RGPD pour un organisme de formation : données apprenants

Un organisme de formation manipule, par nature, beaucoup de données personnelles : identités, parcours, résultats d'évaluation, parfois des informations sensibles. Le RGPD s'applique pleinement, et un contrôle Qualiopi ou une réclamation peut vite mettre le sujet sur la table. Tour d'horizon concret de ce qu'un OF doit avoir en tête.

Quelles données un OF traite-t-il vraiment ?

Bien plus qu'on ne le pense. Au fil d'un parcours, vous collectez :

• des données d'identité et de contact (nom, e-mail, téléphone, employeur) ;
• des données administratives (statut, financeur, numéro de dossier CPF, parfois le NIR pour certaines démarches) ;
• des données pédagogiques (résultats, émargements, évaluations, appréciations) ;
• parfois des données sensibles — notamment quand vous adaptez une formation à une situation de handicap, ce qui touche à la santé.

Cette dernière catégorie mérite une vigilance particulière : les données de santé bénéficient d'une protection renforcée et ne doivent être collectées que dans la stricte mesure du nécessaire.

Sur quelle base légale s'appuyer ?

Le RGPD impose de justifier pourquoi vous traitez chaque donnée. Pour un OF, on retrouve surtout trois fondements :

• L'exécution du contrat : gérer l'inscription, dispenser la formation, délivrer l'attestation.
• L'obligation légale : conserver les pièces justificatives pour le BPF, les financeurs ou un contrôle administratif.
• Le consentement : pour ce qui sort du cadre, typiquement la prospection commerciale ou l'envoi de votre newsletter.

Le piège classique : réutiliser pour du marketing des coordonnées collectées pour gérer une formation. Ce sont deux finalités distinctes — la seconde suppose un consentement explicite.

Combien de temps conserver les données ?

La règle est de ne pas garder les données « au cas où », mais le temps justifié par la finalité. En pratique, un OF jongle entre la durée de la relation (active tant que l'apprenant est suivi) et les durées d'archivage légales imposées par les obligations comptables et de justification des financements. Au-delà, les données doivent être supprimées ou anonymisées.

Les droits des apprenants (et vos obligations)

Vos apprenants peuvent demander à accéder à leurs données, à les rectifier, à les effacer (dans les limites de vos obligations de conservation) ou à les récupérer. Vous devez :

• les informer dès la collecte, clairement, de l'usage fait de leurs données (mention RGPD sur vos formulaires) ;
• pouvoir répondre à une demande d'exercice de droits dans les délais prévus ;
• tenir un registre des traitements, même pour une petite structure — c'est une obligation, pas une option.

Le point qu'on oublie le plus : les sous-traitants

Votre LMS, votre logiciel de gestion, votre outil d'emailing, votre hébergeur : dès qu'un prestataire traite des données pour votre compte, c'est un sous-traitant au sens du RGPD. Vous devez :

• encadrer la relation par un contrat (ou des clauses) de sous-traitance conformes ;
• vérifier où sont hébergées les données — un hébergement dans l'Union européenne simplifie nettement la conformité ;
• vous assurer que le prestataire offre des garanties de sécurité suffisantes.

Autrement dit : choisir un SaaS, ce n'est pas déléguer sa responsabilité. En cas de fuite, vous restez responsable du traitement vis-à-vis de vos apprenants.

Sécurité : le minimum vital

Pas besoin d'être expert pour poser les bases : des accès nominatifs (pas de mot de passe partagé entre formateurs), des droits adaptés au rôle de chacun, des sauvegardes, et une attention aux exports sauvages dans des fichiers Excel qui traînent. C'est souvent là, dans les fichiers parallèles, que le risque se loge — bien plus que dans le logiciel métier lui-même.

Là où l'outil aide

Un logiciel bien conçu fait une partie du travail de conformité à votre place : centralisation des données (fini les copies éparpillées), gestion fine des droits d'accès, journalisation, et capacité à exporter ou supprimer les données d'un apprenant à la demande. La plupart des solutions du marché couvrent ces besoins ; quand votre fonctionnement impose des règles spécifiques (cloisonnement multi-clients, durées de conservation particulières), un développement sur-mesure permet de coller exactement à votre cadre.

En résumé

Le RGPD, pour un OF, n'est pas un sujet d'expert isolé : c'est une hygiène de gestion. Savoir quelles données vous traitez, pourquoi, combien de temps, avec quels prestataires, et être capable de répondre aux demandes des apprenants. Le faire proprement, c'est se protéger — et c'est aussi un signal de sérieux que vos clients comme vos auditeurs remarquent.