Inscriptions scolaires et périscolaires : les enjeux RGPD pour les collectivités
Les inscriptions scolaires, la cantine, la garderie, les activités périscolaires et les centres de loisirs municipaux impliquent la collecte de nombreuses données personnelles sur les enfants et leurs familles. Ces traitements, gérés par les communes, concernent des données de mineurs et parfois des données sensibles (allergies, handicap, situation familiale particulière). La conformité au RGPD est donc un enjeu majeur pour les services éducation des collectivités.
Les données collectées lors de l’inscription scolaire
Le dossier d’inscription scolaire rassemble des informations variées : identité de l’enfant (nom, prénom, date de naissance), adresse du domicile, identité et coordonnées des responsables légaux, situation familiale (garde alternée, ordonnance de placement), personnes autorisées à récupérer l’enfant, informations de santé (allergies alimentaires, projet d’accueil individualisé, traitement médical, vaccinations), quotient familial pour la tarification, et coordonnées bancaires pour le prélèvement. Certaines de ces données sont obligatoires (identité, domicile pour la sectorisation), d’autres sont facultatives et doivent être clairement identifiées comme telles dans le formulaire.
Base légale et finalités
L’inscription scolaire repose sur une obligation légale de la commune (articles L.131-5 et suivants du Code de l’éducation). La base légale du traitement est donc la mission de service public pour l’inscription elle-même, et le consentement des parents pour les données supplémentaires (activités périscolaires facultatives, photos). La cantine et la garderie, lorsqu’elles sont gérées par la commune, relèvent également de la mission de service public. Les finalités doivent être précisément définies : gestion des inscriptions, facturation, gestion des allergies et régimes alimentaires, suivi de la fréquentation, communication avec les familles.
Portail familles et sécurité des données
De plus en plus de communes proposent un portail familles en ligne pour les inscriptions et la gestion des activités. Ce portail doit respecter des exigences de sécurité strictes : authentification sécurisée des parents, chiffrement des communications (HTTPS), cloisonnement des données entre familles, gestion des sessions et déconnexion automatique. L’éditeur du portail est un sous-traitant au sens du RGPD et doit être lié par un contrat conforme à l’article 28. Les données doivent être hébergées dans l’Union européenne.
Données de santé et projet d’accueil individualisé
Le projet d’accueil individualisé (PAI) est un document médical permettant l’accueil d’un enfant présentant une pathologie chronique (diabète, épilepsie, allergie sévère). Il contient des données de santé sensibles dont l’accès doit être strictement limite. Seuls les agents directement en charge de l’enfant (directeur d’école, personnel de cantine, animateurs) doivent y avoir accès, et uniquement pour les informations nécessaires à la sécurité de l’enfant. Le PAI ne doit pas être stocké dans le dossier administratif général de l’enfant mais dans un espace sécurisé a accès restreint.
Quotient familial et données financières
La tarification des services périscolaires repose souvent sur le quotient familial, calculé à partir des revenus des parents. Cette donnée financière est sensible et son traitement doit être encadré. La collecte des avis d’imposition ou des justificatifs CAF doit être limitée au strict nécessaire. Les agents charges du calcul du quotient ne doivent pas avoir accès aux autres données du dossier scolaire. Les justificatifs de revenus doivent être supprimés une fois le quotient calculé et valide pour l’année en cours.
Communication entre commune, école et prestataires
Les données scolaires circulent entre plusieurs acteurs : la commune (inscriptions), l’Éducation nationale (affectation), les prestataires de restauration (allergies, régimes), les transporteurs scolaires (adresses, horaires). Chaque transmission doit être encadrée et sécurisée. Les listes d’élèves transmises au prestataire de restauration ne doivent contenir que les informations nécessaires (nom, allergies), sans les coordonnées des parents ni les informations financières. Les échanges par email non chiffre de listes nominatives d’enfants constituent une pratique à proscrire.
Durées de conservation
Les dossiers d’inscription scolaire sont conservés pendant la durée de scolarisation de l’enfant dans la commune, puis archives selon les règles du Code du patrimoine. Les données de cantine et de garderie sont conservées jusqu’à la fin de l’année scolaire, plus le délai nécessaire à la clôture comptable. Les PAI sont renouvelés chaque année et les anciennes versions doivent être détruites. Les données du portail familles relatives aux comptes inactifs doivent être supprimées après trois ans d’inactivité conformément aux recommandations de la CNIL.
Laurent de Cavel, DPO
