RGPD à l'école et en périscolaire : qui est responsable de traitement ?

Qui est responsable de traitement, cas par cas ?

Le RGPD ne demande pas qui héberge, ni qui saisit, ni qui paie l'abonnement : il demande qui décide. Le responsable de traitement est celui qui « détermine les finalités et les moyens » (article 4.7), le sous-traitant celui qui traite « pour le compte du responsable du traitement » (article 4.8). Toute la difficulté du périscolaire tient à ce que la décision et l'exécution sont rarement chez la même personne : la commune décide, une association encadre, une école prête ses locaux, un éditeur fournit l'outil. Le tableau répartit les rôles selon la configuration réelle, et non selon l'intitulé du contrat.

Pourquoi « l'école » n'est presque jamais la bonne réponse : le périscolaire n'est pas un service de l'école. La commune en décide, le budgète et le tarife, donc elle en détermine les finalités ; le directeur d'école, lui, « bénéficie d'une délégation de compétences de l'autorité académique » (article L411-1) et agit dans le périmètre du DASEN. La CNIL ajoute un avertissement utile : la qualification de responsable ou de sous-traitant ne dépend pas du choix contractuel des parties, et peut être requalifiée lors d'un contrôle. Écrire « sous-traitant » dans une convention ne suffit donc pas si, dans les faits, l'organisme décide seul de ce qu'il collecte et pourquoi.

Ce que nous ne pouvons pas affirmer : on lit souvent que « l'école primaire n'a pas la personnalité morale ». Nous n'avons trouvé aucun texte qui l'énonce explicitement. Le code le dit pour les collèges et lycées (article L421-1) et on peut le déduire des articles L212-4 et L411-1 — mais une déduction n'est pas une citation. Si ce point est décisif dans votre dossier, faites-le valider par votre juriste plutôt que de le reprendre d'une page web, y compris la nôtre.

Une association gestionnaire est-elle responsable ou sous-traitante ?

C'est le cas le plus fréquent, et le seul sans réponse unique. Une association qui porte son propre projet pédagogique, gère ses inscriptions, fixe ses tarifs et choisit ses outils détermine ses finalités : elle est responsable de traitement. Une association qui reçoit de la commune les listes d'enfants, les créneaux et la politique tarifaire, et applique ses instructions, traite pour le compte de la commune : elle est sous-traitante au sens de l'article 28, et doit être liée par un contrat.

Entre les deux, la situation la plus réaliste est souvent la responsabilité conjointe de l'article 26. Le RGPD ne l'interdit pas, il exige de l'écrire : un accord qui définit « de manière transparente » les obligations respectives, en particulier qui informe les familles et qui répond à leurs demandes. Faute de cet écrit, chacun renvoie vers l'autre le jour où un parent demande l'effacement d'une fiche — et c'est précisément le jour où il ne faut pas chercher. Indice sans être une réponse : la liste CNIL des traitements dispensés d'analyse d'impact vise les traitements mis en œuvre par les collectivités « et les personnes morales de droit public et de droit privé » pour gérer les affaires scolaires et périscolaires. La CNIL envisage donc bien qu'une association soit, elle aussi, responsable.

Que doit contenir le contrat de sous-traitance que vous signez ?

L'article 28 ne se contente pas d'autoriser la sous-traitance, il en fixe le contenu. Le responsable « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes » (28.1), et le sous-traitant « ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable » (28.2). Le contrat définit l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, puis porte les huit engagements du 28.3 :

• a) ne traiter les données que sur instruction documentée du responsable ;
• b) garantir la confidentialité des personnes autorisées à traiter ;
• c) mettre en œuvre les mesures de sécurité de l'article 32 ;
• d) respecter les paragraphes 2 et 4 pour recruter un autre sous-traitant ;
• e) aider le responsable à répondre aux demandes d'exercice des droits ;
• f) aider le responsable à respecter les articles 32 à 36 ;
• g) au terme de la prestation, supprimer ou renvoyer les données, selon le choix du responsable ;
• h) mettre à disposition les informations nécessaires et permettre les audits.

Deux points sont régulièrement oubliés à la lecture d'un contrat d'éditeur. Le d) : demandez la liste nominative des sous-traitants ultérieurs et vérifiez qu'un ajout vous est notifié avec un délai pour objecter. Le g) : le choix entre restitution et suppression doit être le vôtre, pas une politique unilatérale. Notre accord de sous-traitance article 28 est publié en entier, avec la liste de nos sous-traitants et les délais d'information : vous pouvez le lire avant de nous écrire et le joindre à votre dossier.

Le registre des traitements : à quoi sert la « dispense » des 250 salariés ?

L'article 30.1 fixe le contenu du registre : identité et coordonnées du responsable et du délégué, finalités, catégories de personnes et de données, catégories de destinataires, transferts hors Union européenne, délais d'effacement prévus et description générale des mesures de sécurité. Vient ensuite l'article 30.5, invoqué à tort presque à chaque fois : la dispense des organismes de moins de 250 salariés ne s'applique pas « sauf si le traitement est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9, paragraphe 1 ».

Ces trois conditions sont alternatives : une seule suffit à faire tomber la dispense. Un fichier de présence périscolaire est quotidien — donc non occasionnel — et porte sur des enfants, souvent avec des allergies ou un PAI. La CNIL recommande d'ailleurs, en cas de doute sur l'application de la dérogation, d'intégrer le traitement au registre. Pour la partie présence, nous publions les éléments à y recopier — finalités, catégories de données, durées de conservation, sous-traitants nommés — dans notre politique de confidentialité. Nous ne rédigeons pas le registre à votre place : il est le vôtre, et il couvre aussi des traitements qui ne nous concernent pas.

Faut-il une analyse d'impact (AIPD) pour un logiciel de pointage ?

La réponse honnête est « probablement pas pour la gestion courante, mais faites trancher votre DPO », et il faut comprendre pourquoi les deux lectures coexistent. L'article 35.1 impose une analyse d'impact quand un traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques », et le 35.3 en donne trois cas obligatoires : évaluation systématique et automatisée avec effet juridique, traitement à grande échelle de données sensibles, surveillance systématique à grande échelle d'une zone accessible au public. Aucun ne décrit un pointage périscolaire. Les deux listes publiées par la CNIL, en revanche, ne tirent pas tout à fait dans le même sens.

La lecture défendable : pas d'AIPD obligatoire pour la gestion courante, mais une AIPD à reprendre dès que vous sortez de ce cadre — biométrie, géolocalisation des enfants, notation ou décision automatisée conduisant à exclure une famille. Deux réserves : la liste de 2019-118 n'est pas exhaustive, et la CNIL précise qu'y figurer dispense de l'analyse d'impact sans dispenser d'aucune autre obligation ; par prudence, notre propre accord de sous-traitance retient la formule inverse — « une AIPD est probablement requise, et cela reste à vérifier » — parce qu'un accueil qui renseigne systématiquement les champs de santé n'est pas dans la même situation qu'un accueil qui les laisse vides. Faites arbitrer votre DPO ; nous fournissons sur demande les éléments techniques de l'analyse.

Quelles données peut-on collecter sur un enfant, et lesquelles sont interdites ?

Le principe de minimisation (article 5.1.c) impose des données « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités ». La CNIL le traduit très concrètement pour la rentrée scolaire et périscolaire : seules les informations nécessaires à la prise en charge des enfants peuvent être demandées ; le numéro de sécurité sociale ne peut pas être collecté ; le régime alimentaire est demandé à titre facultatif ; un avis d'imposition est admis lorsqu'il sert à établir une tarification.

Les données de santé relèvent de l'article 9, qui en interdit le traitement par principe, sauf exceptions dont le consentement explicite. La CNIL indique que la prise en charge d'un enfant « nécessite, dans certains cas, de collecter des renseignements sur des allergies ou des pathologies », recueillis après consentement exprès des représentants légaux. Pratiquement : ne les demandez que si elles servent à la sécurité de l'enfant, écrivez à quoi elles servent, et restreignez leur accès. Dans Presencia, la minimisation se joue d'ailleurs plus dans les droits que dans le formulaire : les accès se règlent droit par droit et école par école, vérifiés à l'affichage et au niveau de l'API, et chaque action sensible est tracée dans un journal d'audit.

Sur quelle base légale repose le pointage périscolaire ?

Pour une commune, la base pertinente est la mission d'intérêt public de l'article 6.1.e : « le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ». La CNIL précise que cette mission ne peut pas être présumée : elle doit être prévue par le droit — ici les articles L212-4 et L551-1 du code de l'éducation. Une personne privée peut s'appuyer sur la même base lorsqu'elle poursuit une mission d'intérêt public.

Le consentement est inadapté comme base du pointage lui-même, et c'est une erreur courante : une famille inscrite ne peut pas « refuser » que la présence de son enfant soit consignée, puisque c'est ce qui fonde la prise en charge et la facturation. Il reste en revanche la base des éléments réellement facultatifs : données de santé, régime alimentaire et photographies d'enfants — avec, pour ces dernières, une attention au déséquilibre entre la famille et l'autorité publique qui la sollicite.

Violation de données : d'où partent exactement les 72 heures ?

De la prise de connaissance, et non de l'incident. L'article 33.1 impose au responsable de traitement de notifier la violation à l'autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Une intrusion survenue en juillet et découverte en septembre ouvre donc un délai qui part de septembre — ce qui transforme la vraie question en « comment le sait-on ? » plutôt qu'en « quand faut-il écrire ? ».

• Qui notifie la CNIL — le responsable de traitement, c'est-à-dire votre structure. Le sous-traitant alerte le responsable (article 33.2) : il ne se substitue jamais à vous.
• Quand prévenir les familles — seulement si la violation est « susceptible d'engendrer un risque élevé pour les droits et libertés » (article 34.1).
• Ce qui est dû dans tous les cas — documenter toute violation en interne, y compris non notifiée (article 33.5) : nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises.

Notre engagement est écrit et volontairement vérifiable : en cas de violation affectant vos données, information par e-mail dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, complétée au fil des constatations. Ce délai n'est pas une performance : il vous laisse une marge réelle à l'intérieur de vos 72 heures. La notification à la CNIL et l'information des personnes restent à votre charge.

Combien de temps conserver les données de présence ?

Commençons par ce qui explique les chiffres contradictoires trouvés en ligne : aucune durée n'est fixée par un texte pour les données périscolaires. Le seul document chiffré, la norme simplifiée NS-058 consacrée aux affaires scolaires et périscolaires, n'a plus de valeur juridique depuis le 25 mai 2018 ; la CNIL la maintient en ligne à titre indicatif. La citer comme du droit en vigueur est une erreur, la recopier dans un registre en est une autre.

Le principe applicable est celui de l'article 5.1.e : une durée « déterminée par le responsable de traitement en fonction de l'objectif ayant conduit à la collecte », selon la méthode en trois temps que publie la CNIL — base active, archivage intermédiaire, puis archivage définitif ou suppression. Écrivez votre durée, écrivez pourquoi, et tenez compte des obligations de conservation qui vous concernent par ailleurs (comptables, budgétaires, conventions de financement). Côté logiciel, ce que nous appliquons et que vous pouvez recopier : conservation tant que l'abonnement est actif ; 90 jours d'export après une résiliation volontaire ; 30 jours après un essai non converti ; 60 jours après une suspension pour défaut de paiement. Survivent ensuite les signatures 5 ans, la facturation 10 ans (article L.123-22 du code de commerce) et le journal d'audit 1 an, en accès restreint.

Un délégué à la protection des données est-il obligatoire ?

Pour une commune, un EPCI ou une école publique : oui, et sans seuil de taille. L'article 37.1.a impose un délégué lorsque « le traitement est effectué par une autorité publique ou un organisme public », et la CNIL écrit que le RGPD impose à toutes les structures publiques d'en désigner un. Il peut être interne, externe ou mutualisé entre plusieurs communes, au niveau d'un EPCI ou d'un centre de gestion — solution la plus répandue pour les petites communes, et explicitement admise.

Ce n'est pas une obligation de façade : la CNIL a mis en demeure plusieurs dizaines de communes pour ce seul motif, puis sanctionné la commune de Kourou — amende rendue publique assortie d'une injonction sous astreinte (délibération SAN-2023-018 du 12 décembre 2023), astreinte ensuite liquidée, procédure close après désignation. Pour une association gestionnaire, l'article 37.1.a ne joue pas et l'obligation dépendrait alors du 37.1.b ou du 37.1.c. Nous n'avons trouvé aucune position officielle tranchant ce cas précis pour un accueil de loisirs : posez la question à votre fédération ou à votre conseil.

Les questions d'un DPO de collectivité, et nos réponses factuelles

Sur un achat public, le DPO — souvent mutualisé — passe avant la signature, et ses questions sont toujours les mêmes. Voici les réponses telles que vous pouvez les recopier dans votre analyse. Elles sont volontairement dépourvues d'affirmation invérifiable : là où nous ne faisons pas quelque chose, c'est écrit.

Ces réponses reprennent notre accord de sous-traitance et notre politique de confidentialité. En cas de divergence, ce sont ces deux documents qui font foi : un tableau de synthèse n'est pas un engagement contractuel.

Checklist de conformité pour un accueil périscolaire

Dix points, dans l'ordre où ils se posent réellement. Le premier est le plus souvent sauté, et c'est celui qui détermine tous les autres.

Aucun logiciel ne rend une structure conforme : la conformité est une organisation, pas une fonctionnalité. Ce qu'un outil peut faire, c'est vous éviter de bricoler les parties qui se prouvent — hébergement dans l'Union européenne, journal d'audit, droits par capacité et par école, export à tout moment, suppression tracée. Et ce que nous ne faisons pas : nous ne rédigeons pas votre registre, nous ne réalisons pas votre analyse d'impact, nous ne notifions pas la CNIL à votre place et nous ne répondons pas aux familles à votre place. Aucune de ces quatre choses ne se délègue à un éditeur ; les promettre serait plus vendeur, et faux.

Reste la question par laquelle tout commence, et qui n'est pas une question RGPD : que devez-vous consigner, et à quel titre. Nous l'avons traitée à part, parce qu'elle ne se règle pas avec les mêmes textes : dans quels cas un registre de présence est obligatoire selon le temps d'accueil, et à quoi ressemble un registre de présence périscolaire — colonne par colonne, dans un modèle imprimable. Et si votre accueil fait signer le départ de l'enfant, ce que cette signature vaut le jour où elle est contestée, comme ce qu'elle ne prouve pas, est expliqué dans le guide sur la valeur légale de la signature de départ. Ces trois questions arrivent avant le RGPD dans la pratique ; elles arrivent après dans les formations, et c'est sans doute pour cela qu'on les oublie.

Questions fréquentes

Sources et dates de consultation

Toutes les références ci-dessous ont été lues à la source le 23 septembre 2026. Ce guide résume le droit applicable ; en cas de doute sur votre situation, la référence reste le texte en vigueur et l'avis de votre délégué à la protection des données.

• RGPD — règlement (UE) 2016/679, articles 4, 5, 6, 9, 26, 28, 30, 32 à 36 et 37, dans la version publiée par la CNIL.
• Code de l'éducation — L212-4, L551-1, L411-1, L421-1 et R131-5 (registre d'appel) — Légifrance.
• CNIL — le registre des activités de traitement, ce que les établissements peuvent demander, les durées de conservation, désigner un délégué dans une collectivité, notifier une violation.
• Analyse d'impact — délibérations CNIL n° 2018-326 (les neuf critères), n° 2018-327 (AIPD requise) et n° 2019-118 du 12 septembre 2019 (AIPD non requise) — Légifrance.
• Norme simplifiée NS-058 — maintenue en ligne parmi les anciennes normes, sans valeur juridique depuis le 25 mai 2018. Sanction : délibération SAN-2023-018 (commune de Kourou).