RGPD et organisme de formation : quelles obligations pour protéger les données de vos apprenants

Un organisme de formation traite, dès son premier stagiaire, des données personnelles sensibles : coordonnées, situation professionnelle, résultats d’évaluation, parfois des informations relatives au handicap ou à la santé. Le Règlement général sur la protection des données (RGPD) s’applique pleinement, indépendamment de la taille de la structure — et la CNIL a explicitement identifié les prestataires de formation comme un secteur à surveiller. Voici les obligations concrètes à mettre en place, sans jargon juridique inutile.

Pourquoi un organisme de formation est particulièrement concerné

Contrairement à une idée reçue, le RGPD ne vise pas que les grandes entreprises. Un organisme de formation, même auto-entrepreneur, traite des données personnelles dès qu’il collecte une fiche d’inscription, une feuille d’émargement ou un test de positionnement. Plusieurs caractéristiques de l’activité aggravent l’exposition :

• Le volume et la récurrence : chaque session génère de nouvelles données (identité, coordonnées, résultats), traitées de façon continue et non occasionnelle.
• La sensibilité potentielle : les échanges avec le référent handicap portent parfois sur des données de santé, une catégorie particulière au sens de l’article 9 du RGPD.
• La multiplicité des destinataires : financeurs (OPCO, France Travail), plateforme EDOF pour les formations éligibles au CPF, prestataires techniques (LMS, logiciel de gestion, emailing) reçoivent tout ou partie de ces données.

Le registre des traitements : le document de base

L’article 30 du RGPD impose à tout responsable de traitement de tenir un registre des traitements, qui recense pour chaque activité (gestion des inscriptions, émargement, satisfaction, prospection commerciale…) : la finalité poursuivie, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité associées.

L’exemption prévue pour les structures de moins de 250 salariés ne couvre que les traitements occasionnels, sans risque particulier et ne portant pas sur des données sensibles. Le suivi des apprenants étant une activité récurrente et structurante, elle n’entre quasiment jamais dans ce cas de figure : dans les faits, la quasi-totalité des organismes de formation — y compris les plus petits — doivent tenir un registre, même simplifié. La CNIL met à disposition un modèle gratuit pour s’en acquitter sans complexité excessive.

Faut-il désigner un délégué à la protection des données (DPO) ?

La désignation d’un DPO n’est obligatoire que dans des situations précises : suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles (santé, notamment). Un organisme de formation de taille modeste, sans activité de profilage massif, n’y est en général pas contraint.

Cela ne dispense pas d’organiser la conformité : désigner en interne un référent RGPD — souvent le dirigeant lui-même dans une petite structure — qui centralise le registre, les demandes de droits et le suivi des sous-traitants est une pratique recommandée, même sans obligation légale de nommer un DPO au sens strict.

Les droits des apprenants, à respecter dans les délais

Le RGPD accorde à chaque apprenant des droits opposables : accès à ses données, rectification, effacement, portabilité, opposition et limitation du traitement. L’organisme doit pouvoir répondre à toute demande dans un délai d’un mois, éventuellement prolongé de deux mois pour les demandes complexes, à condition d’en informer la personne.

En pratique, cela suppose de savoir où sont stockées les données (logiciel de gestion, boîte mail, plateforme LMS, tableur partagé) pour pouvoir les retrouver, les corriger ou les supprimer rapidement — un point souvent négligé quand les outils se sont empilés au fil du temps sans organisation centralisée.

Vos prestataires sont des sous-traitants au sens du RGPD

Dès qu’un organisme de formation confie des données à un prestataire externe — logiciel de gestion, plateforme LMS, outil d’emailing, hébergeur — ce prestataire devient un sous-traitant au sens de l’article 28 du RGPD. Un contrat écrit doit encadrer cette relation et préciser notamment :

Élément requis	Ce qu’il couvre
Objet et durée du traitement	Périmètre exact des opérations confiées au prestataire
Nature et finalité des données	Types de données traitées et objectif poursuivi
Obligations de sécurité	Mesures techniques et organisationnelles exigées du prestataire
Sous-traitance ultérieure	Autorisation préalable si le prestataire recourt lui-même à d’autres sous-traitants
Assistance sur les droits des personnes	Modalités d’aide du prestataire pour répondre aux demandes des apprenants
Sort des données en fin de contrat	Restitution ou suppression garantie à la résiliation

La plupart des éditeurs de logiciels sérieux (LMS, CRM formation) fournissent une clause RGPD ou un DPA (Data Processing Agreement) type. Vérifiez son existence avant de signer, plutôt que de le découvrir lors d’un contrôle.

Le cas particulier des données transmises via l’EDOF

Pour toute formation éligible au CPF, l’organisme transmet des données d’apprenants à la Caisse des Dépôts via la plateforme EDOF : identité, coordonnées, progression, évaluations. Cette transmission est encadrée par les conditions générales d’utilisation d’EDOF, mais elle ne dispense pas l’organisme de ses propres obligations vis-à-vis de l’apprenant — notamment l’information sur les destinataires de ses données, à intégrer dans la politique de confidentialité communiquée en amont de l’inscription. Voir notre article sur le référencement EDOF et le CPF pour le cadre général de cette relation.

Sécurité et notification des violations

Le RGPD impose de mettre en œuvre des mesures de sécurité proportionnées au risque : accès restreint aux données, mots de passe robustes, sauvegardes, chiffrement des échanges sensibles. En cas de violation (perte, vol, accès non autorisé) susceptible d’engendrer un risque pour les personnes concernées, l’organisme doit :

1. Notifier la CNIL dans les 72 heures suivant la découverte de l’incident, via le téléservice dédié.
2. Informer individuellement les apprenants concernés si le risque est élevé pour leurs droits et libertés.
3. Documenter l’incident dans un registre interne des violations, même lorsque la notification à la CNIL n’est pas requise.

Le lien avec la conformité Qualiopi

Le Référentiel National Qualité ne comporte pas d’indicateur dédié exclusivement au RGPD, mais l’indicateur 23 sur la veille légale et réglementaire couvre la connaissance et l’application des obligations qui s’imposent à l’organisme — RGPD inclus. Un auditeur peut légitimement interroger la manière dont vous assurez cette veille : qui la réalise, à quelle fréquence, et comment les évolutions réglementaires sont répercutées dans vos pratiques (mise à jour du registre, des contrats de sous-traitance, de la politique de confidentialité).

Documenter votre conformité RGPD, même sommairement, renforce donc indirectement votre dossier d’audit — et évite un chantier de mise en conformité mené dans l’urgence après une réclamation ou un contrôle.

Passez à l’action

La conformité RGPD ne s’improvise pas au moment d’un contrôle : elle se construit dès la création de l’organisme, en parallèle des autres obligations administratives et de la préparation à l’audit Qualiopi. Le Kit Qualiopi Complet fournit des modèles de registre des traitements et de clauses de confidentialité adaptés à un organisme de formation ; l’ebook Créer son organisme de formation en 30 jours structure l’ensemble de vos démarches administratives dans l’ordre ; et le pack complet combine les deux pour sécuriser votre conformité dès le premier stagiaire.