Conformité

RGPD : ce qu’une association qui gère une école doit vraiment faire

Publié le 3 juillet 2026 · 7 min de lecture · par J. Aadlani

Une école associative accueille des enfants ; elle traite donc, presque par définition, des données de mineurs : nom, date de naissance, parfois une information de santé, une photo, les coordonnées des parents. Le RGPD s’applique pleinement à ces traitements, qu’ils soient portés par une grande fédération ou par une petite association de quartier gérée par des bénévoles. Vu de l’extérieur, le sujet peut sembler complexe, réservé aux grandes structures dotées d’un service juridique. Dans la pratique, s’en approcher tient surtout à quelques réflexes simples, posés une bonne fois et tenus dans la durée : savoir ce que l’on conserve, pourquoi, et pour combien de temps. Cet article ne remplace pas un conseil juridique : il pose les bases, sans jargon, pour une équipe qui découvre le sujet et cherche avant tout à savoir par où commencer.

Ce que vous traitez sans y penser

La plupart des écoles associatives n’ont jamais dressé la liste de ce qu’elles conservent sur les familles. Pourtant, dès l’inscription, une quantité importante d’informations personnelles est déjà réunie : nom, prénom et date de naissance de l’enfant, coordonnées des parents, parfois une information de santé glissée dans une case « allergies » ou « à signaler en cas d’urgence ». S’ajoutent souvent des photos prises pendant les cours ou lors des sorties, ainsi que les listes de paiement qui associent le nom de chaque famille à ce qu’elle doit ou a déjà réglé.

Le problème n’est pas tant la nature de ces informations que la façon dont elles circulent. Beaucoup d’écoles gèrent encore ces données dans un fichier Excel unique, passé de main en main au fil des années, sans que personne ne sache précisément combien de copies en existent, ni qui y a encore accès. Ce n’est pas de la négligence : c’est simplement que personne, jusque-là, n’avait pris le temps de regarder l’ensemble.

Faire cet inventaire, même sommaire, change déjà la façon de voir les choses. Une fois qu’on a écrit noir sur blanc ce qui est collecté et où cela se trouve, il devient beaucoup plus simple de se demander si chaque information est vraiment utile, et si elle est conservée là où elle devrait l’être.

Les 5 obligations qui vous concernent vraiment

Le RGPD couvre un très grand nombre de situations, mais pour une école associative, l’essentiel se résume à cinq obligations concrètes :

• tenir un registre des traitements : une liste simple, même sous la forme d’un tableau, qui recense quelles données vous collectez, dans quel but, et qui peut y accéder ;
• ne collecter que ce qui est nécessaire : une information de santé n’a de sens que si elle sert réellement à la sécurité de l’enfant, pas « au cas où » ;
• informer les familles : au moment de l’inscription, expliquer simplement quelles données sont recueillies et à quoi elles servent ;
• définir des durées de conservation : le dossier d’un enfant qui a quitté l’école depuis plusieurs années n’a pas vocation à rester indéfiniment dans un tableur ;
• sécuriser les accès : limiter qui peut consulter ou modifier les données des familles, et pouvoir savoir qui l’a fait.

Ces cinq points ne demandent ni juriste ni budget particulier. Ils demandent surtout qu’une personne du bureau prenne le temps de les formaliser une bonne fois, plutôt que de les traiter au fil de l’eau, année après année. Une fois posés, ils n’ont plus besoin d’être repensés à chaque rentrée : il suffit de les relire et de les ajuster si l’organisation de l’école a changé, par exemple si une nouvelle activité collecte de nouvelles informations.

Le cas des outils : où vont vos données ?

Beaucoup d’écoles associatives utilisent aujourd’hui plusieurs outils numériques : messagerie, tableur partagé, logiciel de gestion, plateforme de paiement en ligne. Chacun de ces outils héberge une partie des données des familles, parfois sans que l’école sache réellement où elles sont stockées, ni qui peut y accéder en dehors de l’équipe elle-même. Un outil gratuit ou improvisé n’est pas forcément un problème en soi ; c’est l’absence de réponse à ces questions qui devrait alerter, quel que soit l’outil utilisé.

Avant de confier des données à un prestataire, quelques questions simples permettent d’y voir clair : les données sont-elles hébergées dans l’Union européenne ? Le prestataire propose-t-il un contrat de sous-traitance, comme le prévoit l’article 28 du RGPD ? Est-il possible de récupérer l’intégralité des données à tout moment, dans un format exploitable, en cas de changement d’outil ? C’est précisément le type de garanties que décrit notre page sécurité et protection des données, et ce sont des questions à poser à n’importe quel prestataire, chez nous comme ailleurs.

Les erreurs courantes

Sur le terrain, ce ne sont pas les grandes négligences qui posent problème, mais une poignée d’habitudes prises sans y réfléchir vraiment :

• un groupe WhatsApp de classe où les numéros de téléphone de toutes les familles sont visibles de tous les autres membres, sans que personne n’ait donné son accord explicite pour ce partage ;
• un fichier Excel des familles partagé par email, sans mot de passe, qui circule d’une année sur l’autre sans que personne ne sache combien de copies en existent encore ;
• des photos d’enfants publiées sur les réseaux sociaux de l’association sans autorisation préalable des parents, parfois avec le nom complet de l’enfant en légende.

Aucune de ces situations ne part d’une intention malveillante. Elles s’installent simplement parce qu’elles sont pratiques sur le moment, et que personne ne prend le temps de se demander si elles devraient être encadrées différemment. Le point commun de ces trois exemples, c’est l’absence d’un accord clairement demandé aux familles avant que l’information ne circule ; une simple mention d’information à l’inscription permet justement de l’éviter. Pour les annonces générales, passer par un outil qui écrit aux familles au nom de l’école, comme le module pilotage & communication, évite en plus que les numéros personnels circulent dans un groupe.

Par où commencer cette semaine

La mise en conformité est un chantier au long cours ; quatre actions simples permettent déjà de poser une base solide :

• lister en une page ce que vous collectez sur les familles, et pourquoi ;
• ajouter une mention d’information claire sur le dossier d’inscription, pour que chaque famille sache ce qui est recueilli ;
• vérifier qui a accès au fichier des familles aujourd’hui, et retirer les accès qui ne sont plus justifiés ;
• poser aux prestataires que vous utilisez déjà les trois questions évoquées plus haut : hébergement, contrat de sous-traitance, export des données.

Sans tout régler, ces quatre actions couvrent l’essentiel de ce qu’une école associative doit pouvoir montrer si la question lui est posée un jour. Elles peuvent être menées en quelques heures, réparties entre deux ou trois membres du bureau, sans attendre d’avoir « tout » compris du RGPD avant de commencer. Le détail de vos droits et de nos engagements est par ailleurs disponible dans notre politique de confidentialité.