Coach scolaire et données de mineurs : ce que le RGPD vous impose

Quand un parent vous confie son enfant, il vous remet bien plus qu'un emploi du temps. Vous récupérez des bulletins de notes, des appréciations de professeurs, parfois un diagnostic de troubles de l'apprentissage, le contexte familial, les angoisses de l'adolescent, ses résultats à des tests. Ces informations forment ce que le RGPD qualifie de données à caractère personnel, et certaines basculent même dans la catégorie des données sensibles lorsqu'elles touchent à la santé mentale ou à un handicap.

La spécificité du coach scolaire tient à un mot : mineur. La très grande majorité de vos accompagnés ont moins de 18 ans. Or le droit européen et la loi française entourent les données des enfants d'une protection renforcée. Vous ne traitez pas un client comme un autre : vous traitez une personne vulnérable, dont les données peuvent le suivre des années. Un bulletin médiocre, une appréciation sur un trouble du comportement ou une remarque sur des difficultés familiales sont des informations qui pourraient, mal exploitées, nuire durablement à l'enfant devenu adulte.

Le réflexe de beaucoup de coachs indépendants est de penser « je suis une petite structure, le RGPD c'est pour les grandes entreprises ». C'est faux. Le règlement s'applique dès le premier dossier, quel que soit votre chiffre d'affaires, votre statut de micro-entrepreneur ou le fait que vous travailliez seul depuis votre salon. Et la Commission nationale de l'informatique et des libertés (CNIL) ne fait pas de distinction de taille lorsqu'une famille dépose une plainte : la même grille s'applique au coach indépendant qu'au grand organisme de soutien scolaire.

Première erreur classique : demander à l'adolescent de 15 ans son accord pour traiter ses données. Tant qu'il est mineur, le consentement valable émane du titulaire de l'autorité parentale. Concrètement, c'est le parent qui vous autorise à collecter et conserver les informations de son enfant.

Cela soulève une difficulté très concrète en cas de parents séparés. Si l'autorité parentale est conjointe, un seul parent peut signer le contrat de prestation courant, mais les décisions importantes touchant l'enfant supposent l'accord des deux. En cas de conflit familial, vous pouvez vous retrouver pris en étau : un parent vous reproche d'avoir partagé des informations avec l'autre. Conservez systématiquement la trace écrite de qui vous a mandaté et de l'étendue de l'autorisation.

Votre contrat ou votre formulaire d'inscription doit comporter une mention d'information claire : quelles données vous collectez, pourquoi, combien de temps vous les gardez, et comment la famille peut demander leur suppression. Ce n'est pas une formalité décorative : c'est la preuve, le jour d'un litige, que vous avez agi en professionnel respectueux du cadre légal.

Le danger ne vient presque jamais d'un piratage spectaculaire. Il vient des outils que vous utilisez tous les jours sans y penser :

• Les notes de séance stockées dans un fichier sur votre ordinateur portable, sans mot de passe, qui se fait voler dans le train.
• Les captures d'écran de visio où apparaît le visage d'un mineur, partagées par mégarde dans un groupe.
• WhatsApp ou SMS avec les parents, contenant des détails intimes sur les difficultés de l'enfant, sur un téléphone non sécurisé.
• Les bulletins photographiés qui traînent dans la pellicule, synchronisée avec un cloud public.

Chacun de ces gestes anodins peut se transformer en violation de données. Imaginez : vous envoyez par erreur à un autre parent un PDF contenant les notes et les commentaires sur l'orientation d'un autre élève. La famille découvre que ses données privées ont fuité. Elle peut saisir la CNIL et vous réclamer réparation pour le préjudice moral.

Une violation de données concernant des mineurs est considérée comme particulièrement grave et accélère la notification obligatoire à la CNIL dans un délai de 72 heures.

La parade tient en quelques habitudes : chiffrez votre poste et activez un mot de passe à l'ouverture de session, utilisez des outils de visio et de messagerie professionnels plutôt que des applications grand public, ne stockez que ce qui est strictement nécessaire à l'accompagnement, et anonymisez vos exemples lorsque vous échangez entre confrères. Évitez de mêler vos échanges familiaux à votre compte personnel : un dossier élève n'a rien à faire dans la même boîte mail que vos achats en ligne. Ces gestes simples réduisent drastiquement la surface de risque sans alourdir votre quotidien.

Le RGPD pose un principe simple : on ne conserve les données que le temps nécessaire à la finalité du traitement. Pour un coach scolaire, la finalité, c'est l'accompagnement en cours. Une fois la mission terminée, vous n'avez plus de raison légitime de garder indéfiniment les bulletins et les notes d'un ancien élève.

En pratique, distinguez deux blocs :

1. Les données pédagogiques (notes de séance, bulletins, échanges) : à supprimer ou anonymiser dans un délai raisonnable après la fin de l'accompagnement, sauf demande expresse de la famille de poursuivre.
2. Les données administratives et comptables (factures, contrats) : à conserver pour répondre à vos obligations fiscales, indépendamment du dossier pédagogique.

La famille dispose d'un droit à l'effacement. Si un parent vous écrit « supprimez tout ce que vous avez sur mon enfant », vous devez pouvoir le faire et confirmer la suppression. Cela suppose de savoir où sont stockées les données : un fichier ici, des messages là, un cloud ailleurs. Plus vos données sont éparpillées, plus l'effacement complet devient illusoire, et plus le risque qu'il en reste une copie oubliée augmente.

Tenir un registre simple de vos dossiers, avec leur date de création et leur date de purge prévue, vous évite de vous retrouver assis sur une montagne de données ingérable et juridiquement risquée. Ce registre n'a rien d'un document administratif lourd : un simple tableau suffit. Il vous permet, en cas de demande d'un parent ou de contrôle, de montrer immédiatement que vous maîtrisez le cycle de vie des informations que l'on vous a confiées. C'est aussi un excellent réflexe d'hygiène : moins vous gardez de données, moins vous avez à protéger.

Vous avez beau être rigoureux, le risque zéro n'existe pas. Un ordinateur volé, un compte de messagerie piraté, un rançongiciel qui chiffre tous vos dossiers d'élèves : ces incidents touchent aussi les indépendants. Et la facture d'une violation de données ne se limite pas à la gêne.

Une assurance cyber dédiée prend en charge plusieurs postes que la seule responsabilité civile ne couvre pas :

• L'assistance technique d'urgence pour contenir l'incident et restaurer vos données.
• Les frais de notification aux familles concernées et l'accompagnement dans la déclaration à la CNIL.
• La défense juridique si une famille engage une action ou si la CNIL ouvre une procédure.
• La prise en charge des demandes de rançon et de la gestion de crise.

En complément, votre RC Pro couvre les conséquences d'une faute professionnelle, et l'assurance cyber vient combler le terrain spécifique du numérique. Pour le coach scolaire qui manipule des données de mineurs au quotidien, les deux sont complémentaires. Vous pouvez retrouver le détail des garanties adaptées à votre activité sur la page dédiée au métier de coach scolaire.