RGPD et données des apprenants : La checklist pour les organismes de formation

Un organisme de formation manipule chaque jour des données personnelles : identité et coordonnées des stagiaires, informations sur leur employeur ou leur financeur, résultats d’évaluations, signatures, parfois des informations liées à un handicap ou à un besoin d’aménagement. Ces données sont indispensables pour former, facturer et prouver la réalisation d’une action. Elles sont aussi soumises au règlement général sur la protection des données (RGPD).

Beaucoup d’organismes pensent être en règle parce qu’ils utilisent « un logiciel conforme ». C’est une idée répandue, mais incomplète : la conformité est d’abord un processus interne, que le logiciel peut faciliter sans le remplacer. Cet article propose une checklist en 12 points, des repères sur les rôles de chacun, un tableau des données courantes et des exemples de bonnes pratiques. Nous expliquons aussi ce que VisioFormation met en place de son côté, en tant que logiciel de gestion pour organisme de formation.

Cet article est informatif : il ne constitue pas un conseil juridique. Pour votre situation précise, appuyez-vous sur les ressources de la CNIL et, si besoin, sur un professionnel.

Pourquoi le RGPD concerne tous les organismes de formation

Le RGPD s’applique dès lors qu’un organisme traite des données de personnes physiques, quelle que soit sa taille. Un formateur indépendant qui gère une liste de stagiaires est concerné, comme un centre de formation de plusieurs dizaines de salariés.

Les traitements les plus courants sont :

• la gestion des inscriptions et des présences ;

• la facturation et le suivi des financements ;

• la communication et la prospection ;

• l’évaluation des formations et les questionnaires de satisfaction ;

• le suivi pédagogique, y compris sur une plateforme e-learning.

Le manquement peut être sanctionné par la CNIL. Le règlement prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de la sanction, c’est aussi une question de confiance vis-à-vis des stagiaires et des entreprises clientes.

Qui est responsable de quoi : responsable de traitement et sous-traitant

L’organisme de formation est le responsable de traitement : il décide pourquoi et comment les données sont collectées. Le logiciel de gestion est un sous-traitant : il traite les données pour le compte de l’organisme, selon ses instructions. C’est la répartition présentée dans la page conformité RGPD de VisioFormation.

Concrètement, cela signifie que :

• c’est à vous de définir les finalités, la durée de conservation et les informations données aux stagiaires ;

• c’est à votre prestataire de garantir la sécurité de l’hébergement et de vous aider à répondre aux demandes ;

• un contrat de sous-traitance doit encadrer cette relation.

Les données que vous traitez : tableau de vigilance

Donnée	Usage courant	Point de vigilance
Nom, prénom, coordonnées	Inscription, convocation	Ne demander que ce qui est utile
Employeur, poste, financeur	Convention, facturation	Partager seulement avec les destinataires concernés
Signatures et présences	Émargement, preuve de réalisation	Définir la durée de conservation
Résultats d’évaluation	Suivi pédagogique, certification	Limiter l’accès aux personnes habilitées
Informations de santé ou de handicap	Aménagements pédagogiques	Donnée sensible : ne collecter que le strict nécessaire
Enregistrements de classe virtuelle	Replay, preuve	Informer à l’avance, fixer une durée de conservation
Données de prospects	Prospection commerciale	Informer et respecter le droit d’opposition

La checklist RGPD en 12 points

1. Cartographier vos traitements : listez où se trouvent les données des stagiaires (logiciel, messagerie, fichiers, papier).

2. Définir les finalités : pour chaque traitement, précisez à quoi servent les données (inscription, facturation, évaluation, prospection).

3. Appliquer la minimisation : ne collectez que les informations nécessaires. Un champ « au cas où » est une donnée en trop.

4. Informer les personnes : donnez aux stagiaires une information claire sur la collecte, l’usage et la conservation de leurs données, par exemple dans la convention ou le formulaire d’inscription.

5. Tenir un registre : selon la CNIL, toute organisation traitant des données doit en principe tenir un registre des activités de traitement. L’exception prévue pour les structures de moins de 250 salariés est étroite : en cas de doute, mieux vaut documenter.

6. Fixer des durées de conservation : définissez combien de temps vous gardez chaque catégorie de données, puis supprimez ou archivez. La CNIL propose un guide sur les durées de conservation.

7. Sécuriser l’accès : mots de passe, droits par profil, désactivation des comptes inutilisés, pas de fichiers sensibles échangés par email.

8. Encadrer vos sous-traitants : vérifiez la localisation de l’hébergement, les mesures de sécurité et l’existence d’un contrat de sous-traitance.

9. Prévoir l’exercice des droits : accès, rectification, effacement, opposition. Les droits des personnes doivent pouvoir être exercés, et la réponse est attendue dans un délai d’un mois.

10. Préparer la gestion des violations : documentez toute violation et, lorsqu’elle présente un risque, notifiez la CNIL dans un délai maximal de 72 heures.

11. Désigner un référent : un délégué à la protection des données (DPO) n’est obligatoire que dans certains cas, mais une personne doit être identifiée pour piloter le sujet.

12. Sensibiliser l’équipe : formateurs, administratifs et commerciaux doivent connaître les règles de base (partage de fichiers, enregistrements, prospection).

Le piège des fichiers dispersés

L’un des risques les plus fréquents n’est pas technique : ce sont les copies. Un fichier de stagiaires envoyé par email, une liste enregistrée sur un poste personnel, un export oublié dans un dossier partagé. Chaque copie est une donnée de plus à protéger, à mettre à jour et à supprimer.

C’est un argument concret pour centraliser les données dans un nombre limité d’outils. Notre article Excel ou logiciel de gestion de formation détaille les limites d’un fonctionnement par tableurs, notamment sur la maîtrise des accès et des versions. Pour un panorama plus large, vous pouvez aussi consulter notre article sur la digitalisation d’un organisme de formation.

Données sensibles, classe virtuelle et IA : trois zones d’attention

Les données sensibles. Une information sur un handicap ou un état de santé, collectée pour adapter une formation, relève d’une catégorie particulière. Ne la recueillez que si elle est nécessaire, limitez l’accès à quelques personnes et évitez de la stocker dans des fichiers non protégés.

Les classes virtuelles. Une séance enregistrée contient la voix et l’image des participants. Informez-les avant l’enregistrement, précisez à quoi il servira et combien de temps il sera conservé. Notre article sur la formation à distance et la classe virtuelle traite la question des preuves de présence.

L’intelligence artificielle. Si vous utilisez des fonctions d’IA (génération de programmes, assistant), demandez comment les données sont traitées, si elles servent à entraîner des modèles et si vous pouvez ne pas les utiliser.

Ce que VisioFormation met en place de son côté

Selon la page conformité RGPD du site, VisioFormation agit en tant que sous-traitant de ses clients, et indique notamment :

• Hébergement en Europe : serveurs situés en Allemagne, dans un datacenter certifié ISO 27001.

• Sécurité : échanges chiffrés par SSL, accès par identifiant et mot de passe, données chiffrées sur les disques, sauvegardes.

• Un délégué à la protection des données désigné, joignable via une adresse dédiée indiquée sur cette page.

• Des données limitées : la seule donnée requise pour un stagiaire est le nom de famille (et l’email si vous créez un compte apprenant). Les autres informations sont à saisir seulement si elles sont nécessaires.

• Des fonctions d’export et de suppression pour répondre aux demandes de vos stagiaires.

• Une IA encadrée : les fonctions d’IA reposent sur l’API d’un prestataire, avec un accord de sous-traitance et des clauses contractuelles types. La page précise que les données ne servent pas à entraîner des modèles et que vous pouvez choisir de ne pas utiliser ces fonctions.

Ces éléments facilitent votre conformité, sans vous en décharger : vous restez responsable de vos finalités, de vos durées de conservation et de l’information des personnes. Les modalités exactes sont à vérifier dans la politique de confidentialité et dans les conditions d’utilisation.

Pour les organismes qui migrent depuis un autre outil, le transfert de données accompagné se fait avec notre équipe, ce qui limite les fichiers intermédiaires qui circulent.

Exemple illustratif : mettre de l’ordre en une demi-journée

Cet exemple est fictif.

Un petit organisme décide de faire le point. Il liste ses outils (messagerie, tableurs, logiciel de gestion), note les données stockées dans chacun, supprime les fichiers en double et définit trois durées de conservation : prospects, stagiaires en cours, dossiers archivés. Il met à jour sa convention avec une mention d’information, désigne un référent et rédige une courte procédure en cas de demande d’un stagiaire. Le tout tient sur quelques pages, mais l’organisme peut désormais répondre à une question de client ou à un contrôle.

FAQ

Un organisme de formation doit-il avoir un DPO ?

Pas systématiquement. La désignation est obligatoire dans certains cas (par exemple pour des traitements à grande échelle ou de données sensibles). Même sans obligation, il est utile de nommer un référent.

Le registre des traitements est-il obligatoire ?

Selon la CNIL, toute organisation traitant des données doit en principe en tenir un. L’exception pour les structures de moins de 250 salariés est limitée, et la CNIL recommande de documenter en cas de doute.

Combien de temps conserver les données des stagiaires ?

Il n’existe pas de durée unique : elle dépend de la finalité et des obligations légales ou contractuelles. L’important est de la fixer, de la documenter et de supprimer ou archiver ensuite.

Que faire si un stagiaire demande la suppression de ses données ?

Vérifier la demande, identifier la personne, puis répondre dans le délai d’un mois. Certaines données peuvent devoir être conservées pour des raisons légales ou de preuve.

Quel délai pour signaler une violation de données ?

Lorsque la violation présente un risque pour les personnes, la notification à la CNIL doit intervenir au plus tôt, dans un délai maximal de 72 heures.

Un logiciel « conforme RGPD » suffit-il ?

Non. Il aide, mais la conformité repose aussi sur vos pratiques : finalités, durées, information, accès, droits.

Où trouver plus d’informations ?

Sur le site de la CNIL, et dans notre page dédiée à la conformité RGPD.

La conformité RGPD d’un organisme de formation n’est pas un chantier réservé aux grandes structures. Elle repose sur quelques réflexes : savoir où sont les données, n’en collecter que le nécessaire, informer, fixer des durées, sécuriser les accès et être capable de répondre aux demandes. Un outil centralisé et bien hébergé facilite chacun de ces points.

VisioFormation a été conçu pour réunir la gestion des stagiaires, des documents et du suivi dans un seul environnement, avec un hébergement européen et des outils d’export et de suppression. Pour voir comment cela fonctionne dans votre activité, demandez une démonstration ou essayez l’outil.

☞ Demander une démo gratuite pour découvrir VisioFormation

☞ Essayer gratuitement