Introduction
Inscription à une formation, feuille d’émargement, adresse e-mail, questionnaire de satisfaction, résultats d’évaluation… Un organisme de formation est amené à manipuler régulièrement des informations concernant ses apprenants.
Certaines de ces informations constituent des données personnelles et doivent être utilisées avec précaution.
Le RGPD ne concerne donc pas uniquement les grandes entreprises. Les organismes de formation et les formateurs sont également concernés dès lors qu’ils collectent et utilisent des données permettant d’identifier directement ou indirectement une personne.
Voici 7 bonnes pratiques permettant d’intégrer progressivement la protection des données dans vos activités de formation.
1. Ne collecter que les données réellement nécessaires
Avant de demander une information à un apprenant, posez-vous une question simple :
Ai-je réellement besoin de cette donnée pour réaliser mon activité ?
Il peut être tentant de multiplier les informations demandées dans un formulaire d’inscription « au cas où elles seraient utiles ».
Une meilleure pratique consiste à limiter la collecte aux informations nécessaires à l’objectif poursuivi.
Par exemple, si une information n’est pas utile pour gérer l’inscription, assurer le suivi de la formation ou répondre à une obligation particulière, demandez-vous s’il est réellement nécessaire de la collecter.
Moins vous collectez de données inutiles, moins vous aurez ensuite de données à protéger et à gérer.
2. Informer clairement les apprenants
Lorsqu’une personne vous transmet ses données, elle doit pouvoir comprendre pourquoi elles sont collectées et comment elles seront utilisées.
L’information doit être facilement accessible et compréhensible.
Selon la situation, il peut notamment être nécessaire de préciser :
- l’identité de l’organisme qui traite les données ;
- la raison pour laquelle elles sont collectées ;
- les personnes ou organismes susceptibles d’y avoir accès ;
- leur durée de conservation ;
- les droits dont dispose la personne ;
- la manière d’exercer ces droits.
Cette information peut notamment être intégrée aux formulaires utilisés pour les inscriptions ou les demandes de contact.
L’objectif est d’éviter qu’une personne fournisse ses informations sans savoir ce qu’elles deviendront.
3. Limiter l’accès aux données des apprenants
Toutes les personnes d’un organisme n’ont pas nécessairement besoin d’accéder à toutes les informations.
Les accès doivent être adaptés aux missions de chacun.
Par exemple, un formateur peut avoir besoin de certaines informations pour assurer le suivi pédagogique sans pour autant avoir besoin d’accéder à toutes les données administratives détenues par l’organisme.
Il est donc utile de se demander :
Qui a réellement besoin d’accéder à cette information ?
Cette réflexion concerne aussi les espaces partagés, les dossiers réseau, les plateformes pédagogiques et les outils collaboratifs.
4. Sécuriser les comptes et les accès
La protection des données passe également par la sécurité des outils utilisés.
Quelques habitudes simples permettent déjà de réduire de nombreux risques :
- utiliser des mots de passe robustes et différents ;
- éviter de partager ses identifiants ;
- verrouiller son ordinateur lorsqu’on s’absente ;
- maintenir ses logiciels à jour ;
- utiliser l’authentification multifacteur lorsqu’elle est disponible ;
- rester vigilant face aux e-mails et demandes inhabituelles.
Un mot de passe ne doit notamment pas circuler entre plusieurs personnes simplement pour faciliter l’accès à un outil commun.
Chaque utilisateur devrait, lorsque l’outil le permet, disposer de son propre compte et des droits correspondant à son besoin.
5. Vérifier les outils et prestataires utilisés
Un organisme de formation peut utiliser de nombreux services numériques :
- plateforme LMS ;
- visioconférence ;
- stockage en ligne ;
- outil d’e-mailing ;
- questionnaire en ligne ;
- logiciel de gestion de formation ;
- outil collaboratif.
Ces services peuvent être amenés à traiter des données concernant les apprenants.
Avant d’adopter un nouvel outil, il est donc utile de se demander :
Quelles données vont être transmises à ce service et dans quelles conditions seront-elles traitées ?
La protection des données ne s’arrête pas aux ordinateurs de l’organisme. Elle concerne également les prestataires et sous-traitants auxquels certaines opérations sont confiées.
6. Ne pas conserver les données indéfiniment
Une donnée qui était nécessaire au moment d’une formation ne doit pas nécessairement être conservée sans limite.
Il est donc important de définir des durées de conservation adaptées aux différentes catégories de documents et d’informations.
Cela peut concerner par exemple :
- les dossiers d’inscription ;
- les coordonnées des participants ;
- les évaluations ;
- les questionnaires ;
- les documents administratifs ;
- certaines informations présentes dans les plateformes pédagogiques.
Toutes les données ne répondent pas aux mêmes contraintes ni aux mêmes durées.
L’objectif est donc de savoir ce que l’on conserve, pourquoi et pendant combien de temps.
Une fois la durée appropriée atteinte, les données doivent être supprimées, anonymisées ou archivées lorsque leur conservation reste nécessaire dans un cadre approprié.
7. Savoir réagir en cas d’incident
Malgré les précautions prises, un incident peut toujours se produire.
Par exemple :
Un e-mail contenant des informations sur plusieurs apprenants est envoyé au mauvais destinataire.
Ou :
Un ordinateur professionnel contenant des données est perdu ou volé.
Ou encore :
Un compte permettant d’accéder à une plateforme pédagogique semble avoir été compromis.
Il est important de ne pas ignorer l’incident.
L’organisme doit pouvoir identifier ce qui s’est passé, les données concernées, les personnes potentiellement touchées et les mesures à prendre.
Selon la nature et le niveau de risque de la violation, des obligations particulières peuvent également s’appliquer.
L’essentiel est donc d’avoir réfléchi à la procédure avant qu’un incident ne survienne.
Un réflexe utile : cartographier les données utilisées
Pour commencer simplement, vous pouvez dresser la liste des situations dans lesquelles votre organisme utilise des données personnelles.
Par exemple :
Inscription → Formation → Évaluation → Satisfaction → Suivi administratif
Pour chaque étape, posez-vous quelques questions :
Quelles données collectons-nous ?
Pourquoi en avons-nous besoin ?
Où sont-elles stockées ?
Qui peut y accéder ?
Sont-elles transmises à un prestataire ?
Combien de temps les conservons-nous ?
Ce travail permet progressivement de mieux comprendre le parcours des données au sein de l’organisme et d’identifier les pratiques qui méritent d’être améliorées.
Les 7 bonnes pratiques à retenir
Avant de traiter les données de vos apprenants, pensez à :
✓ Collecter uniquement les données nécessaires
✓ Informer clairement les personnes concernées
✓ Limiter les accès aux personnes qui en ont besoin
✓ Sécuriser les comptes et les outils
✓ Vérifier les prestataires et services utilisés
✓ Définir des durées de conservation
✓ Prévoir la conduite à tenir en cas d’incident
Le RGPD ne doit pas être considéré uniquement comme une contrainte administrative. Il encourage également à adopter de meilleures pratiques dans la manière de collecter, organiser, sécuriser et utiliser les données.
Pour aller plus loin avec le RGPD
Vous souhaitez mieux comprendre les obligations RGPD applicables aux organismes de formation ?
LE LOUET Formation propose la formation « Les obligations RGPD pour les organismes de formation » afin d’aborder les principales obligations, la construction des registres de suivi des activités ainsi que les problématiques liées à la sécurité des données, aux violations et aux sous-traitants.