RGPD pour organisme de formation : obligations et bonnes pratiques

Tout organisme de formation traite des données personnelles : identité, coordonnées, parcours, évaluations, parfois des informations sensibles (handicap, financement individuel). Le RGPD impose des obligations précises souvent méconnues. Voici un guide pratique pour mettre votre organisme en conformité, sans transformer l'exercice en cauchemar administratif.

Pourquoi un organisme de formation est concerné par le RGPD

Le Règlement Général sur la Protection des Données (RGPD) s'applique à toute organisation qui traite des données personnelles, quelle que soit sa taille. Un organisme de formation, même unipersonnel, rentre dans ce champ dès qu'il :

• Recueille les coordonnées d'un·e prospect (formulaire, devis, échange courriel)
• Inscrit un·e stagiaire à une formation
• Gère des émargements, évaluations, attestations
• Conserve des CV ou justificatifs (financement, handicap)
• Utilise un outil tiers pour stocker ces informations (Excel, Dropbox, logiciel SaaS)

Les principes fondamentaux du RGPD à connaître

Avant les obligations concrètes, six principes structurent toute démarche RGPD :

1. Licéité, loyauté, transparence : vous devez avoir une base légale (consentement, contrat, obligation légale...) et informer les personnes concernées.
2. Limitation des finalités : les données ne peuvent être utilisées que pour les finalités annoncées au moment de la collecte.
3. Minimisation : ne collectez que ce qui est strictement nécessaire à la finalité.
4. Exactitude : les données doivent être mises à jour ou corrigées si elles sont erronées.
5. Limitation de la conservation : ne conservez les données que le temps nécessaire (en formation, généralement 3 à 5 ans après la fin du parcours).
6. Intégrité et confidentialité : protégez les données contre les accès non autorisés, les pertes ou les destructions.

Les données traitées par un organisme de formation

Les 7 obligations principales d'un organisme de formation

1. Tenir un registre des traitements

Obligatoire dès le 1er traitement, le registre liste toutes les opérations sur données personnelles : qui collecte, pour quelle finalité, quelles données, qui y accède, combien de temps elles sont conservées, quelles mesures de sécurité sont en place. La CNIL propose un modèle gratuit pour les TPE.

2. Informer les personnes concernées

Toute personne dont vous traitez des données doit être informée. Concrètement, vous devez disposer :

• D'une politique de confidentialité publiée sur votre site internet
• D'une mention RGPD dans vos formulaires (contact, inscription)
• D'une information claire dans vos conventions de formation
• D'une mention RGPD dans vos questionnaires de satisfaction

3. Recueillir le consentement quand c'est nécessaire

Pour les traitements basés sur le consentement (newsletter, captation vidéo, partage d'image), recueillez un accord explicite, libre et révocable. Une simple case pré-cochée ne suffit pas. Conservez la preuve de ce consentement.

4. Garantir les droits des personnes

Chaque personne dont vous traitez les données dispose de droits que vous devez pouvoir honorer rapidement (idéalement sous 1 mois) :

• Droit d'accès : la personne peut demander quelles données vous détenez sur elle
• Droit de rectification : correction d'une donnée erronée
• Droit à l'effacement : suppression (avec quelques exceptions, ex. obligations légales)
• Droit à la portabilité : récupérer ses données dans un format réutilisable
• Droit d'opposition : refuser certains traitements (marketing notamment)
• Droit à la limitation : geler un traitement contesté

5. Sécuriser les données

Vous devez prendre des mesures techniques et organisationnelles pour protéger les données. Concrètement :

• Mots de passe robustes et différents pour chaque outil
• Chiffrement des données sensibles (au repos et en transit)
• Sauvegardes régulières et testées
• Accès limité aux personnes habilitées
• Verrouillage automatique des ordinateurs portables
• Suppression sécurisée des supports en fin de vie

6. Encadrer les sous-traitants

Si vous utilisez un outil SaaS, un service de comptabilité externe ou faites appel à des formateur·rice·s sous-traitant·e·s qui accèdent aux données, vous devez signer avec chacun·e un contrat de sous-traitance RGPD (ou clause spécifique) précisant les obligations de chaque partie.

7. Notifier les violations de données

En cas de fuite, perte ou accès non autorisé à des données personnelles, vous avez l'obligation de notifier la CNIL sous 72 heures. Si la violation présente un risque élevé pour les personnes, vous devez aussi les informer directement.

Faut-il désigner un Délégué à la Protection des Données (DPO) ?

La désignation d'un DPO (Data Protection Officer) est obligatoire uniquement pour les organismes :

• Du secteur public
• Dont l'activité principale exige un suivi régulier et systématique des personnes à grande échelle
• Dont l'activité principale est le traitement à grande échelle de données sensibles

La plupart des organismes de formation indépendants ou de petite taille ne sont pas tenu·e·s de désigner un DPO. Mais la nomination volontaire d'un·e référent·e RGPD (interne ou externe) est une bonne pratique qui structure la démarche.

Combien de temps conserver les données ?

Les durées de conservation varient selon la nature des données et les obligations légales :

Les sanctions en cas de manquement

Les sanctions du RGPD sont graduées et peuvent être lourdes :

• Avertissement et mise en demeure de la CNIL (la plupart des cas)
• Amende administrative jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial
• Publication de la sanction sur le site de la CNIL (impact réputationnel)
• Action en réparation par les personnes concernées (préjudice)

Construire sa démarche RGPD en 6 étapes

1. Cartographier tous les traitements de données (registre)
2. Identifier les risques et hiérarchiser les actions
3. Rédiger les documents : politique de confidentialité, mentions formulaires, contrats sous-traitants
4. Sécuriser : mots de passe, chiffrement, sauvegardes, accès
5. Informer les équipes et les sensibiliser aux bonnes pratiques
6. Maintenir : actualiser le registre, traiter les demandes, faire évoluer la démarche

Comment CoForma vous aide sur le RGPD

CoForma intègre des fonctionnalités utiles pour respecter le RGPD :

• Hébergement en France, conforme au RGPD (HDS pour les données sensibles si nécessaire)
• Chiffrement des données au repos et en transit
• Authentification par magic link (sans mot de passe à risque)
• Journalisation des accès aux données stagiaires
• Suppression automatique des données après la durée légale paramétrée
• Export des données stagiaires (droit à la portabilité)
• Mentions RGPD pré-renseignées dans les conventions et formulaires

Pour découvrir l'ensemble du dispositif : testez la démo ou explorez les fonctionnalités complètes.

Pour aller plus loin

• Déclaration d'activité (NDA) et obligations administratives
• Sous-traitance : convention et obligations RGPD
• Convention de formation : mentions obligatoires
• Préparer son audit QUALIOPI (lien avec le RGPD)
• Site officiel de la CNIL pour aller plus loin