Le Règlement général sur la protection des données (RGPD) est en vigueur depuis 2018 en France. Il impose à toute entreprise qui collecte des informations personnelles sur des personnes physiques de les informer, de les protéger et d’en limiter l’utilisation. Pour les auto-écoles, le RGPD implique une vigilance accrue concernant les données personnelles des élèves.
Constituer un registre de traitement des données
Grâce au modèle fourni par la CNIL (Commission nationale informatique et libertés), chaque entreprise peut cartographier toutes les données personnelles collectées et préciser :
- Les intervenants qui collectent ces données (un salarié, un partenaire ou un représentant, un expert-comptable qui gère la comptabilité de l’auto-école) ;
- Les catégories de données traitées : dans une école de conduite, il s’agira au minimum du nom, prénom, adresse, date de naissance et numéro de portable de chaque élève ;
- L’objectif poursuivi par la collecte de ces données : par exemple la facturation de vos services ;
- L’accès aux données : qui accède à ces informations en interne ou en externe, à qui les données personnelles des élèves sont communiquées. Par exemple, l’adresse peut être accessible à la personne qui émet les factures mais pas au formateur ;
- La conservation des données : combien de temps vous gardez ces données au niveau opérationnel et combien de temps vous conservez les archives ;
- La sécurisation des données.
Cette première étape permet de faire un audit des pratiques et du cheminement des données personnelles recueillies dans une école de conduite.
Améliorer les pratiques de l’auto-école en matière de données personnelles
Vous serez ensuite en mesure d’optimiser la collecte des données traitées dans votre école de conduite, en mettant l’accent sur les points suivants :
- Limiter la collecte des données personnelles au strict nécessaire (par exemple, demander l’existence de frère et sœur n’a pas d’intérêt direct) ;
- Ne pas collecter de données dites sensibles ;
- Limiter les personnes en contact avec les données de vos élèves ;
- Automatiser au maximum les processus de collecte et de conservation pour améliorer la sécurité ;
- Informer les élèves de la collecte de leurs données : l’arrêté du 29 mai 2020 définissant le modèle de contrat type pour l’enseignement de la conduite pour la catégorie B du permis de conduire intègre cette notion
- Autoriser facilement un droit d’accès, de rectification ou de suppression des données personnelles au moyen d’un formulaire en ligne ou d’un email.
Eviter les sanctions
Les sanctions en cas de non-respect du RGPD sont lourdes. Après une année de tolérance, la CNIL a commencé à sanctionner les mauvaises pratiques. En premier lieu, un avertissement ou une mise en demeure est adressé à l’entreprise, suivie d’une injonction de mise en conformité. Enfin, des sanctions financières peuvent être décidées, allant jusqu’à 2 % du chiffre d’affaires ou 20 millions d’euros d’amende.
L’ordre des experts-comptables travaille en partenariat avec la CNIL pour faciliter l’adoption des bonnes pratiques au sein des petites entreprises.
Pour éviter les sanctions, la mise en conformité n’est pas si compliquée pour une auto-école. En effet, les traitements sont largement automatisés et les éditeurs de logiciels sont désormais en phase avec les exigences. Si un doute persiste, contactez un expert-comptable spécialisé dans les écoles de conduite.
