Aller au contenu principal
Quel LMS

Normes

RGPD : que demander à l’éditeur de LMS ?

Vous allez signer avec un éditeur de LMS (plateforme qui diffuse les formations et suit qui les a faites), et sa page sécurité répond « conforme RGPD » à toutes vos questions.

Demandez trois documents : le contrat de sous-traitance, la liste des sous-traitants et ce qui se passe à la fin. Lisez-les avec l’article 28 du RGPD sous les yeux. Une mention « conforme RGPD » ne remplace aucun des trois.

Avant cela, vérifiez une chose si vous formez des clients ou des partenaires : qui décide de quoi. Pour des salariés, l’employeur est en général responsable de traitement et l’éditeur sous-traitant. Pour des externes, la répartition demande un examen.

Notre avis

Nous écarterions un éditeur qui refuse de transmettre ces documents avant la signature, même s’il est le moins cher. Un éditeur qui les transmet n’est pas conforme pour autant : vous avez seulement de quoi lire et discuter.

Pourquoi

  • L’article 28 dit ce que le contrat doit prévoir, point par point : un contrôle de lecture suffit, sans être juriste, pour repérer ce qui manque.
  • Les données utiles d’un LMS partent chez d’autres : hébergeur, transcription, IA. La liste des sous-traitants dit qui, et où.
  • L’IA ajoute une question précise que le mot « conforme » ne traite pas : l’éditeur réutilise-t-il vos données pour son compte ? La CNIL répond par une autorisation écrite et un test de compatibilité.

Ce qui change notre avis

Pour des apprenants externes, commencez par écrire qui décide des règles et qui reçoit les résultats : un partenaire qui les utilise pour ses propres besoins change la répartition, et le contrat seul ne la fixe pas. Pour un Moodle auto-hébergé sans prestataire, ces documents ne se demandent pas à un éditeur : votre question porte sur l’hébergeur et sur vous.

Le contrat, lu avec l’article 28

L’article 28(3) énumère ce que le contrat prévoit notamment. La dernière colonne donne la question que nous poserions pour un LMS : ce sont nos questions, le texte ne les pose pas ainsi.

Article 28 du RGPD, publication d’origine
Point du texteCe qu’il prévoitLa question à poser pour un LMS
28(3), débutObjet, durée, nature et finalité, types de données, catégories de personnesLe score, le temps passé et les journaux figurent-ils dans la description ?
28(3)(a)Instruction documentée, y compris sur les transfertsOù sont écrites les instructions, et que se passe-t-il si un transfert change ?
28(3)(b) et (c)Confidentialité du personnel, mesures de sécuritéQuels documents de sécurité sont transmis, avec quelle date et sur quel service ?
28(2) et (3)(d)Autorisation écrite pour un autre sous-traitant ; droit d’objection si autorisation généraleComment êtes-vous prévenu d’un changement, et avec quel délai ?
28(3)(e)Aide pour les demandes des personnesComment sortir ou effacer les données d’un salarié qui le demande ?
28(3)(f)Aide pour les obligations des articles 32 à 36Sous quel délai êtes-vous prévenu d’une violation de données ?
28(3)(g)Suppression ou renvoi au choix du responsable, en fin de prestationQuel format, sous quel délai, et que devient l’historique ?
28(3)(h)Informations de conformité, auditsQuel audit est possible, et à quelles conditions ?

Ce que montrent déjà les pages publiques

Toutes ces phrases viennent des éditeurs, et aucune n’établit une conformité. Elles montrent ce qu’une lecture permet d’apprendre, et l’écart entre deux pages.

Speach publie une liste de sous-traitants, mise à jour le 1er octobre 2026 : AWS pour l’hébergement, l’IA et la synthèse vocale, en Europe ou aux États-Unis, et d’autres prestataires d’IA aux États-Unis. Vous savez quoi demander : quelle région pour votre compte.

Absorb écrit que les données restent dans la région choisie, mais qu’elles peuvent être consultées d’ailleurs pour le support et la sous-traitance, avec du personnel au Canada, en Irlande, au Royaume-Uni, en Australie et aux États-Unis. La page sur les transferts explique pourquoi cela compte.

Didask renvoie les informations sur l’hébergeur de la plateforme à un rendez-vous. Nous n’en concluons rien sur le service : le document se demande alors avant de signer.

Sur l’IA, Articulate dit ne pas utiliser le contenu de ses clients pour entraîner ses modèles génératifs. Le contenu d’un cours et les données de vos apprenants sont deux choses, et une phrase de page produit n’est pas une clause : faites-la écrire au contrat.

La réutilisation, ou le point que personne ne lit

Selon la CNIL, un sous-traitant ne peut réutiliser pour son propre compte que si la réutilisation est compatible avec le traitement initial et que le responsable l’a autorisée par écrit. Elle demande au responsable de faire un test de compatibilité avant d’autoriser. Le sous-traitant devient alors responsable de ce nouveau traitement.

Cherchez donc dans le contrat et les conditions d’utilisation : « amélioration des services », « données agrégées », « entraînement ». Nous rapprochons ces formules de l’article de la CNIL, qui ne vise aucun éditeur précis. Si vous trouvez une telle autorisation et que vous n’avez fait aucun test, parlez-en à votre DPO (délégué à la protection des données).

Former des externes change qui est responsable

Le responsable de traitement est celui qui détermine les finalités et les moyens ; ceux qui les déterminent ensemble sont responsables conjoints et répartissent leurs obligations par accord (RGPD, articles 4 et 26). La qualification suit les faits.

Notre lecture, sans texte qui vise ce cas : l’entreprise qui décide de la formation et de ses règles est en général responsable, et l’éditeur sous-traitant. Un partenaire qui reçoit les résultats de ses salariés pour ses propres besoins devient responsable de cet usage, voire conjoint si les finalités se décident ensemble. Le référentiel RH de la CNIL de 2019 vise les effectifs de l’employeur : il ne vous aide pas pour un apprenant client.

Écrivez qui décide, qui reçoit quoi, combien de temps et sur quelle base, et faites relire. La séparation des publics sur la plateforme est un autre sujet.

Limites de cette page

Nous n’avons lu le contrat de sous-traitance d’aucun éditeur, et cette page n’en classe aucun. Le texte de l’article 28 est celui de la publication d’origine. Nous ne traitons ni la base légale ni l’analyse d’impact, qui reste à examiner avec le DPO, notamment si un algorithme propose des formations personnalisées : le référentiel de 2019 de la CNIL cite ce cas parmi les exemples. Les transferts hors UE ont leur page. Une promesse d’éditeur n’établit pas une conformité.

Et maintenant ?

Envoyez à l’éditeur une demande écrite des trois documents avant la dernière négociation, et faites le contrôle ligne à ligne avec votre DPO. Si vous formez des clients ou des partenaires, écrivez d’abord la répartition des rôles, puis demandez les documents.

Preuves et sources

Le 5 novembre 2026, nous avons lu les articles 4, 26 et 28 du RGPD dans leur publication d’origine, les pages de la CNIL sur les sous-traitants (non datée), le responsable de traitement (non datée) et la réutilisation (11 janvier 2022), et des pages publiques d’éditeurs. Le guide de la CNIL et les clauses types n’ont pas été lus. Ni le RGPD ni ces pages ne nomment un LMS, et nous n’avons relu le contrat d’aucun éditeur.

Voir les 12 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis

  • Fait lu. Le contrat de sous-traitance définit l’objet, la durée, la nature et la finalité, les types de données et les catégories de personnes ; il prévoit notamment les instructions documentées, y compris sur les transferts, la confidentialité, la sécurité, l’aide aux droits des personnes et aux articles 32 à 36, les audits et, au choix du responsable, la suppression ou le renvoi des données en fin de prestation.

    Portée : UE ; RGPD, article 28(3), publication d’origine.

    Réserve : Le fait qu’un éditeur propose un tel contrat n’établit pas sa conformité.

    Relevé le 5 novembre 2026.

  • Fait lu. Le recrutement d’un autre sous-traitant exige une autorisation écrite préalable, spécifique ou générale ; en cas d’autorisation générale, le responsable est informé des changements et peut émettre des objections.

    Portée : UE ; RGPD, article 28(2).

    Réserve : La liste reste à demander à chaque éditeur.

    Relevé le 5 novembre 2026.

  • Fait lu. La CNIL rappelle que sous-traitants et responsables de traitement doivent respecter le RGPD et que le traitement par un sous-traitant est encadré par un contrat, éventuellement fondé sur des clauses contractuelles types.

    Portée : Page CNIL non datée.

    Réserve : Page d’orientation ; guide et clauses non lus.

    Relevé le 5 novembre 2026.

  • Fait lu. Selon la CNIL, un sous-traitant ne peut réutiliser des données pour son propre compte que si la réutilisation est compatible avec le traitement initial et que le responsable l’a autorisée par écrit, après un test de compatibilité ; il devient alors responsable de ce traitement.

    Portée : Page CNIL du 11 janvier 2022.

    Réserve : Ne vise aucun éditeur précis ; le rapprochement avec une clause d’entraînement d’IA est le nôtre.

    Relevé le 5 novembre 2026.

  • Fait lu. Le responsable de traitement détermine les finalités et les moyens ; des responsables qui les déterminent ensemble sont conjoints et répartissent leurs obligations par accord.

    Portée : UE ; RGPD, articles 4(7) et 26.

    Réserve : La qualification dépend des faits, pas du contrat seul.

    Relevé le 5 novembre 2026.

  • Notre déduction. Pour des clients ou partenaires formés, l’entreprise qui décide de la formation et de ses règles est en général responsable de traitement et l’éditeur sous-traitant ; un partenaire qui reçoit les résultats de ses salariés pour ses propres besoins devient responsable de cette utilisation, voire conjoint.

    Portée : Notre lecture, UE.

    Réserve : Aucun texte lu ne vise ce cas. Un éditeur peut être responsable pour ses usages propres.

    Relevé le 5 novembre 2026.

  • Fait lu. Le référentiel RH de la CNIL de 2019 vise les personnes faisant partie des effectifs de l’employeur, et cite la proposition de formations personnalisées par algorithme parmi les exemples de traitements établissant des profils.

    Portée : Référentiel du 21 novembre 2019.

    Réserve : Ne donne pas de repère pour un apprenant client. Ne dit pas qu’un moteur précis est visé.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. La liste de sous-traitants de Speach, mise à jour le 1er octobre 2026, donne AWS pour l’hébergement, la synthèse vocale et l’IA, en Europe ou aux États-Unis, et d’autres prestataires d’IA aux États-Unis.

    Portée : Page de l’éditeur.

    Réserve : La région retenue pour un client français n’est pas établie.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Absorb écrit que les données restent dans la région choisie mais peuvent être consultées d’ailleurs pour le support, la maintenance et la sous-traitance, avec du personnel de support au Canada, en Irlande, au Royaume-Uni, en Australie et aux États-Unis.

    Portée : Aide de l’éditeur, non datée.

    Réserve : Une promesse d’éditeur n’établit pas une conformité.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Didask renvoie les informations sur l’hébergeur de la plateforme à un rendez-vous.

    Portée : Page de l’éditeur, non datée.

    Réserve : Un manque de documentation publique n’indique rien sur le service.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Articulate dit ne pas utiliser le contenu de ses clients pour entraîner ses modèles génératifs.

    Portée : Page produit de l’éditeur, outil auteur.

    Réserve : Ne vaut que pour cet éditeur ; à faire écrire au contrat.

    Relevé le 5 novembre 2026.

  • Notre avis. Écarter un éditeur qui ne transmet pas ces documents avant la signature est notre position ; les questions du tableau sont notre méthode.

    Relevé le 5 novembre 2026.

Notre méthode