Tes stagiaires te confient leurs données. À toi de savoir quoi en faire. 🍑

Le RGPD en organisme de formation, tu le pratiques depuis ta première inscription. Tu ne le sais juste pas encore. Nom, mail, employeur, financeur, parfois un handicap : à chaque session, tu remplis un fichier de données personnelles. Alors je te propose de suivre une session dans l’ordre, de l’inscription à l’archivage. À chaque étape, tu vois donc ce que tu collectes, pourquoi, et combien de temps tu le gardes.

Avant la session : ce que tu collectes à l’inscription

Tout commence avec la fiche d’inscription et le recueil des besoins. Concrètement, tu as besoin de quoi pour former quelqu’un ? Son identité, ses coordonnées, son statut, son financeur, son niveau de départ et ce qu’il attend de la formation. Le reste, tu ne le demandes pas, tout simplement.

Le RGPD appelle ça la minimisation : une donnée que tu ne collectes pas, tu n’as pas à la protéger. Et pour le CPF, la règle est écrite noir sur blanc. Les conditions particulières de Mon Compte Formation t’interdisent de demander au titulaire son numéro de sécurité sociale ou ses identifiants de connexion.

Ce que tu dois dire au stagiaire au moment où tu collectes

Au moment de l’inscription, le stagiaire doit savoir ce que tu fais de ses données. La CNIL liste les informations à donner :

• qui tu es et comment te joindre ;
• pourquoi tu collectes (gérer la formation, répondre aux financeurs, à la certification qualité) ;
• la base légale du traitement ;
• ce qui est obligatoire et ce qui est facultatif ;
• qui reçoit les données (financeur, logiciel, prestataires) ;
• combien de temps tu les gardes ;
• ses droits, et la possibilité de saisir la CNIL.

Concrètement, trois lignes sur le formulaire et un lien vers ta politique de confidentialité font le travail. Ce qui compte, c’est que l’information soit donnée au moment de la collecte, pas six mois après.

Le handicap : une donnée de santé, donc un cas à part

Qualiopi te demande d’accueillir les personnes en situation de handicap et d’adapter ta formation. Sauf qu’une information sur un handicap, c’est une donnée de santé. Pour la CNIL, c’est donc une donnée sensible, interdite de collecte par principe. Il existe des exceptions, dont le consentement explicite de la personne, de préférence par écrit.

Résultat, trois réflexes à prendre. Tu demandes le besoin d’adaptation, pas le diagnostic. Tu recueilles l’accord écrit de la personne. Et tu gardes la trace de ce que tu as adapté, pas le certificat médical.

Pendant la session : émargements, photos et traces de connexion

Pendant la formation, tu produis des données sans même y penser. Et une partie d’entre elles sert de preuve que la formation a bien eu lieu.

Les feuilles d’émargement

L’émargement, c’est la preuve de présence que te demandent les financeurs et la DREETS. Tu ne peux pas t’en passer, donc pas besoin de consentement. Car tu en as besoin pour exécuter la formation et répondre à tes obligations. En revanche, il ne sert qu’à ça. Une signature collectée pour prouver la présence ne finit pas dans ton fichier de prospection.

Les photos et les enregistrements

La photo de groupe pour ton Instagram, c’est une autre histoire. La CNIL le rappelle : pour diffuser l’image d’une personne, il te faut son accord préalable. Concrètement, tu fais signer une autorisation séparée, facultative, qui précise où la photo sera publiée. Bien sûr, un stagiaire qui refuse ne perd rien de sa formation.

Même logique pour l’enregistrement d’une classe virtuelle. Avant d’appuyer sur le bouton, tu préviens, puis tu dis à quoi il sert et combien de temps tu le gardes.

Les traces de connexion en formation à distance

En formation à distance (FOAD), les relevés de connexion remplacent la feuille de présence. D’ailleurs, les conditions particulières de Mon Compte Formation les citent parmi les justificatifs exigibles : « les relevés de fréquentation pour les formations en ligne ». Ces traces sont des données personnelles, et ce sont aussi tes preuves. Du coup, tu les gardes, mais dans un espace à l’accès limité.

Après la session : combien de temps tu gardes quoi

C’est la question qu’on me pose le plus. Bon. La réponse qui fâche d’abord : aucun texte ne fixe une durée unique pour les données de tes stagiaires. Selon la CNIL, quand la loi ne fixe rien, c’est donc à toi de déterminer la durée selon la finalité.

Ta donnée vit en trois temps. D’abord en base active, tant que la formation est en cours. Ensuite en archivage intermédiaire, avec un accès restreint, tant qu’un contrôle ou un litige reste possible. Enfin, la suppression.

Les butées qui fixent tes durées

Pour fixer tes durées, tu t’appuies sur des butées réelles :

Document	Butée	D’où elle vient
Émargements, relevés de connexion, programme, évaluations d’une formation CPF	5 ans après la formation	Conditions particulières Mon Compte Formation, article 5.1.2
Factures et pièces comptables	10 ans	Code de commerce, rappelé par economie.gouv.fr
Contrats commerciaux	5 ans	economie.gouv.fr
Justificatifs d’une formation financée par un OPCO	de 3 à 6 ans selon l’OPCO, jusqu’à 10 ou 15 ans en cofinancement	les conditions générales de chaque OPCO
Photos diffusées	tant que l’accord court	l’autorisation signée

Côté OPCO, chacun fixe sa règle, et elles ne se ressemblent pas. Les conditions générales d’OPCO EP demandent 6 ans après la fin de l’action. OPCO Santé demande 6 ans après la fin de l’année du dernier paiement, et Atlas 3 ans. En cas de cofinancement européen, tout le monde monte à 10 ans, voire 15. Bref, tu ouvres les conditions générales de chaque OPCO avec qui tu travailles, et tu retiens la plus longue.

Côté DREETS, lors d’un contrôle, tu dois présenter les pièces qui justifient tes dépenses et tes actions (article L6362-5). Cependant, le Code du travail ne fixe pas de durée de conservation : ce sont les butées du tableau qui te guident.

Garder les fiches d’inscription de 2019 « au cas où », c’est se mettre une prune de côté. Une durée dépassée sans raison, c’est un manquement au RGPD. À la date prévue, tu supprimes.

Tes outils et tes prestataires sont des sous-traitants

Logiciel de gestion (type Digiforma), plateforme d’apprentissage en ligne (LMS), visio, stockage en ligne : chacun traite tes données pour ton compte. Au sens du RGPD, ce sont des sous-traitants. Et toi, tu restes responsable de traitement.

L’article 28 du RGPD impose un contrat entre vous. Pour les gros outils, il existe déjà. C’est l’accord de traitement des données (souvent appelé DPA), caché dans les conditions générales. Ainsi, ton travail, c’est de le retrouver, de le télécharger et de le ranger.

L’assistante externalisée aussi

Si une assistante gère tes inscriptions, tes conventions ou tes émargements, elle touche aux données de tes stagiaires. Elle est donc sous-traitante, et il vous faut le même contrat. J’ai été à ta place. Dans mon OF, je sous-traitais des bilans de compétences, donc c’est moi qui cadrais ce que le prestataire faisait des données.

Chez moi, tu n’as rien à réclamer. Le contrat de prestation Admin+ contient déjà l’annexe RGPD article 28, et tu peux lire mon accord de sous-traitance avant même de me contacter. Si tu hésites encore sur ce que tu peux confier, mon article sur externaliser la gestion administrative de ton organisme de formation fait le tri.

Le minimum RGPD en organisme de formation : trois documents

Pas besoin d’un cabinet d’avocats. Il te faut trois choses sous la main.

Un registre des traitements

Le registre concerne toutes les structures, quelle que soit leur taille. L’exemption pour les moins de 250 salariés ne couvre pas les traitements réguliers ni les données de santé. Or la gestion de tes stagiaires est tout sauf occasionnelle. Autrement dit, elle va dans le registre. Un tableau suffit : un traitement par ligne, avec sa finalité, les données, les destinataires et la durée.

Une politique de confidentialité

C’est la page vers laquelle renvoie ton formulaire d’inscription. Elle reprend les informations listées plus haut, en français lisible.

Une procédure pour les demandes

Un stagiaire peut te demander ce que tu détiens sur lui, ou de tout effacer. Tu as un mois pour répondre. Si la demande est complexe, tu peux prolonger de deux mois, à condition de le prévenir dans le premier mois. Note qui traite la demande, où chercher, et comment répondre. Le jour où elle arrive, tu n’improvises pas.

Pour situer le RGPD parmi le reste de tes obligations, j’ai fait le tour dans mon article sur les obligations légales d’un organisme de formation.

La check-list en 10 points

1. Ta fiche d’inscription ne demande que ce qui sert la formation.
2. Elle informe le stagiaire et renvoie vers ta politique de confidentialité.
3. Tu ne demandes jamais de numéro de sécurité sociale pour une inscription CPF.
4. Pour le handicap, tu demandes le besoin d’adaptation, avec un accord écrit.
5. Tes autorisations photo sont séparées et facultatives.
6. Tes émargements et relevés de connexion sont rangés à part, accès limité.
7. Chaque type de document a sa durée de conservation écrite.
8. Tu supprimes à la date prévue, sans attendre le grand ménage.
9. Tu as le contrat article 28 de chaque outil et de chaque prestataire.
10. Ton registre est à jour, et tu sais répondre à une demande en moins d’un mois.

Questions fréquentes sur le RGPD en formation

Un organisme de formation d’une seule personne doit-il tenir un registre RGPD ?

Oui. La CNIL précise que le registre concerne toutes les structures, quelle que soit leur taille. L’exemption pour les moins de 250 salariés ne vaut que pour des traitements occasionnels, sans risque et sans données sensibles. La gestion de tes stagiaires est régulière : elle va dans le registre.

Combien de temps garder les feuilles d’émargement ?

Aucun texte ne fixe une durée unique. Pour une formation CPF, la Caisse des dépôts peut réclamer tes justificatifs pendant 5 ans après la formation. Côté OPCO, c’est 3 à 6 ans selon l’organisme, plus en cas de cofinancement. Tu fixes ta durée sur la butée la plus longue qui s’applique.

Faut-il le consentement du stagiaire pour l’émargement ?

Non. L’émargement prouve la réalisation de la formation. Il découle donc de ton contrat et de tes obligations envers les financeurs. Tu dois en revanche informer le stagiaire de cet usage. Le consentement, garde-le pour ce qui est facultatif, comme les photos.

Un stagiaire peut-il exiger que tu effaces toutes ses données ?

Il peut le demander, et tu dois répondre sous un mois. En revanche, tu gardes ce qu’une obligation légale ou un contrôle exige, comme tes émargements ou tes factures. Tu effaces le reste, et tu lui expliques ce que tu conserves et pourquoi.

Faire le tri, une fois pour toutes

Le RGPD dans un petit OF tient en trois gestes : collecter juste, ranger à part, supprimer à date. Si tu veux qu’on mette ça en place ensemble, regarde comment je travaille avec Admin+, ou réserve un appel découverte gratuit de 30 minutes. Un pépin de moins 🍋