Quand vous ouvrez votre messagerie CONVERGENCE Toulouse chaque matin, vous manipulez des données personnelles sans forcément y penser. Noms d’élèves dans un courriel, pièces jointes administratives, échanges entre collègues sur la situation d’un agent : tout cela relève du RGPD. Pour les personnels de l’académie de Toulouse, comprendre les règles de protection des données liées à cette plateforme n’est pas un sujet théorique. C’est une obligation professionnelle quotidienne.
Référent RGPD en établissement : un rôle que beaucoup d’agents ignorent
Depuis 2024, chaque EPLE de l’académie de Toulouse doit désigner un référent RGPD établissement. Ce référent fait le lien avec le Délégué à la protection des données (DPD/DPO) académique. Son rôle ne se limite pas à un titre sur un organigramme.
A découvrir également : Services d'urbanisme : tout savoir sur ces prestations essentielles
Concrètement, ce référent tient un registre local des traitements. Ce registre recense tous les usages de données personnelles dans l’établissement, y compris ceux qui passent par la messagerie professionnelle CONVERGENCE Toulouse. Envoi de listes d’élèves par courriel, partage de documents RH entre collègues, transmission de données médicales au service infirmier : chaque flux doit y figurer.
Le référent gère aussi les demandes d’accès ou de rectification formulées par les agents et les élèves. Vous avez déjà remarqué qu’un ancien collègue apparaît encore dans des listes de diffusion ? C’est exactement le type de situation que le référent doit traiter.
Lire également : Nouvelle taxe propriétaires : tout savoir sur la réforme fiscale immobilière
Si votre établissement n’a pas encore identifié clairement ce référent, la circulaire académique de rentrée 2024 sur la protection des données impose cette désignation. Renseignez-vous auprès de votre chef d’établissement.
Authentification multifacteur sur la messagerie académique Toulouse
L’académie de Toulouse a généralisé depuis 2025 l’authentification multifacteur (MFA) pour l’accès aux services numériques, dont la messagerie CONVERGENCE. Le déploiement a d’abord ciblé les personnels de direction et agents ayant des habilitations sensibles, dans le cadre du plan de sécurisation présenté par la DRANE Occitanie lors des journées académiques du numérique 2025.
Pourquoi ce choix de priorisation ? Parce que ces comptes donnent accès à des données à fort impact : dossiers disciplinaires, informations financières, données de carrière. Un compte de direction compromis expose l’ensemble de l’établissement.
Le principe du MFA est simple. Après avoir saisi votre mot de passe habituel, un second facteur vous est demandé. Ce peut être un code temporaire reçu sur un appareil personnel ou généré par une application dédiée. Même si votre mot de passe est volé, le second facteur bloque l’intrusion.
Ce que cela change pour votre connexion quotidienne
L’étape supplémentaire ajoute quelques secondes à chaque connexion. Sur un navigateur de confiance, la validation peut être mémorisée pour une durée définie. Sur un appareil partagé ou un poste public, le MFA se déclenche systématiquement.
Si vous n’avez pas encore configuré le MFA sur votre compte, le portail de gestion des identifiants académiques (MaMamia) propose la procédure. Ne repoussez pas cette étape, surtout si vous accédez à la messagerie depuis un réseau extérieur à l’académie.
Données personnelles dans la messagerie CONVERGENCE : ce qui est autorisé et ce qui ne l’est pas
La messagerie professionnelle ac-toulouse.fr n’est pas un espace neutre. Chaque message envoyé ou reçu peut contenir des données à caractère personnel au sens du RGPD. Le problème, c’est que beaucoup d’agents utilisent ce webmail comme un outil de stockage informel.
Voici les pratiques qui posent problème :
- Envoyer une liste nominative d’élèves avec des informations de santé ou disciplinaires en pièce jointe non chiffrée, sans vérifier que le destinataire a besoin de ces données pour ses missions
- Conserver pendant des années des courriels contenant des données personnelles d’anciens élèves ou d’anciens collègues, alors que la finalité du traitement a disparu
- Transférer un message interne contenant des données sensibles vers une adresse personnelle (Gmail, Outlook) pour « travailler à la maison »
Le transfert vers une messagerie non académique est le point le plus critique. Les serveurs de l’académie de Toulouse sont hébergés dans un cadre sécurisé, conforme aux exigences de l’Éducation nationale. Dès que les données quittent ce périmètre, la responsabilité de l’agent est engagée.
Le principe de minimisation appliqué à vos courriels
Le RGPD impose de ne collecter et transmettre que les données strictement nécessaires à la finalité du traitement. Traduit en pratique pour la messagerie CONVERGENCE Toulouse : avant d’envoyer un courriel, posez-vous deux questions. Le destinataire a-t-il besoin de toutes les informations contenues dans ce message ? Puis-je anonymiser ou réduire les données transmises ?
Un exemple concret : pour signaler un problème de comportement à un CPE, inutile de joindre l’intégralité du dossier scolaire. Le nom de l’élève, la classe et la description factuelle de l’incident suffisent.
Registre des traitements et messagerie : le lien que les agents oublient
Le registre des traitements tenu par le référent RGPD de l’établissement doit recenser les flux de données qui transitent par la plateforme de messagerie. Beaucoup d’établissements disposent d’un registre, mais celui-ci ne couvre que les logiciels métiers (SIECLE, Pronote, LSU) et omet la messagerie.
C’est une lacune fréquente. La messagerie CONVERGENCE n’est pas un simple outil de communication. Elle devient un traitement de données dès qu’elle sert à échanger, stocker ou transmettre des informations nominatives de façon organisée.
Pour compléter le registre, le référent peut recenser :
- Les catégories de données personnelles échangées par courriel (identité des élèves, données de santé, informations de carrière des agents)
- Les destinataires habituels (services académiques, collectivités, partenaires extérieurs)
- Les durées de conservation appliquées aux messages contenant des données personnelles
- Les mesures de sécurité en place (MFA, chiffrement, restrictions d’accès)
Tenir ce registre à jour protège l’établissement en cas de contrôle et permet de répondre rapidement aux demandes d’exercice de droits des personnes concernées.
La protection des données sur CONVERGENCE Toulouse ne repose pas sur un seul dispositif technique. Elle dépend de la vigilance de chaque agent, de la rigueur du référent RGPD et de l’activation effective du MFA. Le maillon le plus fragile reste l’usage quotidien de la messagerie, là où les habitudes prennent le pas sur les règles.
