONDO, « ouvert à tous les élèves scolarisés au sein des établissements membres » ; un professeur peut affecter des livres à une liste d'élèves ; par le GAR, nom et prénom seulement. Les fonctions FROG des manuels CNS passent par cet abonnement. IM France n'a pas de DPO au registre (l'article 37 du RGPD ne l'impose que dans certains cas). Sources : mobidys.com ; cns-edu.com ; registre des DPO.
4. La licence adaptée commandée sans désignation de l'élève : Hatier, Didier et Foucher (bon de commande KNE commun, 3 lignes à quantité imprimée « 1 » et durée « 1 an », soit 3 licences au plus par bon, aucune donnée d'élève). Source : editions-hatier.fr.

Ce qu'aucune offre lue n'écrit : aucune politique de confidentialité d'une offre adaptée (Cantoo, MOBiDYS, SEJER, Édulib) ne mentionne les données de santé, l'article 9, une AIPD ou une certification HDS. La charte de données d'Édulib (edulib.fr/data_policy, citée par ses CGV) renvoie une erreur 404 ; sa page edulib.fr/politique-de-confidentialite ne traite pas de Cantoo Web.

Stocker les réglages sur l'appareil. Les lignes directrices de la CNIL exemptent de consentement les traceurs « de personnalisation de l'interface utilisateur (par exemple, pour le choix de la langue ou de la présentation d'un service), lorsqu'une telle personnalisation constitue un élément intrinsèque et attendu du service ». C'est la seule base solide pour ce cas, et elle ne porte que sur le consentement aux traceurs (art. 82 de la loi de 1978) : elle ne règle pas l'interdiction de l'article 9 du RGPD si l'éditeur lit un libellé de trouble. La CNIL écrit aussi que la loi « ne s'applique pas » aux « applications mobiles en santé » dont les données restent « localement sur un ordinateur, un ordiphone ou une tablette, sans connexion extérieure et à des fins exclusivement personnelles » ; un manuel en ligne qui lit les réglages dans le navigateur n'est pas « sans connexion extérieure », et ce passage ne s'applique pas à lui. Sources : délibération n° 2020-091 ; CNIL, 08/01/2018.

#4. Ce que ce sujet apprend pour une solution qui édite des manuels et les met à disposition

1. Un libellé de trouble attaché à un compte d'élève est une donnée de santé ; un réglage ne l'est pas par lui-même. Le handicap et le trouble cognitif relèvent de la définition (RGPD considérant 35 ; CNIL, question 2) ; une information qui révèle un trouble avec une simple probabilité aussi (C-21/23) ; la CNIL a qualifié de donnée de santé le « type de troubles » des élèves en situation de handicap (délibération n° 2013-178) ; la liste du projet de décret LPI, recopiée par la CNIL, range les « aménagements et adaptations » et le « matériel pédagogique adapté » parmi les données relatives à la santé (délibération n° 2021-082). Un réglage ne devient pas donnée de santé « par destination », catégorie que la CNIL réserve à l'usage médical ; il peut le devenir par croisement (§ 3.1). Des réglages nommés par fonction (taille, espacement, voix) et des profils nommés par besoin, ouverts à tous les élèves, comme Cantoo Web (§ 3.7), ne désignent pas de trouble.
2. Vendre aux familles une offre qui enregistre un trouble impose le consentement explicite, doublé avant 15 ans, et une AIPD. L'article 9 § 2 a) est la seule exception ouverte à un éditeur privé (§ 3.2) ; l'article 45 de la loi de 1978 exige l'accord conjoint du mineur et d'un parent (V21 § 3.3) ; données sensibles et enfants réunissent les deux critères qui rendent l'AIPD obligatoire (CNIL, page AIPD). Aucune formalité auprès de la CNIL n'est due sur cette base (loi, art. 65). La CNIL a déjà admis, avant le RGPD, le consentement exprès des parents pour des données de santé d'enfants hors du soin (norme simplifiée n° 2015-433, services scolaires des collectivités).
3. La certification HDS n'est pas exigée pour un profil déclaré par la famille ; elle devient la référence dès qu'on conserve des PAP ou des PPS. L. 1111-8 vise les données recueillies dans une activité de prévention, de diagnostic, de soins ou de suivi médico-social (base LEGI ; ANS) ; le PPS circule dans le système médico-social des MDPH et de la CNSA (délibération n° 2017-115) ; l'État a fait certifier HDS l'hébergement du LPI (mentions LPI). Seuls les certificats v2 valent depuis le 16/05/2026 (webinaire ANS) ; le décret n° 2026-209 impose à l'hébergeur certifié un stockage dans l'UE ou l'EEE, en vigueur six mois après sa publication du 26/03/2026, et la publication d'une cartographie des transferts (JORF). La liste des hébergeurs certifiés est publiée par l'ANS, par lettre (esante.gouv.fr). La certification n'empêche pas une sanction de 1 700 000 € contre le sous-traitant d'une MDPH (SAN-2025-015).
4. Le GAR ne transmet aucune donnée de santé, limite la collecte à ce qui est déclaré, et ne garantit pas la survie des réglages d'une année à l'autre. Quatre catégories d'attributs sans santé ; aucune collecte « en dehors des DCP fournies par le GAR et justifiées dans la déclaration de conformité » ; données de personnalisation et de production purgées au 15/08 avec trois mois de récupération, données en cookies gardées 13 mois au plus, réglages non nommés (contrat GAR v2026, p. 24, 33-34). Les libellés de division, de groupe ou de formation, transmis tels que l'ENT les saisit, peuvent porter « ULIS » et révéler indirectement un handicap (RTFS v8.2 ; jeu Pix ; C-184/20) : une ressource qui demande les attributs de catégorie 3 avec les attributs nominatifs reçoit ce risque. Une ressource du GAR a donc intérêt à proposer l'adaptation à tous les élèves et à laisser chacun la réactiver, plutôt que d'attendre une désignation des élèves concernés.
5. Une version adaptée réservée et attribuée nommément fabrique la donnée sensible ; une version ouverte à tous l'évite. SONDO ouvre l'accès « à tous les élèves » de l'établissement ; Hatier, Didier et Foucher délivrent la licence gratuite sur preuve d'achat du papier, sans nom ni justificatif, 3 licences au plus par bon (§ 3.7). L'exception handicap du droit d'auteur, elle, passe par un organisme habilité et un bénéficiaire identifié (L. 122-5-1 ; notification MDPH au Cartable fantastique) : une adaptation produite sous les droits de l'éditeur n'a pas à en passer par là.
6. Le PAP et le PPS n'ont pas à quitter le circuit de l'école. Doctrine ministérielle : jamais la nature du trouble, et communication aux seuls services de santé (page 7073) ; le LPI, traitement réglementé de ces plans, ne compte aucun éditeur parmi ses 21 catégories d'accédants et de destinataires (mentions LPI). Ce dont l'éditeur a besoin, la liste des adaptations à activer, se choisit dans l'interface par l'élève ou la famille.
7. Les réglages peuvent vivre sur l'appareil. Un traceur de personnalisation de l'interface est exempté de consentement (délibération n° 2020-091, art. 82 de la loi) ; c'est la seule base solide pour un manuel en ligne, car l'exclusion du champ de la loi que la CNIL accorde aux données gardées « localement […] sans connexion extérieure » vise des applications de santé autonomes, pas un service en ligne (CNIL, 08/01/2018). L'exemption de consentement ne lève pas l'interdiction de l'article 9 si l'éditeur lit un libellé de trouble : le réglage stocké doit rester un réglage de fonction. Dans le GAR, un cookie se garde 13 mois au plus et échappe à la purge du 15/08 (contrat GAR v2026, p. 34), au prix de la perte des réglages en changeant d'appareil.
8. Les concurrents n'ont pas écrit leur cadre. Aucune politique lue d'une offre adaptée (Cantoo, MOBiDYS, SEJER, Édulib) ne nomme les données de santé ; Cantoo Scribe, réservé aux enfants ayant un trouble, fonde les droits des personnes sur la loi de 1978 « telle que modifiée en 2004 » (§ 3.7). Une offre qui publie sa qualification des données, sa base légale et son AIPD se distinguerait sur un point que les acheteurs publics examinent (fiche CNIL « outils collaboratifs », V21 § 3.3).
9. Ce qui change dans les points touchés. 09-vague4 § 3.4 et § 9, 10-vague5 § 9, 03-cibles (élèves à besoins éducatifs particuliers) : le levier « élève DYS » se traite par l'adaptation ouverte à tous, sans désignation ; un module DYS réservé et nominatif porte des données de santé. V21 § 3.3 et § 4 : l'AIPD « probable » devient obligatoire dès qu'un profil de trouble est enregistré ; la phrase « sans aucune catégorie particulière de données » ne vaut que pour une offre qui n'en enregistre pas. La revue de complétude attribuait au SDET la liste PAI-PPS-PAP-PPRE : elle vient de la page ministérielle 7073 (§ 3.6).

#5. Ce que la recherche n'a pas pu établir

• Une position de la CNIL, de l'ANS ou d'un juge sur un réglage d'accessibilité ou un profil DYS d'une offre éducative. Non trouvée : 0 document dans les 9 910 délibérations ; aucune fiche CNIL lue. La qualification des réglages et des comptes repose sur la lecture du rapport (§ 3.1). Démarche : question à la CNIL par son service « Poser une question à la CNIL » (cnil.fr, rubrique « Besoin d'aide »), en lui soumettant les quatre cas du § 3.1 ; elle établirait la qualification et le besoin d'AIPD.
• L'application de L. 1111-8 à un éditeur qui conserverait des PAP ou des PPS pour le compte d'un établissement. Non tranchée par les textes et FAQ lus. La FAQ de l'ANS « Exemples (liste non exhaustive) de cas n'entrant pas dans l'obligation de certification HDS » (esante.gouv.fr/faq/exemples-liste-non-exhaustive-de-cas-nentrant-pas-dans-lobligation-de-certification-hds) et celle sur les activités de « prévention » (esante.gouv.fr/faq/larticle-l-1111-8-du-csp-vise-les-activites-de-prevention-pourriez-vous-preciser-quelle-est-letendue-des-activites-visees-par-cette-disposition) se chargent par script : ni la page vivante ni les captures d'Internet Archive ne livrent leur texte ; à lire dans le lot navigateur. Elles établiraient si une activité de « prévention » au sens de l'ANS couvre la médecine scolaire. Démarche possible : question à l'ANS par le formulaire « Contactez-nous » d'esante.gouv.fr. Y30 § 1.13 : la FAQ de l'ANS (22/09/2026) range expressément « dépistages des troubles du développement » dans la prévention secondaire au sens de L. 1111-8 ; la FAQ des exclusions ne cite ni l'école ni l'éditeur.
• Le texte intégral des arrêts C-21/23 et C-184/20. Seuls les communiqués de presse ont été lus ; EUR-Lex répond par un code 202 sans contenu aux requêtes automatisées. À lire dans le lot navigateur (eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62023CJ0021). Fermé par Y30 § 1.12 : arrêts lus sur InfoCuria ; C-21/23 (grande chambre), point 90 : données de santé « même si c'est seulement avec une certaine probabilité, et non avec une certitude absolue » ; C-184/20, point 127 : les données « susceptibles de dévoiler, de manière indirecte, des informations sensibles » relèvent du régime renforcé. « Il est indifférent » vient du communiqué, pas de l'arrêt.
• La version de L. 1111-8 postérieure au 13/07/2025. L'archive LEGI s'arrête à cette date. Le décret n° 2026-209 du 24/03/2026, pris sur la loi SREN, a été lu dans sa publication au JO (capture Internet Archive) : il modifie R. 1111-9 et R. 1111-11 et crée R. 1111-9-1, sans toucher L. 1111-8 (§ 3.4). Une modification législative de L. 1111-8 après le 13/07/2025 n'a pas été recherchée hors de cette archive ; Légifrance renvoie 403 aux requêtes sans navigateur. Lot navigateur : article L. 1111-8 du code de la santé publique sur Légifrance, version au 11/10/2026. Fermé par Y30 § 1.2 : version en vigueur depuis le 01/07/2025 (loi n° 2024-449), sans modification postérieure.
• La liste des hébergeurs certifiés HDS, lettres O et I, et sa version postérieure au 16/05/2026. L'ANS la publie sous forme de tableau web (https://esante.gouv.fr/offres-services/hds/liste-des-herbergeurs-certifies), chargé par script ; la page vivante renvoie 212 octets et les captures d'Internet Archive du 13/01/2025, du 19/05/2025 et du 03/03/2026 ne servent que la lettre A. À lire dans le lot navigateur, lettres O et I : elle établirait si OVH (Cantoo) et ILT (hébergeur du site mobidys.com) sont certifiés et pour quelles activités, et si ATOS, inscrit le 03/03/2026 « sur version 1.1 », est passé en v2.0. Aucune offre lue ne se réclame d'une certification HDS. Y30 § 1.13 : au navigateur, la page redirige vers « Connectez-vous à votre Compte pour voir le contenu » : liste réservée aux comptes du site ; non lue.
• L'hébergeur de la plateforme SONDO. Les mentions légales de mobidys.com nomment l'hébergeur du site (ILT Inläsningstjänst AB) ; aucune page lue ne nomme celui de la plateforme.
• Ce que portent, en pratique, les attributs GAR de catégorie 3. Le rapport n'a pas établi si le code N_MEF_STAT_3 (« dispositif de formation ») transmis par le GAR distingue une formation ULIS, ni si des ENT créent des divisions ou des groupes libellés « ULIS » ; les libellés de MEF « 3eme ulis » du jeu Pix montrent que des établissements emploient ces formations, pas ce que le GAR en transmet. La table N_MEF_STAT_3 de la base centrale des nomenclatures (bcn.depp.education.fr/bcn/) n'a pas été lue (adresse de consultation testée : 404) ; les déclarations de conformité, qui justifient les attributs de catégorie 3, ne sont pas publiées (point suivant).
• Les noms des profils de Cantoo Scribe (vendu aux familles). Seuls ceux de Cantoo Web ont été lus ; l'application, qui demande un compte, n'a pas été ouverte (démarche de compte, docs/demarches/03-comptes.md).
• La politique de données d'Édulib pour Cantoo Web. edulib.fr/data_policy renvoie 404. Démarche : demande à Édulib (formulaire de contact de support.edulib.fr) sur la qualification des paramètres conservés « d'un manuel / appareil à l'autre » et sur le lieu de leur conservation.
• Le contenu des déclarations de conformité GAR des offres adaptées (SONDO, Cantoo Web, Mobidys Fleurs d'encre). Non publiées. Démarche : demande de communication au ministère (DNE, gestionnaire du GAR) ; elle établirait quelles données de personnalisation ces ressources déclarent, pour quelle durée, si leurs réglages sont gardés en cookies (13 mois au plus) ou sur le serveur (purge au 15/08), et quels attributs de catégorie 3 elles reçoivent.
• Le niveau de vérification exigé pour le consentement explicite d'un parent à un traitement de santé d'un enfant en ligne. La recommandation 7 de la CNIL vise les traitements « à risque » sans nommer la santé ; aucun texte lu ne le fixe.
• Le nombre d'élèves en PAP. Toujours non publié (W10 § 3.5) ; le seul ordre de grandeur lu dans ce rapport est l'estimation du ministère pour le LPI : « environ 840.000 élèves » susceptibles d'être concernés (délibération n° 2021-082).

#6. Sources

Données ouvertes

• Délibérations de la CNIL, version structurée : https://www.data.gouv.fr/datasets/les-deliberations-de-la-cnil-vectorisees ; fichiers https://huggingface.co/datasets/AgentPublic/cnil/resolve/main/data/cnil-latest/cnil_part_0.parquet et cnil_part_1.parquet (téléchargés le 11/10/2026)
• Organismes ayant désigné un DPO : https://static.data.gouv.fr/resources/organismes-ayant-designe-un-e-delegue-e-a-la-protection-des-donnees-dpd-dpo/20261007-135822/opencnil-organismes-avec-dpo.csv (11/10/2026)
• API Recherche d'entreprises : https://recherche-entreprises.api.gouv.fr/search
• API data.gouv.fr : https://www.data.gouv.fr/api/1/datasets/?q=
• data.education.gouv.fr : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets?q=handicap (paramètre q sans effet, 309 = catalogue entier) ; recherche plein texte https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets?where=search(%22handicap%22) (11/10/2026)
• Les ULIS : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets/fr-en-ulis (11/10/2026) ; ULIS-TFV : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets/fr-en-ulis-tfv
• TNE, solutions numériques pour l'école inclusive : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets/fr-en-tne_suivi_deploiement_solutions_numeriques_preparation_classe_ecole_inclusive_dept/records (11/10/2026)
• Pix, participations par profil cible et MEF : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets/fr-en-pix_participations_aux_campagnes_par_profil_cible_et_mef_code/records (11/10/2026)
• ANS, liste des hébergeurs certifiés HDS : https://esante.gouv.fr/offres-services/hds/liste-des-herbergeurs-certifies ; capture http://web.archive.org/web/20260303101417id_/https://esante.gouv.fr/offres-services/hds/liste-des-herbergeurs-certifies
• Base LEGI (DILA), Freemium_legi_global_20250713-140000.tar.gz (dont CASF L. 146-3, L. 146-4 et L. 312-1, extraits à l'intégration)

Textes

• RGPD (texte publié par la CNIL) : https://www.cnil.fr/fr/reglement-europeen-protection-donnees ; chapitres https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre1 , /chapitre2 , /chapitre4
• Loi n° 78-17 : https://www.cnil.fr/fr/la-loi-informatique-et-libertes
• CNIL, liste des AIPD requises : https://www.cnil.fr/sites/cnil/files/atoms/files/liste-traitements-avec-aipd-requise-v2.pdf
• CNIL, liste des AIPD non requises : https://www.cnil.fr/sites/cnil/files/atoms/files/liste-traitements-aipd-non-requise.pdf
• CNIL, délibérations n° 2013-178, 2015-433 et 2017-115 : jeu des délibérations ci-dessus (Hugging Face AgentPublic/cnil, colonne number)
• Décret n° 2026-209 du 24/03/2026 : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000053717250 (capture http://web.archive.org/web/20260405124302id_/https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000053717250) ; fiche AP-HP https://affairesjuridiques.aphp.fr/textes/decret-n-2026-209-du-24-mars-2026-portant-modification-de-certaines-dispositions-du-code-de-la-sante-publique-relatives-a-lhebergement-de-donnees-de-sante-a-caractere-personnel-2/
• Référentiel technique du GAR v8.2 : https://gar.education.fr/wp-content/uploads/2025/04/GAR-RTFS_V8.2-Referentiel-technique_FR-1.pdf
• CNIL, « Qu'est-ce qu'une donnée de santé ? » : https://www.cnil.fr/fr/quest-ce-ce-quune-donnee-de-sante
• CNIL, « Ce qu'il faut savoir sur l'AIPD » : https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd
• CNIL, « Quelles formalités pour les traitements de données de santé ? » : https://www.cnil.fr/fr/quelles-formalites-pour-les-traitements-de-donnees-de-sante
• CNIL, fiche outils collaboratifs (24/08/2026) : https://www.cnil.fr/fr/enseignement-premier-second-degres-bonnes-pratiques-outils-collaboratifs (copie etude/vague3/_travail_V21/)
• Décret n° 2021-1246 : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044125813
• Mentions informatives du LPI : https://eduscol.education.fr/document/11738/download
• Arrêté du 18/12/2017 (GAR) : https://www.legifrance.gouv.fr/eli/arrete/2017/12/18/MENN1729109A/jo/texte/fr
• Contrat GAR v2026 : https://gar.education.fr/wp-content/uploads/2026/06/Contrat-GAR_v2026.pdf
• SDET 2025, document principal : https://dane.web.ac-grenoble.fr/sites/default/files/Media/document/document-principal-du-sdet-version2025-228526.pdf
• SDET 2025, kit juridique : https://www.education.gouv.fr/sites/default/files/2025-07/kit-juridique-441540.pdf
• Page « La protection des élèves et de leurs données sur Internet » : https://web.archive.org/web/20251127142648id_/https://www.education.gouv.fr/la-protection-des-eleves-et-de-leurs-donnees-sur-internet-7073
• CJUE, communiqué n° 159/24 (C-21/23) : https://curia.europa.eu/jcms/upload/docs/application/pdf/2024-10/cp240159fr.pdf
• CJUE, communiqué n° 133/22 (C-184/20) : https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-08/cp220133fr.pdf
• ANS, FAQ « suivi social et médico-social » : https://web.archive.org/web/20260312014411id_/https://esante.gouv.fr/faq/larticle-l-1111-8-du-csp-vise-les-activites-de-suivi-social-et-medico-social-pourriez-vous-preciser-quelle-est-letendue-des-activites-visees-par-cette-disposition
• ANS, FAQ « Dans quelle situation parle-t-on d'hébergement de donnée de santé ? » : https://web.archive.org/web/20260618051213id_/https://esante.gouv.fr/faq/dans-quelle-situation-parle-t-dhebergement-de-donnee-de-sante
• ANS, FAQ « pour le compte du patient lui-même » : https://web.archive.org/web/20260618045316id_/https://esante.gouv.fr/faq/larticle-l-1111-8-du-csp-vise-lhebergement-pour-le-compte-du-patient-lui-meme-quels-sont-votre-connaissance-les-cas-dusage-dans-lesquels-cette-disposition-viendrait-sappliquer
• ANS, webinaire HDS du 18/03/2026 : https://esante.gouv.fr/sites/default/files/media/document/20260318%20Webinaire%20HDS%20-%20v1.0_0.pdf
• Lefebvre Dalloz, « Héberger les données de santé » (09/12/2022) : https://open.lefebvre-dalloz.fr/droit-affaires/protection-donnees-personnelles/heberger-donnees-sante_a93491

Acteurs

• Cantoo : https://www.cantoo.fr/legal/regulations?tab=privacy-policy
• Édulib : https://support.edulib.fr/support/solutions/articles/7000095976 ; https://support.edulib.fr/support/solutions/articles/7000096882 ; https://support.edulib.fr/support/solutions/articles/7000095977-quels-sont-les-cas-d-usage-de-l-assistant-cantoo-web- ; https://www.edulib.fr/cgu-cgv
• Magnard : https://libpremium.magnard.fr/cantoo/01_profils/ ; https://libpremium.magnard.fr/visuels/cantoo-profils.gif
• MOBiDYS : https://www.mobidys.com/rgpd/ ; https://www.mobidys.com/gar-et-respect-du-rgpd/ ; https://www.mobidys.com/mentions-legales/
• CNS (SEJER) : https://www.cns-edu.com/actualites/71/nouveau_%E2%80%93_des_manuels_100%25_inclusifs_ ; https://www.cns-edu.com/bibliomanuels-politique-confidentialite ; https://www.cns-edu.com/conditions-generales-utilisation-de-l-offre-numerique
• Hatier : https://www.editions-hatier.fr/ecole-inclusive ; https://www.editions-hatier.fr/sites/default/files/imce/bon-commande-kne-inclusion_2022.pdf

Rapports de l'étude : V21 § 3.3 et § 3.4 ; R14 § 3.5, § 3.10, § 4.1 ; R15 § 3.2 ; W10 § 3.2, § 3.3, § 3.5 ; X35 § 3.15 ; 09-vague4 § 3.4 et § 9 ; 10-vague5 § 9.

Fichiers de travail : /home/paul/.cache/manuels-vague6/Y26/ (délibérations, contrat GAR, SDET, kit juridique, captures, articles LEGI extraits dans legi/, pages d'acteurs dans act/). Intégration du 11/10/2026 : /home/paul/.cache/manuels-vague6/Y26-integ/ (délibérations 2013-178, 2015-433, 2016-141, 2017-115, 2019-118, 2020-091 et 2021-082 extraites du jeu, contrat GAR et RTFS v8.2, bon KNE et son rendu, décret n° 2026-209, captures de la liste HDS, articles du CASF dans casf/), scripts dans Y26-integ-scripts/.