« Le RGPD, c'est pour les entreprises, pas pour les associations. » Cette idee recue est encore tres repandue dans le milieu associatif. Pourtant, le Reglement General sur la Protection des Donnees s'applique a toute structure qui collecte et traite des donnees personnelles — y compris les associations et les ecoles de mosquee. Et quand votre ecole gere les informations d'enfants mineurs, la responsabilite est encore plus grande.
Le RGPD s'applique aux associations
Le RGPD ne fait aucune distinction entre une entreprise et une association. Des lors que vous collectez des donnees personnelles — nom, prenom, telephone, adresse, date de naissance, informations medicales — vous etes soumis aux memes obligations. La taille de votre structure ne change rien : une association de 20 membres y est soumise au meme titre qu'une entreprise de 500 salaries.
Et dans le cas d'une ecole, les donnees collectees sont particulierement sensibles : informations sur des enfants mineurs, coordonnees des parents, parfois des informations de sante (allergies, handicaps). La responsabilite est donc d'autant plus importante.
Les donnees des mineurs : une protection renforcee
Le RGPD accorde une protection particuliere aux donnees des enfants de moins de 16 ans (15 ans en France). Concretement, cela signifie que :
- Le consentement pour la collecte des donnees d'un mineur doit etre donne par le titulaire de l'autorite parentale (le parent).
- Les informations sur l'utilisation des donnees doivent etre redigees dans un langage clair et comprehensible.
- Les donnees des enfants ne doivent pas etre conservees plus longtemps que necessaire.
- Les parents doivent pouvoir exercer leurs droits (acces, rectification, suppression) au nom de leur enfant.
Vos obligations concretes
1. Recenser les donnees collectees
La premiere etape est de savoir exactement quelles donnees vous collectez, pourquoi, et ou elles sont stockees. Faites un inventaire : formulaires d'inscription (papier ou numerique), fichiers Excel, cahiers d'appel, listes de contacts WhatsApp, documents photos. Cet inventaire est la base de votre registre de traitement, un document que la CNIL peut vous demander.
2. Limiter la collecte au necessaire
Ne collectez que les donnees dont vous avez reellement besoin. Pour inscrire un eleve, vous avez besoin de son nom, prenom, date de naissance et des coordonnees du parent. Avez-vous vraiment besoin de sa nationalite ? De sa photo ? De son numero de securite sociale ? Chaque donnee collectee est une donnee a proteger.
3. Informer les familles
Les parents doivent savoir quelles donnees vous collectez, pourquoi, combien de temps vous les conservez, et quels sont leurs droits. Cette information peut prendre la forme d'une politique de confidentialite affichee sur votre site web ou distribuee avec le dossier d'inscription.
4. Securiser les donnees
Les donnees doivent etre protegees contre les acces non autorises. En pratique, cela signifie :
- Ne pas laisser trainer des formulaires papier avec des informations personnelles.
- Proteger les fichiers Excel par mot de passe (mieux : ne plus utiliser Excel pour stocker des donnees personnelles).
- Utiliser des outils numeriques securises, avec chiffrement des donnees et authentification forte.
- Limiter l'acces aux donnees aux seules personnes qui en ont besoin (le directeur, pas tous les benevoles).
5. Respecter les droits des familles
Les parents ont le droit de demander l'acces aux donnees que vous detenez sur leur enfant, de les faire rectifier si elles sont inexactes, et de les faire supprimer lorsque l'enfant quitte l'ecole. Vous devez etre en mesure de repondre a ces demandes dans un delai raisonnable (un mois maximum).
Le danger des outils non securises
Beaucoup d'ecoles associatives stockent les donnees dans des fichiers non securises. Pour comprendre pourquoi il faut passer au numerique avec un outil adapte, et comment choisir le bon logiciel, consultez nos guides dedies. Les pratiques artisanales exposent l'association a des risques reels : fuite de donnees, plainte d'un parent, controle de la CNIL.
Utiliser un outil de gestion securise, heberge dans l'Union europeenne et conforme au RGPD, est la maniere la plus simple de se proteger. ElMajdSchool, par exemple, est heberge en Europe, chiffre les donnees, isole les donnees de chaque ecole (multi-tenant), et permet aux parents d'exercer leurs droits (export et suppression) directement depuis l'application.
Actions concretes a mettre en place
- Faites l'inventaire de toutes les donnees personnelles que vous collectez et ou elles sont stockees.
- Redigez une politique de confidentialite simple, en francais, accessible aux familles.
- Supprimez les donnees inutiles (anciens fichiers, formulaires papier d'annees precedentes).
- Securisez vos outils : mots de passe forts, acces restreints, outils conformes.
- Formez votre equipe aux bons reflexes : ne pas partager les donnees par WhatsApp, ne pas laisser trainer les formulaires papier, signaler tout incident.
Le RGPD peut sembler contraignant, mais il est la pour proteger les familles — et par extension, votre association. Une ecole qui respecte la vie privee des familles gagne leur confiance. C'est un investissement dans la credibilite et la perennite de votre projet educatif.