Une précision avant de commencer : nous sommes un éditeur de logiciels, pas un cabinet d’avocats — cet article organise la pratique, il ne remplace pas un conseil juridique. Pour toute question engageante, adressez-vous à votre déléguée à la protection des données ou à votre avocat.

En bref : une école de séjours linguistiques traite des données de mineurs et des informations de santé — les cinq points où la protection des données se joue en pratique : un contrat de sous-traitance avec chaque outil, un traitement particulier des champs de santé, une transmission contrôlée des données aux familles d’accueil, un plan d’effacement et un plan de 72 heures pour les violations de données.

Les écoles de langues sous-estiment régulièrement la sensibilité réelle de leurs données. Une école de séjours linguistiques ne traite pas seulement des noms et des adresses de facturation : il y a des données de mineurs, dont les réservations sont signées par les parents. Il y a des informations de santé issues des formulaires d’inscription — allergies, intolérances, médicaments — destinées à la famille d’accueil et qui relèvent juridiquement des catégories particulières de données personnelles. Il y a des données de passeport pour les dossiers de visa, des données de paiement, et autour de tout cela une chaîne d’intervenants : agence, école, famille d’accueil, assurance.

C’est précisément cette chaîne qui rend la protection des données dans une école de langues différente de celle d’une petite entreprise ordinaire. Voici les cinq points où se décide, en pratique, si le sujet est maîtrisé ou non.

1. Le contrat de sous-traitance — avec chaque outil qui voit des données d’élèves

Dès qu’un service externe traite des données personnelles pour votre compte — votre logiciel de gestion, votre fournisseur d’e-mails, votre outil de newsletter —, l’art. 28 du RGPD exige un contrat de sous-traitance (DPA). Ce n’est pas une formalité : ce contrat définit où résident les données, qui sont les sous-traitants ultérieurs et ce qui se passe en cas de violation de données.

Le test pratique est simple : listez chaque outil qui contient des données d’élèves et vérifiez si un contrat de sous-traitance existe. Un éditeur de logiciel de gestion sérieux vous le fournit sur demande — accompagné d’un aperçu écrit des mesures techniques et organisationnelles. Si vous ne l’obtenez pas, c’est un signal d’alarme qu’aucune liste de fonctionnalités ne compense.

2. Les informations de santé ne sont pas des champs de formulaire ordinaires

« Votre enfant a-t-il des allergies ? » est probablement la question la plus fréquente sur les formulaires d’inscription des programmes juniors — et sa réponse relève de l’art. 9 du RGPD, les catégories particulières de données personnelles. Concrètement : ces informations exigent une base juridique propre (en règle générale le consentement explicite), elles n’ont pas leur place dans des champs de texte libre visibles par toute l’équipe, et elles doivent être effacées une fois le séjour terminé.

Un système de gestion aide ici de deux manières : des droits d’accès basés sur les rôles, pour que le service hébergement voie ce que la famille d’accueil doit savoir tandis que la comptabilité ne le voit pas — et des champs structurés au lieu de texte libre, pour qu’au moment d’effacer, on trouve réellement ce qui doit l’être.

3. La famille d’accueil est une transmission de données — traitez-la comme telle

Pour qu’un placement fonctionne, la famille d’accueil doit savoir certaines choses : nom, âge, heure d’arrivée, habitudes alimentaires, le cas échéant des indications de santé. C’est une transmission de données personnelles à un tiers — licite dans la mesure où elle est nécessaire à l’exécution du contrat, mais seulement dans cette mesure. La famille d’accueil a besoin de l’information sur les allergies ; elle n’a pas besoin de l’historique de facturation.

Ce qui fait ses preuves en pratique, c’est le principe de la vue graduée : la famille d’accueil reçoit une fiche de données définie, pas le dossier complet. Qui règle cela en transférant des e-mails depuis sa boîte de réception perd précisément ce contrôle.

4. Savoir effacer fait partie du métier

Le RGPD n’exige pas de conserver les données pour toujours — au contraire. Les données de réservation et de facturation sont soumises à des délais de conservation commerciaux et fiscaux ; le formulaire d’inscription de 2019 avec des informations de santé ne l’est pas. Un plan d’effacement utilisable répond à trois questions : quelles catégories de données existent, combien de temps chacune dispose-t-elle d’une base juridique, et comment efface-t-on — de façon systématique ou à la main ?

Ici aussi : dans un paysage de tableurs avec des copies dans les boîtes mail, l’effacement systématique est pratiquement impossible. Dans un système central, c’est une fonctionnalité.

5. L’urgence a un délai : 72 heures

Une violation de données — l’ordinateur portable perdu, le document mal adressé, l’accès compromis — doit être notifiée à l’autorité de contrôle, en règle générale sous 72 heures (art. 33 du RGPD). Ce délai ne tient que si l’on sait à l’avance qui est responsable dans l’équipe, comment circonscrire l’incident et quelle autorité est compétente dans votre pays. Une page avec ces trois réponses n’est pas de la bureaucratie — c’est la différence entre un incident maîtrisé et un incident chaotique.

Ce que cela signifie pour le choix du logiciel

Quand vous choisissez un logiciel de gestion, la protection des données n’est pas un chapitre à part à côté des fonctionnalités — elle vit en elles : droits basés sur les rôles, champs structurés, vues partenaires définies, effaçabilité, un contrat de sous-traitance sans relances interminables. Nous avons intégré ces questions dans notre check-list de sélection — et la façon dont Fidelo gère l’hébergement, les rôles et la sous-traitance est publiée ouvertement sur notre page sécurité.