Bulletins, copies, identifiants Parcoursup : ce que la loi impose au coach qui manipule les données d'un mineur

Beaucoup de coachs ne se perçoivent pas comme des acteurs du RGPD. Ils ont tort. Dès lors que vous collectez le nom, les bulletins, les appréciations des professeurs, le projet de motivation et parfois les copies d'un élève, vous effectuez un traitement de données à caractère personnel. Et comme vous décidez pourquoi et comment vous les utilisez, vous en êtes le responsable de traitement, avec toutes les obligations qui en découlent.

Deux facteurs aggravent votre situation par rapport à un prestataire lambda :

• Vos clients sont des mineurs. Le RGPD et la loi française entourent les données des mineurs d'une vigilance accrue. Le consentement au traitement ne peut être valablement donné que par le titulaire de l'autorité parentale.
• Les données scolaires touchent à l'intimité de l'élève. Bulletins, appréciations disciplinaires, parfois informations sur la santé ou la situation familiale glissées dans un projet de motivation : ces éléments sont sensibles, même quand ils ne relèvent pas formellement des "données sensibles" au sens strict.

Concrètement, vous devez pouvoir répondre à trois questions : pourquoi je détiens ces données, combien de temps je les conserve, et comment je les protège. L'absence de réponse claire est déjà un manquement.

Il faut aussi distinguer ce que vous traitez vraiment. Un projet de motivation, par exemple, contient parfois des informations bien plus intimes qu'un simple bulletin : mention d'un parcours de soin, d'une situation familiale difficile, d'un engagement associatif révélant des opinions. Dès qu'une donnée touche à la santé, aux origines ou aux convictions, elle relève d'une catégorie particulièrement protégée et votre vigilance doit redoubler. Le réflexe est simple : ne demandez jamais à l'élève d'en dire plus que ce dont vous avez besoin pour le conseiller, et n'archivez pas les versions intermédiaires de documents que vous n'utilisez plus.

Le RGPD n'exige pas d'un coach indépendant la même usine à gaz qu'une multinationale. Mais quelques obligations minimales sont incontournables, et leur absence est précisément ce que la CNIL sanctionne en priorité chez les petits acteurs :

1. Informer les familles. Une mention claire, dans votre contrat ou sur votre site, expliquant quelles données vous collectez, pourquoi, combien de temps, et comment exercer leurs droits (accès, rectification, suppression).
2. Limiter la conservation. Vous n'avez aucune raison de garder les bulletins d'un élève deux ans après la fin de l'accompagnement. Fixez une durée (par exemple, jusqu'à la fin de la session Parcoursup concernée) et supprimez ensuite.
3. Sécuriser le stockage. Un dossier nominatif traînant dans une boîte mail non protégée, sur une clé USB perdue ou dans un cloud partagé par lien public est une bombe à retardement.
4. Recueillir le consentement parental pour le traitement, et a fortiori si vous publiez un témoignage ou un "avant/après" mentionnant l'élève.

La règle d'or : ne collectez que ce dont vous avez réellement besoin pour conseiller, et ne le gardez que le temps nécessaire. Chaque donnée superflue est un risque sans contrepartie.

C'est la zone la plus dangereuse, et elle mérite un avertissement sans détour. Pour gagner du temps, certains coachs demandent les identifiants Parcoursup de l'élève afin de "vérifier le dossier" ou "saisir les vœux à sa place". Ne le faites jamais.

Plusieurs problèmes se cumulent :

• Vous stockez des identifiants de connexion à un service public, ce qui multiplie l'enjeu d'une fuite.
• Vous agissez au nom de l'élève sur une plateforme officielle, ce qui brouille toute frontière de responsabilité : si un vœu est mal saisi ou supprimé, vous en êtes directement comptable.
• En cas de litige, l'argument "j'ai seulement conseillé" s'effondre : vous avez matériellement agi à sa place.

La bonne pratique est inverse : l'élève reste maître de son compte, il fait les manipulations devant vous ou en visio partage d'écran, et vous conseillez sans jamais détenir ses accès. Vous protégez ainsi à la fois sa donnée et votre responsabilité. C'est aussi une posture qui rassure les familles sur votre sérieux.

La même logique vaut pour les captures d'écran et les exports que l'on prend "pour archive". Une capture du dossier Parcoursup, des notes ou du classement provisoire d'un élève est une donnée personnelle comme une autre : si elle dort dans votre galerie photo synchronisée sur trois appareils, vous avez multiplié les copies sans les protéger. Travaillez en direct, ne dupliquez pas, et si vous devez conserver une trace, faites-le dans votre espace sécurisé unique avec une durée de vie limitée.

Imaginez le scénario : votre ordinateur portable est volé, ou votre boîte mail piratée. Elle contient les bulletins, projets de motivation et coordonnées de quarante familles. Vous venez de subir une violation de données personnelles, et le RGPD déclenche un compte à rebours.

Vos obligations sont précises :

Au-delà de l'amende potentielle, la gestion d'une violation coûte cher en temps et en expertise : il faut identifier l'étendue de la fuite, sécuriser les systèmes, rédiger la notification, communiquer avec des familles inquiètes. C'est exactement ce que prend en charge une assurance cyber : expertise technique, frais de notification, assistance juridique et gestion de crise. Pour un coach seul, c'est la différence entre une crise maîtrisée et une réputation détruite.

On sous-estime aussi le coût réputationnel pur. Le bouche-à-oreille entre parents d'un même lycée est redoutable : une seule fuite ayant exposé les bulletins d'une promotion peut tarir votre flux de clients pour la saison suivante, bien au-delà de toute sanction administrative. La sécurité des données n'est donc pas qu'une obligation légale, c'est un actif commercial. Un coach capable d'expliquer en deux phrases où sont stockés les dossiers, qui y a accès et quand ils sont supprimés inspire immédiatement plus confiance qu'un concurrent qui élude la question.

Si votre activité s'appuie sur un cabinet ou des équipements professionnels, pensez aussi à protéger vos outils de travail et votre poste informatique, complément naturel d'une démarche de mise en conformité.

La conformité RGPD d'un coach Parcoursup n'a rien d'inaccessible. Voici une feuille de route concrète, applicable en une demi-journée :

• Rédiger une courte mention d'information dans le contrat et sur le site.
• Choisir un espace de stockage sécurisé (cloud professionnel chiffré, mot de passe robuste, double authentification) plutôt que la boîte mail ou une clé USB.
• Définir une durée de conservation et programmer une suppression à la fin de chaque saison.
• Ne jamais demander les identifiants Parcoursup de l'élève.
• Recueillir le consentement parental écrit, surtout pour tout usage marketing (témoignages, avis).
• Souscrire une assurance cyber pour absorber le coût d'une éventuelle violation.

Ces réflexes ne sont pas seulement défensifs : ils deviennent un argument commercial. Une famille qui confie le dossier scolaire de son enfant préfère un coach qui sait exactement comment il protège ces données. Découvrez l'ensemble de nos solutions pour le coach Parcoursup.