Auto-diagnostic : votre organisme est-il en règle sur les données personnelles ?

Comment ce résultat est obtenu

Chaque question du diagnostic renvoie à une preuve matérielle. Si vous hésitez sur une réponse, c’est en général que la preuve n’existe pas encore sous une forme opposable.

Les questions couvrent les obligations les plus structurantes du règlement européen appliquées à l’activité d’un organisme de formation : documentation des traitements, limitation des durées, information des personnes, encadrement des sous-traitants, sécurité et gestion des droits.

Les questions les plus lourdement pondérées portent sur le registre, les durées de conservation, l’information des personnes et le traitement des données de santé. Ce sont celles dont l’absence est la plus visible et la plus difficile à rattraper.

La question sur les besoins d’adaptation comporte une réponse intermédiaire volontairement valorisée : ne rien collecter du tout vaut mieux que collecter un statut de reconnaissance, même si la meilleure pratique reste d’interroger sur le besoin d’aménagement.

Les données qu’un organisme de formation traite réellement

L’inventaire est plus large qu’on ne l’imagine, et c’est en le posant qu’on découvre les traitements non documentés.

Aux données évidentes — identité, coordonnées, employeur, formation suivie, présence, résultats — s’ajoutent des catégories moins visibles : les échanges de prospection, les candidatures spontanées de formateurs, les données de connexion sur une plateforme de formation à distance, les enregistrements de classes virtuelles, et les informations relatives à des besoins d’adaptation.

Cette dernière catégorie appelle une vigilance particulière : elle peut révéler un état de santé, qui relève des données sensibles. La règle pratique est simple — on interroge sur le besoin d’aménagement, jamais sur la cause, et on ne conserve que la solution retenue.

Le registre, point de départ de tout le reste

Le registre des traitements est souvent perçu comme une formalité administrative. Il est en réalité l’outil qui rend le reste possible : on ne peut définir des durées de conservation, informer correctement les personnes ni encadrer des prestataires sans avoir d’abord listé ce que l’on traite.

Pour un organisme de formation, il tient en quelques pages et se construit par finalité : gestion des inscriptions et des sessions, facturation, suivi qualité, prospection, recrutement, gestion du personnel. Pour chacune : quelles données, sur qui, pour combien de temps, qui y accède, quelles mesures de sécurité.

L’exercice met presque toujours au jour deux ou trois traitements oubliés — un fichier de prospection ancien, des enregistrements de classes virtuelles conservés sans limite, une boîte partagée contenant des pièces d’identité. C’est précisément son intérêt.

Durées de conservation : sortir du « temps nécessaire »

La formule « conservées pendant la durée nécessaire » n’est pas une durée. Elle est fréquente parce qu’elle évite de trancher, et elle ne résiste à aucune vérification.

Le raisonnement utile distingue trois horizons. Les données nécessaires à l’exécution du contrat se conservent pendant la relation. Les pièces justificatives de la réalisation des actions se conservent le temps de pouvoir répondre à un contrôle, ce qui impose une durée pluriannuelle. Les données de prospection se conservent le temps de la relation commerciale, avec une purge des contacts inactifs.

Une fois ces durées écrites, elles doivent être appliquées. Un organisme qui définit une purge et ne la réalise jamais se trouve dans une situation plus difficile que celui qui n’a rien écrit, car il a documenté son propre manquement.

• Dossiers de session : durée permettant de répondre à un contrôle portant sur la période.
• Comptabilité et facturation : durée légale de conservation des pièces comptables.
• Prospection : durée de la relation commerciale, avec purge des contacts inactifs.
• Candidatures non retenues : durée courte, avec information du candidat.
• Données de connexion : durée limitée à la finalité de preuve d’assiduité.

Mettre son organisme en règle en sept étapes

Voici le déroulé opérationnel, dans l’ordre. Chaque étape est autonome : vous pouvez vous arrêter et reprendre sans perdre le travail fait.

1. Listez vos traitements par finalitéInscriptions, facturation, qualité, prospection, recrutement, personnel.
2. Constituez le registrePour chaque finalité : données, personnes, destinataires, durée, sécurité.
3. Définissez les durées de conservationPar catégorie, en distinguant contrat, preuve, comptabilité et prospection.
4. Ajoutez les mentions d’informationSur les formulaires d’inscription et de positionnement, au moment de la collecte.
5. Encadrez vos prestatairesContrat précisant les obligations, la sécurité et le sort des données en fin de relation.
6. Restreignez les accèsPar rôle, et supprimez les comptes des personnes parties.
7. Écrivez la conduite à tenir en cas d’incidentConstat, évaluation du risque, notification, information des personnes.

Les erreurs qui coûtent le plus cher

Chacune de ces erreurs coûte au minimum un aller-retour, au pire le financement. Elles se repèrent toutes en relecture.

• Écrire « durée nécessaire » — Ce n’est pas une durée. Elle doit être chiffrée par catégorie de données.
• Demander un statut de reconnaissance de handicap — Le besoin d’aménagement suffit, et le statut relève de données sensibles.
• Copier une politique de confidentialité générique — Elle doit décrire vos traitements réels, sinon elle vous engage sur ce que vous ne faites pas.
• Laisser les accès ouverts à toute l’équipe — La restriction par rôle est une mesure simple et systématiquement vérifiée.
• Définir une purge sans jamais la réaliser — Documenter une règle non appliquée est plus défavorable que de ne rien écrire.
• Oublier les données de connexion du distanciel — Elles constituent un traitement à part entière, avec sa finalité et sa durée.

Textes et références

Pour aller à la source plutôt qu’au commentaire, voici les textes applicables. Ils priment évidemment sur toute interprétation, y compris celle de cette page.