RGPD : protéger les données de vos élèves

Le RGPD est le règlement européen qui encadre la façon dont vous collectez, stockez et utilisez les données personnelles de vos élèves et de leurs familles. Dès le premier message d'un parent, vous en manipulez : un nom, un numéro de téléphone, parfois une adresse et, très vite, les notes et les difficultés scolaires de l'enfant. Ces informations sont protégées par la loi depuis le 25 mai 2018, et un professeur particulier indépendant y est soumis comme n'importe quelle entreprise.

Beaucoup de professeurs pensent que le sujet ne concerne que les grandes sociétés. En pratique, la CNIL, l'autorité française de protection des données, applique les mêmes principes à une activité d'une seule personne. La bonne nouvelle : pour une petite structure, la mise en conformité tient en quelques réflexes simples.

Quelles données détenez-vous vraiment ?

Faites la liste, elle est plus longue qu'on ne croit :

• Identité et contact : nom de l'élève et du parent, téléphone, e-mail, adresse du domicile pour les cours sur place.
• Données scolaires : niveau, matière, bulletins, notes, appréciations, objectifs.
• Données de facturation : montants, moyens de paiement, parfois un IBAN pour un prélèvement.
• Échanges : messages WhatsApp, SMS, comptes rendus de séance.

Certaines de ces informations méritent une attention particulière. Un aménagement pour un élève dys, une mention de suivi médical ou d'un trouble de l'apprentissage relève des données dites sensibles : vous ne les conservez que si c'est utile au cours, et jamais « au cas où ».

Vos obligations, en clair

Ne collecter que l'utile, et le dire

Ne demandez que ce dont vous avez besoin pour donner le cours et facturer. Au premier contact, une phrase suffit à informer la famille : quelles données vous gardez, pourquoi, et combien de temps. C'est le principe de transparence, et il vous évite la plupart des litiges.

Sécuriser l'accès

Un mot de passe sur votre téléphone et votre ordinateur, une messagerie qui n'est pas partagée avec le reste de la maison, une sauvegarde : le minimum vital. En cas de fuite de données (un carnet perdu, un compte piraté) présentant un risque pour les personnes, vous disposez de 72 heures pour la signaler à la CNIL.

Limiter la durée de conservation

On ne garde pas un dossier élève indéfiniment. Deux repères concrets :

• Les données d'un élève qui a arrêté : environ 3 ans après le dernier cours, le temps d'une éventuelle reprise, puis suppression.
• Les factures et pièces comptables : 10 ans, une obligation du Code de commerce indépendante du RGPD.

Une règle simple que vous appliquez vaut mieux qu'une politique parfaite jamais suivie. Fixez une durée, notez-la, et faites le ménage une fois par an.

Tenir un petit registre

Même seul, vous devez pouvoir dire quelles données vous traitez et pourquoi. La CNIL propose un modèle de registre qui tient sur une page. Pour une activité de cours, une seule ligne « gestion des élèves et facturation » couvre déjà l'essentiel.

Les droits des familles

Un parent peut vous demander l'accès aux données de son enfant, leur correction, ou leur suppression quand elles ne sont plus nécessaires. Vous avez un mois pour répondre. Ces demandes restent rares dans le soutien scolaire, mais une réponse claire et rapide protège votre réputation autant que la loi vous y oblige. Si vous suivez déjà la progression de vos élèves de façon structurée, retrouver et exporter un dossier prend quelques minutes.

Le tableur, angle mort du RGPD

Le fichier Excel posé sur le bureau d'un ordinateur portable partagé est le scénario le plus risqué : pas de contrôle d'accès, des copies qui traînent dans les e-mails, aucune trace de qui a vu quoi. Quitter le tableur pour un outil unique, où élèves, cours et factures vivent au même endroit, règle une partie du problème par construction. Un logiciel de gestion des élèves centralise l'information, la protège derrière un compte, et vous évite les doublons dispersés.

Par où commencer cette semaine

1. Listez les données que vous détenez et supprimez celles qui ne servent plus.
2. Mettez un mot de passe sur vos appareils et votre messagerie.
3. Rédigez la phrase d'information que vous donnerez au prochain parent.
4. Fixez une durée de conservation et notez-la.

Aucune de ces étapes ne demande un juriste. Elles font de la protection des données une habitude, pas une contrainte de plus.

Sources

• CNIL – RGPD : de quoi parle-t-on ?
• CNIL – RGPD : passer à l'action
• CNIL – Cartographier vos traitements de données
• CNIL – Les durées de conservation des données
• CNIL – Qu'est-ce qu'une donnée personnelle ?