Quelles obligations RGPD pour une plateforme de formation ?

Introduction

Une activité de formation en ligne traite un volume important de données : prospects, apprenants, données de progression, échanges, paiements. Ces traitements sont rarement documentés.

Le recensement

La première étape consiste à recenser les traitements dans un registre.

Pour une activité d’infopreneur, les traitements types sont les suivants.

La prospection : collecte de contacts, envoi de contenus, séquences automatisées, segmentation.

La gestion des clients : commandes, facturation, accès aux contenus, suivi de progression.

Le suivi pédagogique : résultats, évaluations, échanges avec les apprenants.

La gestion de la communauté : espaces d’échange, publications, modération.

Les traitements de mesure d’audience et de publicité.

La gestion des prestataires et des affiliés.

Les bases légales

L’exécution du contrat pour la fourniture des contenus, la facturation et le suivi de la formation.

L’obligation légale pour la conservation des pièces comptables et, le cas échéant, des documents exigés par le droit de la formation.

L’intérêt légitime pour la prospection des professionnels, sous réserve d’une mise en balance documentée et d’un droit d’opposition simple.

Le consentement pour la prospection par courrier électronique vers des particuliers et pour les traceurs non exemptés.

Chaque traitement doit avoir une base identifiée, et non une base par défaut.

L’information

Une politique de confidentialité décrivant les traitements réels, par finalité, avec les durées et les destinataires.

Une mention concise sur chaque formulaire, renvoyant à l’information complète.

Une information spécifique lorsque les données sont collectées indirectement, notamment par des affiliés ou des partenaires, avec indication de la source.

La sous-traitance

Les outils utilisés traitent des données pour le compte de l’infopreneur : ce sont des sous-traitants.

Plateforme de vente et d’hébergement des contenus, outil d’emailing, service de visioconférence, prestataire de paiement, outil de gestion commerciale, prestataire d’assistance.

Un accord de sous-traitance conforme est requis pour chacun, avec vérification des annexes : localisation, sous-traitants ultérieurs, mesures de sécurité, suppression en fin de contrat.

Plusieurs de ces outils sont édités hors de l’Union européenne, ce qui appelle un examen des transferts et de leur encadrement.

Les durées de conservation

Les contacts prospects non convertis : la CNIL recommande de ne pas dépasser trois ans à compter du dernier contact émanant du prospect.

Les données clients : la durée de la relation, puis un archivage correspondant aux obligations légales, notamment comptables.

Les données de progression et les résultats : une durée justifiée par la finalité, la délivrance d’attestations pouvant en justifier une plus longue.

Les enregistrements de sessions : une durée limitée, annoncée aux participants.

Ces durées doivent être appliquées effectivement, et non seulement déclarées.

La sécurité

Une politique de mots de passe robuste et une authentification renforcée sur les accès administrateurs.

Une gestion des habilitations limitée au besoin d’en connaître, notamment pour les prestataires et les closers.

Le chiffrement des échanges et des supports.

Des sauvegardes régulières et testées.

La révocation immédiate des accès au départ d’un prestataire.

Les droits des personnes

Un point de contact identifié et une procédure de traitement.

Un délai d’un mois, prorogeable de deux mois avec information dans le mois initial.

Les demandes les plus fréquentes portent sur l’accès aux données, l’effacement après la fin de la formation et l’opposition à la prospection.

Le droit d’opposition à la prospection est absolu et doit être traité immédiatement.

Les enregistrements de sessions

Les sessions en direct enregistrées comportent l’image, la voix et parfois les échanges des participants.

Leur enregistrement suppose une information préalable, une finalité déterminée, une durée limitée et la possibilité de participer sans apparaître.

La diffusion ultérieure de ces enregistrements à d’autres apprenants suppose que cet usage ait été annoncé.

Documenter avant d’être contrôlé

Le registre et les accords de sous-traitance sont les premières pièces demandées. Notre expertise RGPD et protection des données personnelles construit ces dispositifs.

En résumé

• Recenser les traitements, déterminer une base légale pour chacun et informer les personnes.
• Tous les outils utilisés sont des sous-traitants : un accord conforme est requis pour chacun.
• Trois ans de conservation pour un prospect non converti, à compter de son dernier contact.
• Les habilitations doivent être limitées et révoquées au départ des prestataires.
• L’enregistrement des sessions suppose information préalable, durée limitée et usage annoncé.