Au-delà de la COPPA : comment les lois américaines sur la confidentialité des données des élèves (SOPIPA et autres) traitent les images d’enfants

L’anonymisation des données visuelles consiste à modifier des photos ou des vidéos afin que les personnes, ou d’autres identifiants visibles, ne soient plus directement reconnaissables dans les contenus publiés. Dans les publications scolaires et EdTech, les techniques les plus courantes sont le floutage des visages, qui masque le visage d’un élève, et le floutage des plaques d’immatriculation, qui masque les plaques de véhicules visibles dans des images de campus, des photos de sorties scolaires, des vidéos de parking ou des enregistrements d’événements publics.

Cet article ne constitue pas un conseil juridique. Il explique une approche courante de conformité pour les organisations qui publient des images ou des vidéos impliquant des enfants et des élèves aux États-Unis. Le point essentiel est pratique : la COPPA est importante, mais les opérateurs K-12 actifs dans plusieurs États ne peuvent pas s’arrêter à la COPPA. Les lois des États américains sur la confidentialité des données des élèves imposent souvent des exigences plus strictes aux opérateurs qui collectent, utilisent, divulguent ou partagent des contenus visuels liés à des élèves.

Ce que couvre la COPPA lorsque des enfants apparaissent sur des photos et des vidéos

Le Children’s Online Privacy Protection Act et la COPPA Rule s’appliquent aux opérateurs de sites web et de services en ligne destinés aux enfants de moins de 13 ans, ainsi qu’aux opérateurs qui ont effectivement connaissance du fait qu’ils collectent des informations personnelles auprès d’enfants de moins de 13 ans [1]. La COPPA est une loi fédérale : elle constitue donc un socle national pour les services en ligne concernés.

Pour la publication de contenus visuels, le point important est que la COPPA Rule définit les informations personnelles comme incluant une photographie, une vidéo ou un fichier audio contenant l’image ou la voix d’un enfant [1]. Cela signifie qu’un service en ligne qui collecte, utilise ou divulgue des images identifiables d’enfants ne peut pas traiter ces images comme de simples ressources médias sans risque au seul motif qu’elles ne montrent ni nom ni adresse e-mail.

La COPPA est la plus forte lorsque l’opérateur collecte des informations personnelles auprès d’enfants de moins de 13 ans par l’intermédiaire d’un service en ligne. Elle est moins complète en tant que règle générale de publication applicable à tous les médias liés à l’école. Un fournisseur K-12 peut aussi agir sur la base du consentement de l’établissement dans certains contextes éducatifs limités, mais cela ne couvre pas automatiquement le marketing, les relations publiques, les études de cas publiques, les publications sur les réseaux sociaux ou la réutilisation promotionnelle à grande échelle [2]. Ces scénarios nécessitent une analyse séparée.

Pourquoi les lois des États sur la confidentialité des données des élèves vont au-delà de la COPPA

Les lois des États sur la confidentialité des données des élèves visent généralement les opérateurs, prestataires de services et fournisseurs qui traitent des informations d’élèves à des fins scolaires. Elles limitent souvent la publicité ciblée, le profilage, la vente d’informations relatives aux élèves, la divulgation non autorisée et la conservation des données. Nombre d’entre elles ont été rédigées pour les services en ligne, les plateformes d’apprentissage, les systèmes cloud et les outils numériques, mais leurs définitions peuvent aussi englober des données visuelles liées à des élèves.

La loi californienne SOPIPA est l’exemple le plus connu. Elle encadre les opérateurs de sites web, services en ligne, applications en ligne ou applications mobiles utilisés principalement à des fins scolaires K-12, et conçus et commercialisés pour ces finalités K-12. Elle limite la publicité ciblée, la création de certains profils d’élèves, la vente d’informations couvertes et la divulgation non autorisée [3]. L’image d’un élève peut entrer dans le champ d’application lorsqu’elle est fournie via le service, liée à un compte élève, associée à une activité en classe ou autrement connectée à des informations d’élève.

D’autres États suivent une logique réglementaire similaire, sans reprendre exactement les mêmes termes. La loi SOPPA de l’Illinois est particulièrement pertinente, car les contenus générés par les élèves peuvent inclure expressément des photographies et des fichiers audio, tandis que les informations biométriques peuvent inclure les empreintes vocales et les caractéristiques faciales [4]. La New York Education Law 2-d et ses règles d’application portent sur les informations permettant d’identifier une personne, les données des élèves, les contrats, la sécurité et les droits des parents [5]. Les lois du Colorado et du Connecticut encadrent également les informations permettant d’identifier personnellement un élève et les responsabilités des opérateurs [6], [7]. Le Texas dispose d’un cadre de protection des informations des élèves comprenant des restrictions sur les informations couvertes, la publicité ciblée, le profilage, la vente et la divulgation [8].

La conséquence pour les opérateurs actifs dans plusieurs États est simple, mais exigeante : une photo ou une vidéo considérée comme peu risquée au regard du libellé d’un État peut néanmoins être traitée comme une information d’élève réglementée dans un autre État, en raison d’une définition plus large ou d’exigences contractuelles plus strictes.

Comparaison des États américains pour les images d’élèves dans les photos et vidéos

Le floutage des visages comme référence pour l’État applicable le plus strict

Le floutage des visages n’est pas une protection magique. Un floutage de mauvaise qualité, une voix toujours présente, des maillots portant des noms, des écrans visibles, des tatouages, des badges ou des indices contextuels peuvent encore permettre d’identifier un élève. Toutefois, dans les flux de publication, le fait de masquer les visages avant une publication externe constitue une base défendable lorsqu’une entreprise, un district scolaire, une agence ou un fournisseur n’a pas besoin de l’identité de l’enfant pour raconter l’information.

La même logique s’applique au floutage des plaques d’immatriculation dans les vidéos liées à l’environnement scolaire. Les plaques ne sont pas nécessairement au cœur des lois sur la confidentialité des données des élèves, mais celles visibles dans les files de dépose, les parkings, les bus ou les rues résidentielles peuvent identifier des familles, des membres du personnel ou des élèves par contexte. Pour des médias destinés au public, la question opérationnelle est de savoir si la plaque est nécessaire. En général, elle ne l’est pas.

Les organisations documentent souvent des justifications de publication limitées avant de décider de ne pas flouter une personne :

1. la personne est une personnalité publique ;
2. l’image de la personne fait partie d’une scène plus large, notamment d’un événement ouvert aux familles ou au public, comme un concert, une compétition sportive ou une cérémonie ;
3. la personne, ou pour un mineur le parent ou le tuteur, a donné une autorisation ou une cession valable pour l’utilisation de l’image.

Pour les enfants et les élèves, chaque justification reste dépendante du contexte et ne doit pas être traitée comme un raccourci permettant de contourner la COPPA, les lois des États sur la confidentialité des données des élèves, la politique de l’établissement ou les attentes des parents.

Ce que l’anonymisation des données visuelles doit promettre, et ce qu’elle ne doit pas promettre

Un flux de masquage efficace distingue la détection automatique de la vérification humaine. Gallio PRO prend en charge l’anonymisation des données visuelles dans les photos et les vidéos en détectant et en floutant automatiquement les visages et les plaques d’immatriculation. Il est conçu pour des fichiers, et non pour l’anonymisation en temps réel ni pour l’anonymisation de flux vidéo.

Cette limite est importante. La détection automatique couvre uniquement les visages et les plaques d’immatriculation. Elle ne détecte pas automatiquement les logos, tatouages, badges nominatifs, documents, affiches de classe, tableaux blancs ou contenus visibles sur des écrans. Ces éléments peuvent encore identifier un élève ou révéler un contexte scolaire. Ils doivent être vérifiés manuellement lorsque cela est pertinent.

L’édition manuelle fait donc partie du dispositif de contrôle, et ne doit pas être une réflexion après coup. Un relecteur peut utiliser l’éditeur intégré pour flouter d’autres éléments visibles que le processus automatique n’est pas conçu pour détecter. Les équipes qui doivent anonymiser des événements scolaires enregistrés, des images de couloirs, des entretiens avec des élèves ou des vidéos de campus peuvent examiner un flux pratique d’anonymisation vidéo avant de choisir un modèle de déploiement.

Pour les cas d’usage K-12 sensibles, un logiciel sur site peut également être important. Un logiciel sur site signifie que l’outil de masquage fonctionne dans l’infrastructure propre de l’organisation, plutôt que d’envoyer par défaut les fichiers médias vers un service cloud externe. Ce modèle peut aider les équipes confidentialité, informatique et achats à réduire les points de transfert et à s’aligner sur des exigences plus strictes en matière de risque fournisseur. Gallio PRO ne stocke pas de journaux contenant des données de détection ou des données personnelles.

Un flux de travail pratique pour les opérateurs EdTech et K-12 multi-États

1. Premièrement, identifiez la finalité de publication. Une archive de classe, un portail parents, une newsletter de district, un site web public, une étude de cas fournisseur et une campagne payante sur les réseaux sociaux n’entraînent pas le même niveau de risque.
2. Deuxièmement, classez le contenu visuel. Vérifiez si des visages, des voix, des plaques d’immatriculation, des uniformes scolaires, des badges nominatifs, des écrans, des affiches, des indices de localisation ou des caractéristiques uniques d’élèves sont visibles.
3. Troisièmement, cartographiez les États concernés. Un fournisseur qui dessert la Californie, l’Illinois, New York, le Colorado, le Connecticut et le Texas ne devrait pas appliquer uniquement la règle la plus étroite. La référence opérationnelle doit refléter l’État applicable le plus strict et les clauses contractuelles conclues avec les districts scolaires.
4. Quatrièmement, appliquez le floutage des visages et le floutage des plaques d’immatriculation avant publication, sauf si l’image identifiable est nécessaire et dûment autorisée. Lorsque l’image sert uniquement à montrer une salle de classe, un événement, une interface produit, un établissement scolaire ou une activité, les visages identifiables apportent rarement une valeur ajoutée.
5. Cinquièmement, effectuez une vérification manuelle des éléments hors détection automatique. Les logos, tatouages, badges nominatifs, documents et contenus affichés à l’écran nécessitent une attention humaine, car ils ne sont pas détectés automatiquement.
6. Sixièmement, conservez un registre décisionnel simple. Ce registre doit indiquer ce qui a été publié, ce qui a été flouté, qui a approuvé la publication et pourquoi une image visible d’élève est restée non masquée.

Les équipes qui souhaitent évaluer ce flux de travail basé sur des fichiers peuvent télécharger la version de démonstration et la tester sur des photos et vidéos représentatives avant un usage en production.

Quand une consultation individuelle est généralement nécessaire

Une analyse individuelle est souvent nécessaire lorsqu’un fournisseur publie des témoignages de clients scolaires, lorsqu’un district diffuse des vidéos provenant de caméras de sécurité, lorsqu’une agence d’État publie des images de programmes jeunesse ou lorsqu’une entreprise souhaite une configuration sur site pour des médias sensibles. Dans ces cas, les équipes juridiques spécialisées en confidentialité, achats, sécurité informatique et communication doivent s’accorder sur une même norme de publication avant le lancement.

Pour un déploiement en entreprise, une configuration sur site ou un cas précis de conformité multi-États, les organisations peuvent contacter l’équipe afin de discuter de la mise en place opérationnelle.

Point clé pour publier des images d’enfants aux États-Unis

La COPPA traite expressément les photos et vidéos contenant l’image ou la voix d’un enfant comme des informations personnelles lorsqu’elles sont collectées par des services en ligne couverts. Les lois des États sur la confidentialité des données des élèves ajoutent ensuite une couche supplémentaire, en particulier pour les opérateurs et fournisseurs K-12. La SOPIPA californienne, la SOPPA de l’Illinois, la New York Education Law 2-d, ainsi que les lois du Colorado, du Connecticut et du Texas n’emploient pas des formulations identiques, mais elles vont dans le même sens : les médias visuels liés à des élèves ne doivent pas être réutilisés, divulgués, profilés, vendus ou publiés à la légère.

Pour les opérateurs multi-États, l’habitude opérationnelle la plus sûre n’est pas de se demander si une loi contient littéralement le mot « photo » dans chaque clause. La meilleure pratique consiste plutôt à déterminer si l’image permet d’identifier un élève, si la finalité de publication exige cette identification et si le masquage peut atteindre le même objectif de communication avec un risque moindre pour la vie privée.

FAQ : COPPA, lois des États sur la confidentialité des données des élèves et images d’enfants

La COPPA s’applique-t-elle à toutes les photos scolaires ?

Non. La COPPA s’applique aux services en ligne couverts destinés aux enfants de moins de 13 ans ou aux services qui ont effectivement connaissance du fait qu’ils collectent des informations personnelles auprès d’enfants de moins de 13 ans. Une photo scolaire peut toutefois être régie par une loi d’État sur la confidentialité des données des élèves, une politique scolaire, des clauses contractuelles ou d’autres règles, même lorsque la COPPA n’est pas le sujet central.

Les visages d’enfants sont-ils des informations personnelles au sens de la COPPA ?

Oui, lorsque la COPPA Rule s’applique. Cette règle inclut dans la définition des informations personnelles une photographie, une vidéo ou un fichier audio contenant l’image ou la voix d’un enfant [1].

Le floutage du visage rend-il une photo d’élève totalement anonyme ?

Pas toujours. Le floutage des visages réduit l’identifiabilité, mais d’autres indices visuels peuvent subsister. Des maillots, badges nominatifs, tatouages, écrans de classe, bannières scolaires, indices de localisation ou la voix peuvent encore permettre d’identifier un élève. Le résultat dépend du contexte.

Les lois des États sur la confidentialité des données des élèves mentionnent-elles expressément les photos ?

Certaines le font, tandis que d’autres utilisent des notions plus larges. La SOPPA de l’Illinois mentionne expressément les photographies comme un type de contenu généré par les élèves et couvre également certains fichiers audio [4]. D’autres lois d’État peuvent inclure les images lorsqu’elles sont liées à des données d’élève, à des comptes d’élève, à des services scolaires ou à des dossiers éducatifs.

Faut-il flouter les plaques d’immatriculation dans les vidéos scolaires ?

Souvent, oui, en tant que bonne pratique opérationnelle. Les plaques d’immatriculation visibles dans les parkings scolaires, les files de dépose, les sorties scolaires ou des images de quartier peuvent identifier des familles ou des élèves par contexte. Si la plaque n’est pas nécessaire à la finalité de publication, le floutage est généralement une mesure simple de réduction du risque.

Un logiciel automatique peut-il flouter tout ce qui pourrait identifier un élève ?

Non. Dans Gallio PRO, la détection automatique couvre uniquement les visages et les plaques d’immatriculation. Les logos, tatouages, badges nominatifs, documents, affiches et contenus affichés à l’écran nécessitent une vérification manuelle et, si nécessaire, un floutage manuel.