Enregistrer vos classes virtuelles : le piège RGPD du formateur

Quand vous cliquez sur « démarrer l'enregistrement » dans Zoom, Teams ou Meet, vous engagez votre responsabilité sur trois plans juridiques distincts — beaucoup de formateurs n'en gèrent qu'un sur trois.

1. Le RGPD (règlement européen 2016/679) : la voix, l'image et le nom d'un stagiaire constituent des données à caractère personnel. Vous êtes responsable de traitement, parfois sous-traitant du client.
2. Le droit à l'image (article 9 du Code civil) : tout enregistrement de la personne physique nécessite un consentement, distinct de celui exigé par le RGPD. Sa portée est différente.
3. Le droit d'auteur du stagiaire : un stagiaire qui pose une question élaborée, présente un cas concret de son entreprise ou propose une analyse peut revendiquer une protection sur sa contribution.

Ces trois régimes répondent à des finalités différentes, ont des durées de prescription différentes, et un même contenu enregistré peut être attaqué sur les trois fondements simultanément.

Toutes les plateformes affichent un bandeau « cette session est enregistrée ». Aux yeux du juriste, ce bandeau est insuffisant à constituer un consentement valable :

• Il n'est pas libre : le stagiaire qui veut suivre la formation n'a pas d'alternative crédible. La CNIL considère que le consentement « ou tu n'accèdes pas » est vicié.
• Il n'est pas spécifique : il ne dit pas si l'enregistrement sera diffusé en replay, sur quelle plateforme, à qui, pendant combien de temps.
• Il n'est pas éclairé : il n'informe pas le stagiaire de son droit de retrait, de rectification, d'accès.

Le standard professionnel exigé par les services juridiques de grandes entreprises et par les auditeurs Qualiopi : un formulaire de consentement séparé, envoyé en amont de la session, qui décrit précisément finalité, durée, diffusion et droits du stagiaire.

Un consentement Zoom = présomption faible. Un formulaire signé = présomption forte. Différence en cas de plainte : entre « avertissement » et « amende administrative ».

Le sort de l'enregistrement détermine entièrement le niveau de risque que vous prenez. Voici l'échelle classique :

La règle d'or : cadrer la caméra uniquement sur vous et ne diffuser que les fenêtres de partage d'écran neutres (sans nom de stagiaire visible dans le chat). C'est techniquement simple et juridiquement décisif.

Le scénario que nous rencontrons le plus souvent : un ancien stagiaire vous écrit 18 mois après la formation, parce qu'il a changé d'employeur ou parce qu'il a découvert que la session est toujours en ligne. Il exige :

1. Le retrait immédiat de la vidéo de votre LMS et de tous les LMS de vos clients.
2. La preuve de ce retrait (capture d'écran, attestation).
3. Parfois une indemnité pour préjudice moral (entre 500€ et 5 000€).
4. À défaut, une plainte CNIL et/ou une assignation civile.

Si vous avez le consentement écrit, vous opposez ses limites (durée prévue, finalité) et négociez. Si vous n'avez pas de consentement écrit, vous devez retirer sous 30 jours sans contestation possible, et vous restez exposé à une amende CNIL pouvant aller jusqu'à 20 000€ pour une TPE en cas de manquement caractérisé.

Sur ce type de litige, deux composantes s'activent :

• La protection juridique professionnelle prend en charge les frais d'avocat dès la mise en demeure, la rédaction des courriers de défense et la représentation devant la CNIL ou le tribunal judiciaire. C'est la composante la plus utile sur ce type de dossier.
• La RC Pro intervient si le stagiaire obtient une condamnation à votre charge (indemnité pour préjudice moral, frais de retrait technique).

Important : la sanction CNIL elle-même (amende administrative) n'est pas assurable en droit français. Aucun contrat ne peut prendre en charge une amende publique pour manquement RGPD. Seuls les frais de défense et les indemnités civiles le sont.

Pour aller plus loin sur la dimension cyber et hébergement, consultez notre dossier cyber pour formateur indépendant.

Si vous enregistrez des classes virtuelles, voici la check-list à boucler cette semaine :

1. Un formulaire de consentement par session, envoyé en amont, qui précise : finalité, plateforme d'hébergement, durée de conservation, audience, droit de retrait.
2. Un registre des traitements tenu à jour, mentionnant l'activité « enregistrement de classes virtuelles » (article 30 RGPD).
3. Une procédure de suppression automatique à l'expiration du délai (rappel agenda + script si vous gérez votre LMS).
4. Une page « politique de confidentialité » sur votre site, reprenant ces engagements.
5. Une garantie protection juridique professionnelle activée, pour couvrir les frais de défense en cas de plainte.

Ce kit prend environ une demi-journée à constituer et change radicalement votre posture en cas de litige. C'est aussi un argument de vente face aux DRH et DPO de grandes entreprises, qui exigent désormais ce niveau de formalisation.