RGPD à l'école : toutes les obligations 2026 en clair

Qui est concerné ?

Toute structure éducative française qui collecte ou traite des données personnelles : écoles publiques et privées, crèches, accueils périscolaires, ALSH, cantines scolaires, mairies. Le RGPD s'applique dès qu'un nom, une date de naissance ou une coordonnée parent est consigné.

Les 5 obligations principales

1. Tenir un registre des traitements

Vous devez documenter pour chaque traitement : finalité, catégories de données, durée de conservation, destinataires. Un logiciel comme Presencia fournit ce registre pré-rempli pour la partie présence/absences.

2. Désigner un référent RGPD (DPO)

Obligatoire pour les organismes publics (mairies, écoles publiques). Fortement recommandé pour les structures privées traitant des données d'enfants. Le DPO peut être interne ou mutualisé entre plusieurs structures.

3. Informer les parents

Une notice d'information doit être remise aux parents à l'inscription : quelles données sont collectées, pourquoi, combien de temps, leurs droits (accès, rectification, suppression, portabilité). Cette notice doit être rédigée dans un langage clair et accessible.

4. Limiter les données collectées

Principe de minimisation : ne collectez que ce qui est strictement nécessaire. Pas besoin du numéro de sécurité sociale pour un appel de présence. Les données médicales (allergies, PAI) doivent faire l'objet d'un consentement spécifique.

5. Sécuriser les données

Chiffrement, gestion des accès par rôle, journal d'audit, sauvegardes régulières, hébergement UE. Un cahier papier dans un tiroir non fermé à clé n'est pas conforme.

Les risques en cas de non-conformité

• Amende CNIL : jusqu'à 4 % du chiffre d'affaires annuel ou 20 M€.
• Sanctions pour les mairies : mise en demeure publique, retrait de financement.
• Plaintes des parents : perte de confiance, démissions d'inscriptions.
• Fuite de données : signalement obligatoire à la CNIL sous 72h.

Checklist de conformité

Comment Presencia aide à être conforme

Presencia intègre nativement l'ensemble des exigences RGPD :

• Hébergement en France (OVH / Hetzner Europe)
• Chiffrement AES-256 au repos, TLS 1.3 en transit
• Journal d'audit complet (qui a consulté quoi, quand)
• Export des données sur demande (portabilité)
• Droit à l'effacement en 1 clic
• DPA signé automatiquement à l'inscription
• Gestion des rôles (enseignant / direction / admin)