RGPD et organismes de formation : le guide de mise en conformité 2026

—-

Annonce

Apprends à créer des avatars IA ultra-réalistes et à les transformer en sources de revenus, sans jamais te montrer. C’est GRATUIT 👇

—-

Le RGPD s’applique à tout organisme de formation dès le premier apprenant collecté. Sept ans après son entrée en vigueur, la CNIL a considérablement musclé ses contrôles sur le secteur : mises en demeure pour registres inexistants, amendes pour bases légales absentes, sanctions pour transferts non encadrés vers des outils américains, réquisition de preuves de conformité lors des audits Qualiopi. En 2026, un OF non-conforme au RGPD n’est pas juste « à risque théorique » — il est concrètement exposé à des sanctions financières et à un déréférencement Qualiopi.

Ce guide détaille les obligations réelles d’un OF au titre du RGPD en 2026 : base légale, registre, sous-traitants (LMS, CRM, IA), durées de conservation, droits des apprenants, transferts hors UE, articulation avec Qualiopi et l’IA Act, et checklist de mise en conformité opérationnelle.

---

1. Pourquoi le RGPD concerne massivement les OF

Un OF traite structurellement des données personnelles sensibles : identité complète des apprenants, coordonnées, situation professionnelle, employeur, parfois données de santé (aménagements handicap), résultats d’évaluation, présence, retards, données bancaires (facturation), photos et enregistrements pour les formations en visio ou en présentiel filmé.

Ces données sont transmises à de multiples destinataires : financeurs (CDC, OPCO, France Travail), certificateurs, outils tiers (LMS, ATS, CRM, outils d’évaluation), et souvent à des solutions d’IA (Claude, ChatGPT, outils de correction automatique). Chacun de ces flux est un point de conformité à documenter et sécuriser.

Volumétrie typique d’un OF

• Un OF de 3 personnes qui forme 200 apprenants par an manipule les données de plus de 1 000 personnes physiques sur 5 ans (prospects + apprenants + contacts entreprise)
• Une plateforme e-learning intermédiaire dépasse rapidement les 10 000 profils
• Un CFA d’apprentissage franchit les 5 000 apprenants et 3 000 tuteurs/entreprises actifs à tout moment

À ces volumes, il n’est plus possible de « se débrouiller » — un traitement rigoureux du RGPD devient un impératif opérationnel autant que réglementaire.

---

2. Les 6 traitements RGPD critiques d’un OF

Tout OF traite en réalité une demi-douzaine de « traitements » au sens RGPD, chacun avec sa propre base légale, ses données, ses destinataires et sa durée de conservation.

Traitement	Base légale	Conservation
Gestion administrative des apprenants	Contrat + obligation légale	10 ans après fin (obligations comptables)
Facturation et suivi financier	Obligation légale	10 ans (Code de commerce)
Émargements et attestations	Obligation légale (Qualiopi, CDC)	10 ans
Prospection commerciale	Intérêt légitime ou consentement	3 ans après dernier contact
Gestion des candidatures spontanées	Consentement	2 ans max si non retenu
Enregistrements vidéo/audio de sessions	Consentement explicite	Durée limitée définie par consentement

Chacun de ces traitements doit apparaître dans votre registre des traitements — document obligatoire, exigé par la CNIL en cas de contrôle et par les auditeurs Qualiopi.

---

3. Le registre des traitements : obligatoire, contrôlé

Le registre des traitements (article 30 du RGPD) est le document de référence qui recense l’ensemble des traitements de données personnelles réalisés par votre OF. Il n’a pas à être publié, mais doit pouvoir être présenté immédiatement en cas de contrôle CNIL.

Contenu minimum obligatoire par traitement

• Nom du traitement et finalité
• Base légale (contrat, obligation légale, consentement, intérêt légitime)
• Catégories de personnes concernées
• Catégories de données collectées
• Destinataires (internes et externes, y compris sous-traitants)
• Transferts hors UE (avec mécanisme de garantie)
• Durée de conservation
• Mesures de sécurité techniques et organisationnelles

La CNIL met à disposition un modèle Excel gratuit sur son site. Pour un OF de moins de 20 personnes, ce modèle suffit largement. Au-delà, des outils dédiés (Dastra, DataLegalDrive, PrivacyPod) simplifient la maintenance.

---

4. Les sous-traitants : LMS, CRM, IA, tous concernés

Chaque fois qu’un OF utilise un outil externe qui traite des données personnelles d’apprenants, il s’agit d’une relation responsable de traitement / sous-traitant au sens RGPD. Cette relation doit être encadrée par un Data Processing Agreement (DPA), contractuellement rattaché ou intégré aux CGU.

Les catégories de sous-traitants typiques

• LMS (Learning Management System) : Moodle, 360Learning, Rise Up, Didask, Beedeez
• CRM : HubSpot, Salesforce, Pipedrive, Brevo, ActiveCampaign
• Facturation / gestion : Digiforma, Fygr, Pennylane, Manatime, Dendreo
• Emailing : Brevo, Mailchimp, ActiveCampaign
• Visio : Zoom, Google Meet, Microsoft Teams, Livestorm
• IA générative : OpenAI, Anthropic, Google, Mistral
• Analytics : Google Analytics, Matomo, Plausible
• Hébergement web : OVH, Scaleway, AWS, Google Cloud

Ce que doit contenir un DPA valable

• Finalités et durée du traitement
• Nature et catégories de données traitées
• Obligations du sous-traitant (confidentialité, sécurité, restitution)
• Modalités des transferts hors UE (si applicable)
• Autorisation d’audit et de contrôle
• Notification des violations de données
• Cadre pour les demandes des personnes concernées

Le cas particulier des outils d’IA générative

Utiliser ChatGPT, Claude ou Gemini pour traiter des données d’apprenants (correction automatique, personnalisation, synthèse d’entretiens) est un traitement RGPD à part entière. Points de vigilance :

• Comptes grand public (Free, Plus, Pro) : les données peuvent être utilisées pour améliorer les modèles. Non conforme pour du traitement d’apprenants
• Comptes Team ou Enterprise + DPA signé : engagement contractuel de non-entraînement, conforme sous conditions
• API des LLM : par défaut non utilisée pour l’entraînement ; DPA disponible sur demande auprès d’OpenAI, Anthropic, Google
• Hébergement européen : AWS Bedrock (Frankfurt, Paris) permet d’utiliser Claude et Llama en Europe sans transfert hors UE

La règle : ne jamais copier-coller de données personnelles d’apprenants dans un compte grand public d’un LLM. En cas de contrôle CNIL, c’est une infraction manifeste.

---

5. Les transferts hors UE : le point qui piège tous les OF

De très nombreux outils utilisés par les OF sont américains ou hébergent des données hors UE : ChatGPT, Zoom, HubSpot, Notion, Google Workspace, Slack, la majorité des outils SaaS. Chaque transfert de données personnelles hors UE doit être encadré par un mécanisme légal.

Le Data Privacy Framework (DPF) UE-US depuis 2023

Adopté en juillet 2023, le Data Privacy Framework est le cadre légal qui autorise les transferts de données personnelles vers des entreprises américaines certifiées. La liste des entreprises certifiées est publique (dataprivacyframework.gov). Vérifier qu’un fournisseur y figure est la première étape de conformité.

Attention : le DPF est régulièrement contesté devant la CJUE (comme l’étaient Safe Harbor et Privacy Shield avant lui). Un arrêt d’invalidation dans les prochaines années reste possible. Il est prudent, dès aujourd’hui, de privilégier lorsque c’est possible des alternatives européennes.

Alternatives européennes en 2026

Fonction	Alternative US courante	Alternative européenne
Visio	Zoom, Google Meet, Teams	Livestorm (FR), Whereby (NO), Jitsi
CRM	HubSpot, Salesforce	Brevo (FR), Sellsy (FR), Axonaut (FR)
Analytics	Google Analytics	Matomo, Plausible (EU)
Hébergement cloud	AWS, Azure, GCP	OVH, Scaleway, Clever Cloud
Emailing	Mailchimp, ActiveCampaign	Brevo (FR), Sarbacane (FR)
Notes / documentation	Notion, Confluence	Nuclino, AFFiNE, Outline (self-host)
LLM	OpenAI, Anthropic (via API)	Mistral, ou Claude via AWS Bedrock Frankfurt

Le passage à des alternatives européennes n’est pas toujours possible ni pertinent (les outils US restent souvent supérieurs sur la fonctionnalité). Mais c’est une couche de résilience à considérer pour les traitements les plus sensibles.

---

6. Les droits des apprenants : ce que vous devez pouvoir faire

Tout apprenant a le droit d’exercer plusieurs droits sur ses données. Vous devez pouvoir y répondre dans un délai maximum de 1 mois (extensible à 3 mois pour les demandes complexes, avec justification).

Les 7 droits à connaître

• Droit d’information : mention obligatoire dans la mention légale RGPD, contrat de formation, formulaire d’inscription
• Droit d’accès : fournir une copie des données personnelles détenues sur l’apprenant
• Droit de rectification : corriger les données inexactes
• Droit à l’effacement (droit à l’oubli) : sauf obligations légales de conservation (10 ans pour les données comptables et Qualiopi)
• Droit à la limitation du traitement : suspendre certains traitements
• Droit à la portabilité : fournir les données dans un format structuré et lisible
• Droit d’opposition : notamment à la prospection commerciale

Le processus type

Recevoir la demande → vérifier l’identité (pièce d’identité) → identifier les traitements concernés → recueillir les données auprès des différents outils → transmettre au demandeur → tracer la réponse dans un registre dédié. Un OF doit avoir un email dédié (rgpd@monorganisme.fr) et une procédure interne écrite.

---

7. RGPD et Qualiopi : l’articulation à ne pas rater

Depuis 2023, les auditeurs Qualiopi vérifient systématiquement des éléments de conformité RGPD. Ce n’est pas un audit CNIL, mais un OF non-conforme au RGPD risque des non-conformités lors de l’audit qualité, avec impact direct sur le renouvellement du certificat.

Les points RGPD vérifiés en audit Qualiopi

• Existence d’une mention RGPD dans les documents remis aux apprenants (contrat, convention, formulaire d’inscription)
• Information sur les droits des apprenants et modalités d’exercice
• Existence d’une politique de confidentialité accessible (site web, espace apprenant)
• Registre des traitements présentable sur demande
• Preuves de sécurisation des données (accès protégés, sauvegardes, chiffrement)
• Contrats/DPA avec les principaux sous-traitants
• Cas particulier : traitement des données de santé pour les aménagements handicap (Indicateur 4)

Un OF qui ne peut pas montrer ces éléments recevra a minima une observation, potentiellement une non-conformité mineure ou majeure selon la gravité.

---

8. RGPD et IA Act : deux régimes qui se cumulent

L’entrée en vigueur progressive de l’IA Act européen (règlement 2024/1689) ne remplace pas le RGPD — les deux textes s’appliquent en parallèle. Un usage d’IA impliquant des données personnelles doit satisfaire aux deux régimes.

Question	RGPD	IA Act
Ce qui est protégé	Données personnelles	Systèmes d’IA
Obligé si	Traitement de données identifiables	Développement ou déploiement d’IA
Autorité	CNIL	Autorité IA (à créer, transitoire CNIL en FR)
Sanction maximale	4 % CA mondial ou 20 M€	7 % CA mondial ou 35 M€

Pour un OF qui déploie un agent IA de correction automatique ou de recommandation de parcours : conformité RGPD ET conformité IA Act (potentiellement classé « haut risque » si l’IA évalue les apprenants ou oriente leur parcours). Deux DPIA / AIDPI à conduire, deux registres à alimenter.

---

9. Les sanctions et contrôles récents

La CNIL a considérablement musclé ses contrôles dans le secteur de la formation depuis 2023. Quelques ordres de grandeur observés :

• Mises en demeure publiques pour absence de registre : 15 à 30 par an dans le secteur formation
• Amendes administratives pour prospection non conforme : entre 20 000 € et 250 000 € pour des OF de taille moyenne
• Sanction record dans le secteur formation en 2024 : 400 000 € pour un OF de e-learning ayant transféré illicitement des données vers des serveurs hors UE et pratiqué du démarchage massif
• Contrôles renforcés post-plaintes : un signalement d’un apprenant peut déclencher un contrôle sur pièces sous 3 mois

L’échelle des sanctions RGPD monte théoriquement jusqu’à 4 % du CA annuel mondial ou 20 M€ (le plus élevé des deux). En pratique, pour un OF PME, les amendes observées se situent dans une fourchette 5 000 – 400 000 €, avec en moyenne 30-80 000 € pour les premiers manquements documentés.

---

10. Checklist de mise en conformité en 10 étapes

• 1. Cartographier tous les traitements de données personnelles réalisés par l’OF
• 2. Formaliser le registre des traitements (modèle CNIL suffit)
• 3. Identifier la base légale pour chaque traitement
• 4. Vérifier les durées de conservation et purger les données obsolètes
• 5. Lister tous les sous-traitants et vérifier les DPA
• 6. Documenter les transferts hors UE et les mécanismes de garantie (DPF, CCT)
• 7. Mettre à jour la mention légale et politique de confidentialité du site
• 8. Ajouter une mention RGPD dans les contrats, conventions, formulaires d’inscription
• 9. Créer une adresse email dédiée (rgpd@) et une procédure de traitement des demandes
• 10. Former l’équipe aux bonnes pratiques (sécurité, ne pas envoyer de données perso à des LLM grand public)

Pour un OF de moins de 20 personnes, ces 10 étapes représentent 3-5 jours de travail concentrés. Au-delà, un accompagnement externe (juriste RGPD, DPO externalisé) devient rentable — comptez 1 500-5 000 € pour un audit + mise en conformité complète.

Faut-il un DPO ?

Un Délégué à la Protection des Données (DPO) est obligatoire uniquement dans trois cas : autorité publique, traitement à grande échelle de catégories particulières de données (santé, biométrie), ou suivi régulier et systématique de personnes à grande échelle. La majorité des OF n’ont pas d’obligation légale. Mais désigner un référent RGPD interne (même sans statut DPO) est fortement recommandé.

---

---

Le registre des traitements : l’obligation centrale

L’article 30 du RGPD (Règlement UE 2016/679) impose à tout OF traitant des données à caractère personnel de tenir un registre des activités de traitement. Ce document n’est pas facultatif — la CNIL le réclame systématiquement lors d’un contrôle. Le modèle officiel est disponible sur le site de la CNIL.

Les traitements typiques d’un OF à enregistrer

• Gestion des candidatures et prospects (formulaires web, appels, LinkedIn)
• Gestion administrative des apprenants (inscription, émargement, évaluation, attestations)
• Facturation et comptabilité (données client, coordonnées bancaires)
• Enquêtes de satisfaction et suivi post-formation
• Marketing et newsletter
• Gestion RH interne (formateurs salariés, prestataires)
• Vidéosurveillance ou enregistrement des sessions le cas échéant

Pour chaque traitement, le registre doit indiquer : finalité, base légale, catégories de personnes concernées, catégories de données, destinataires, transferts hors UE éventuels, durée de conservation, mesures de sécurité. Un OF de 5-15 personnes a typiquement 8 à 15 traitements à documenter.

---

Le cas particulier des données Qualiopi et CPF

Un OF certifié Qualiopi et référencé EDOF doit gérer des données spécifiques dont la traçabilité est imposée par la loi mais aussi encadrée par le RGPD. La tension entre les deux obligations est réelle et exige un arbitrage rigoureux.

Les durées de conservation à respecter

• Feuilles d’émargement, attestations, évaluations : 4 ans après la fin de la formation (article L6353-9 du Code du Travail)
• Factures et pièces comptables : 10 ans (article L123-22 du Code de commerce)
• Contrats de formation : 5 ans après la fin du contrat
• Données prospects non convertis : 3 ans maximum après le dernier contact (recommandation CNIL)
• Newsletter et marketing : jusqu’au retrait du consentement, avec purge automatique après 3 ans d’inactivité

Ces durées sont des maxima. Un OF qui conserverait des données au-delà s’exposerait à une sanction CNIL. Un OF qui les détruirait avant ne pourrait plus prouver la réalisation de ses formations en cas de contrôle Qualiopi ou fiscal — perte du référencement et redressement.

Le transfert de données à la Caisse des Dépôts

Toute inscription via Mon Compte Formation déclenche un transfert de données entre l’OF et la Caisse des Dépôts et Consignations, opérateur du CPF. Ce transfert est fondé sur une obligation légale et n’exige pas le consentement de l’apprenant, mais il doit être mentionné dans la politique de confidentialité et le registre des traitements.

---

Le RGPD appliqué aux outils IA en formation

L’usage massif d’outils IA en formation depuis 2023-2024 (ChatGPT, Claude, Gemini, outils métier basés sur des LLM) soulève des questions RGPD spécifiques que la CNIL a commencé à cadrer dans plusieurs publications récentes.

Les 5 règles à appliquer pour un OF utilisant l’IA

• Ne jamais soumettre de données personnelles d’apprenants à un outil IA grand public (ChatGPT free/Plus par exemple) sans consentement explicite et information préalable
• Privilégier les offres « entreprise » (ChatGPT Enterprise, Claude for Work, Copilot for Business) qui garantissent contractuellement la non-utilisation des données pour l’entraînement
• Documenter les traitements IA dans le registre : quels outils, quelles données, quelles finalités
• Informer les apprenants quand une correction, une évaluation ou une recommandation implique un traitement IA
• Prévoir un recours humain : l’article 22 du RGPD interdit toute décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé

L’articulation RGPD × EU AI Act

Le règlement européen sur l’IA entré en vigueur en 2024 s’applique progressivement jusqu’en 2027. Il ne remplace pas le RGPD, il s’y ajoute. Pour un OF, cela signifie : classification des systèmes IA utilisés selon leur niveau de risque (les outils d’évaluation d’apprenants pourraient tomber dans la catégorie « haut risque » selon leur usage), transparence renforcée, documentation technique disponible. Les OF qui déploient des solutions IA propriétaires doivent commencer dès maintenant l’analyse de conformité. Voir aussi notre pilier agents IA pour l’usage en formation et notre pilier Claude pour l’outil spécifique.

---

Les sanctions CNIL récentes dans le secteur formation

La CNIL a considérablement intensifié ses contrôles sur le secteur formation depuis 2022, principalement en lien avec les dérives du CPF. Les sanctions publiées sur le site de la CNIL donnent une idée précise des risques.

• Démarchage téléphonique abusif : amendes de 100 000 à 500 000 € contre plusieurs OF entre 2022 et 2024
• Défaut d’information des personnes lors de la collecte : sanctions typiques 20 000-80 000 €
• Absence de registre ou registre incomplet : mise en demeure publique et amendes
• Conservation excessive des données au-delà des durées légales : rappel à l’ordre voire amende
• Défaut de sécurité (fuite de données, absence de chiffrement) : sanctions les plus lourdes, jusqu’à plusieurs millions d’euros pour les grosses structures

Le maximum théorique reste 4% du CA mondial annuel ou 20 M€, mais dans la pratique française les sanctions restent proportionnées à la taille de l’OF. Ce qui doit dissuader n’est pas seulement le montant mais la publicité de la sanction : le nom de l’OF sanctionné est publié, ce qui détruit la confiance des clients et des financeurs (OPCO, Caisse des Dépôts) sur des années.

---

Mettre en place une politique de confidentialité robuste

La politique de confidentialité est le document public par lequel un OF matérialise ses engagements RGPD auprès de ses apprenants, prospects et visiteurs. Un texte générique copié-collé depuis un modèle en ligne n’offre aucune protection réelle en cas de contrôle.

Les 8 sections indispensables

• Identité du responsable de traitement — raison sociale, adresse, contact DPO le cas échéant
• Nature des données collectées — identité, coordonnées, données de formation, données de connexion, cookies
• Finalités précises — gestion des inscriptions, facturation, animation pédagogique, marketing
• Bases légales — contrat, obligation légale, intérêt légitime ou consentement selon les traitements
• Destinataires — sous-traitants (hébergeur, LMS, CRM, comptable), autorités publiques (Caisse des Dépôts, OPCO)
• Durées de conservation — traitement par traitement
• Droits des personnes — accès, rectification, effacement, opposition, portabilité, procédure de réclamation à la CNIL
• Transferts hors UE — si outils américains type Google Workspace, Microsoft 365 ou HubSpot, mentionner les garanties (clauses contractuelles types, Data Privacy Framework)

Le document doit être accessible en un clic depuis toutes les pages du site, écrit dans un langage clair (recommandation CNIL, principe de « loyauté et transparence »), et mis à jour dès qu’un traitement nouveau apparaît. Un OF qui déploie un nouveau CRM, une nouvelle plateforme LMS ou un nouveau chatbot IA doit systématiquement mettre à jour sa politique.

Le cas des sous-traitants et l’article 28

Un OF confie inévitablement une partie du traitement de données à des sous-traitants : hébergeur du site, plateforme LMS, CRM, logiciel de facturation, prestataire d’emailing, expert-comptable. L’article 28 du RGPD impose la signature d’un contrat de sous-traitance ou d’un accord de traitement des données (DPA — Data Processing Agreement) avec chacun. Sans ce document, le responsable de traitement (l’OF) reste seul juridiquement responsable en cas d’incident de sécurité chez le sous-traitant. La plupart des grands prestataires (Google, Microsoft, HubSpot, Brevo, Digiforma) fournissent leur DPA en téléchargement direct. Un OF doit centraliser ces documents dans un dossier dédié, opposable en cas de contrôle, et les réviser à chaque renouvellement d’abonnement significatif.

Un dernier réflexe : documenter chaque incident de sécurité, même mineur (email envoyé à la mauvaise personne, tentative de phishing sur un collaborateur, perte temporaire d’un fichier). Cette traçabilité protège l’OF en cas de contrôle et permet d’identifier les failles récurrentes avant qu’elles ne deviennent une violation majeure notifiable à la CNIL sous 72 heures.

Questions fréquentes sur le RGPD en formation

Un OF de petite taille est-il vraiment concerné par le RGPD ?

Oui, dès le premier apprenant. Le RGPD ne prévoit pas de seuil d’exemption pour les petites structures. En revanche, les obligations sont proportionnées à l’activité : un OF de 3 personnes n’a pas besoin des mêmes procédures qu’une grande école. Mais il doit avoir un registre, des DPA, une politique de confidentialité.

Combien de temps garder les données d’un apprenant ?

10 ans pour les données liées aux obligations comptables et Qualiopi (contrats, factures, émargements, attestations). 3 ans pour les données de prospection après dernier contact. 2 ans max pour les candidatures spontanées non retenues. Au-delà, les données doivent être purgées ou anonymisées.

Peut-on utiliser ChatGPT ou Claude pour traiter des données d’apprenants ?

Oui à condition d’utiliser un compte Team ou Enterprise (ou l’API) avec DPA signé, engagement de non-entraînement, et hébergement approprié. Non avec un compte grand public gratuit ou Pro, où les données peuvent être réutilisées pour améliorer les modèles. Pour un OF, la solution la plus sûre en 2026 est Claude via AWS Bedrock Frankfurt (hébergement UE + DPA AWS).

Que faire en cas de violation de données ?

Notification à la CNIL sous 72 heures (via téléservice dédié), et information des personnes concernées si le risque est élevé (accès non autorisé à des données sensibles, fuite massive). Documenter l’incident, les mesures prises et le calendrier de résolution. Un OF qui ne notifie pas s’expose à des sanctions supplémentaires.

Faut-il le consentement des apprenants pour tout traitement ?

Non. Le consentement est une des 6 bases légales, mais pas la seule ni la plus pertinente pour un OF. La gestion administrative des apprenants s’appuie sur le contrat de formation (base « exécution du contrat »). Les obligations légales (facturation, émargements, Qualiopi) sur la base « obligation légale ». Le consentement s’impose surtout pour la prospection commerciale, les enregistrements vidéo, ou les traitements optionnels.

Un apprenant peut-il exiger la suppression de son dossier de formation ?

Non pour ce qui concerne les données obligatoires (émargements, attestations, données comptables) — l’obligation légale prévaut sur le droit à l’effacement. Oui pour les données non obligatoires (prospection commerciale, coordonnées non-nécessaires). Le refus d’effacement partiel doit être motivé et documenté.

L’utilisation de Zoom ou Google Meet est-elle conforme au RGPD ?

Oui sous conditions : usage de la version Business/Enterprise avec DPA signé, activation des options de sécurité (chiffrement, contrôle d’accès), gestion des transferts hors UE via le DPF (les deux éditeurs y sont certifiés). Les versions gratuites grand public ne sont pas recommandées pour un usage professionnel avec données d’apprenants.

---

Pour aller plus loin

Trois piliers complémentaires à explorer pour approfondir le sujet dans son écosystème.

• EU AI Act
• Qualiopi
• Agents IA