Données de stagiaires et classe virtuelle : le RGPD que le formateur oublie

Beaucoup de consultants formation pensent que le RGPD concerne les grandes entreprises et les services informatiques. En réalité, dès lors que vous collectez le nom, le courriel, les résultats d'évaluation ou les signatures électroniques de vos stagiaires, vous êtes responsable de traitement au sens du Règlement Général sur la Protection des Données. Et avec ce statut viennent des obligations précises.

Les données manipulées par un formateur sont plus nombreuses et plus sensibles qu'il n'y paraît :

• Identité et coordonnées des stagiaires (inscriptions, convocations).
• Émargements et signatures électroniques, qui valent preuve d'assiduité.
• Résultats d'évaluation et acquis, parfois communiqués à l'employeur.
• Informations relatives à une situation de handicap — données pouvant relever des catégories particulières et nécessitant une vigilance renforcée.
• Enregistrements vidéo des classes virtuelles, qui captent voix, image et propos des participants.

Le basculement vers la formation à distance a démultiplié les surfaces d'exposition. Chaque outil ajoute un maillon potentiellement faible :

• Les enregistrements de session : stockés où ? Pour combien de temps ? Avec quel consentement des participants ? Un enregistrement diffusé par erreur expose voix et image de tous les stagiaires.
• Les transferts hors Union européenne : de nombreux outils de visio et LMS hébergent les données chez des prestataires américains, ce qui suppose un encadrement juridique des transferts.
• Les comptes partagés et mots de passe faibles : un LMS dont l'accès est compromis donne accès à des centaines de dossiers stagiaires.
• L'hameçonnage : le consultant indépendant, souvent seul, est une cible privilégiée pour un courriel piégé conduisant à un rançongiciel.

Une fuite de données ne suppose pas forcément une cyberattaque sophistiquée : un fichier d'émargements envoyé au mauvais destinataire ou un enregistrement de classe virtuelle laissé accessible suffit à constituer une violation au sens du RGPD.

Imaginons qu'un consultant subisse un rançongiciel chiffrant son ordinateur portable, sur lequel sont stockés les dossiers de plusieurs centaines de stagiaires : noms, courriels, évaluations, et quelques informations sur des aménagements liés au handicap. Plusieurs obligations s'enclenchent immédiatement :

1. Notifier la CNIL sous 72 heures dès la prise de connaissance de la violation, si elle présente un risque pour les personnes.
2. Informer les personnes concernées lorsque le risque pour leurs droits et libertés est élevé.
3. Documenter l'incident dans un registre des violations, que la CNIL peut contrôler.

À cela s'ajoutent les conséquences potentielles : sanction administrative en cas de manquement caractérisé, actions en réparation des stagiaires lésés, et un préjudice de réputation qui peut tarir les missions. Gérer seul une telle crise, dans l'urgence, sans expertise technique ni juridique, est rarement à la portée d'un indépendant.

La RC Professionnelle couvre les conséquences de vos erreurs de prestation envers vos clients : un contenu inadapté, un manquement Qualiopi, un préjudice financier. Mais une violation de données personnelles obéit à une logique différente. Elle déclenche des frais très spécifiques que la RC Pro classique ne prend pas en charge :

• Les frais d'expertise technique pour identifier l'origine de la fuite et restaurer les systèmes.
• Les frais de notification à la CNIL et aux personnes concernées.
• L'accompagnement juridique face à un contrôle ou une mise en demeure.
• La gestion de la communication de crise pour préserver votre réputation.
• Les éventuelles pertes d'exploitation liées à l'indisponibilité de vos outils.

C'est précisément le rôle d'une assurance cyber : intervenir là où la RC Pro s'arrête, sur le terrain spécifique de la sécurité des données et de la continuité d'activité. Pour situer la RC Pro dans votre dispositif global, relisez notre analyse du double sinistre accident et financement.

Le statut RGPD du consultant dépend du cadre de la mission. Quand vous animez une formation pour votre propre compte, vous êtes responsable de traitement des données stagiaires que vous collectez. Mais lorsque vous intervenez comme prestataire pour un organisme qui définit les finalités et vous fournit les fichiers, vous pouvez être qualifié de sous-traitant au sens du RGPD — un rôle juridique distinct, encadré par un contrat spécifique.

Cette nuance n'est pas théorique : elle détermine vos obligations. En tant que sous-traitant, vous devez agir sur instruction du responsable, garantir la sécurité des données confiées et ne pas les réutiliser à d'autres fins. Un contrat de sous-traitance RGPD (article 28 du Règlement) doit alors formaliser ces engagements. Beaucoup de consultants travaillant avec des organismes certifiés ignorent qu'ils auraient dû signer un tel acte.

Que vous soyez responsable de traitement ou sous-traitant, votre responsabilité en cas de fuite reste engagée. Le statut change la répartition des obligations, pas le besoin de couverture.

Cette logique de chaîne de responsabilité fait écho à celle de la sous-traitance Qualiopi : dans les deux cas, déléguer ou être délégué ne supprime jamais votre exposition.

Réduire le risque passe par des mesures simples, à la portée de tout indépendant :

1. Minimisez les données collectées : ne demandez que ce qui est nécessaire à la formation et à sa traçabilité.
2. Chiffrez vos supports : disque dur, sauvegardes et fichiers d'émargements doivent être protégés par chiffrement et mots de passe robustes.
3. Encadrez les enregistrements : recueillez le consentement, fixez une durée de conservation, supprimez ce qui n'est plus utile.
4. Vérifiez vos outils : privilégiez des LMS et plateformes de visio offrant des garanties d'hébergement et de transfert conformes.
5. Tenez un registre des traitements, document de base exigé par le RGPD.

Ces pratiques, associées à une couverture cyber, forment un dispositif équilibré. Une assurance cyber peut compléter une RC Professionnelle dès 12,90 €/mois pour couvrir l'ensemble de vos risques. Pour faire le point sur vos garanties, consultez notre page métier consultant formation.