Un établissement d'enseignement catholique traite les données de ses élèves, de leurs familles et de son personnel, ce qui oblige à savoir qui en répond et à quelles conditions. Pour les traitements qu'il conduit pour son propre compte, l'OGEC en est le responsable et doit justifier pour chacun d'une base légale, d'une information des personnes et d'une durée de conservation limitée.
Le gestionnaire est partie au contrat d'enseignement passé avec les parents et employeur du personnel d'administration (C. éduc. art. R. 442-59). L'OGEC détermine ainsi les finalités et les moyens des traitements liés à l'inscription, à la facturation, à la restauration, à la paie et à la sécurité de ses bâtiments ; le chef d'établissement les met en œuvre dans le cadre de la délégation écrite du conseil d'administration (Statut du chef d'établissement art. 2.4).
D'autres traitements sont imposés par l'État aux établissements privés sous contrat. Les questionnaires « Brisons le silence », remis notamment après un voyage scolaire avec nuitée, sont examinés sous la responsabilité du chef d'établissement, au titre d'une mission d'intérêt public, et conservés 5 ans au plus (Décret 2026-369 du 13-5-2026 art. 1er, 2, 5 et 6). Les pages officielles désignant le responsable de traitement ne visent que l'enseignement public et ne règlent pas les rôles, dans le privé sous contrat, pour les applications nationales de gestion des élèves.
Pour le registre des traitements, la dispense prévue sous 250 salariés ne joue ni pour les traitements non occasionnels, comme la gestion des élèves ou la paie, ni pour les données de santé (RGPD art. 30, 5). La désignation d'un délégué à la protection des données dépend d'un traitement à grande échelle, notion que le règlement ne définit pas (RGPD art. 37, 1).
L'exécution du contrat de scolarisation fonde l'inscription, la facturation et la restauration ; une obligation légale peut en fonder d'autres, comme l'intérêt légitime de l'OGEC, sauf, pour ce dernier, si prévalent les droits de la personne, « notamment lorsque la personne concernée est un enfant » (RGPD art. 6 ; Loi 78-17 du 6-1-1978 art. 5). La mention d'information du dossier d'inscription nomme l'OGEC et indique les finalités, la base de chaque traitement, les destinataires et la durée de conservation (RGPD art. 13).
Pour l'offre directe de services de la société de l'information, le mineur consent seul à partir de 15 ans ; en dessous, le consentement est donné conjointement par lui et par les titulaires de l'autorité parentale (Loi 78-17 du 6-1-1978 art. 45). Ce seuil ne vaut pas pour l'image : la diffusion de la photographie d'un élève suppose l'autorisation de ses représentants légaux (C. civ. art. 9), à recueillir par écrit pour chaque usage.
Les projets d'accueil individualisé ou le registre de l'infirmerie sont des données de santé ; l'inscription à la catéchèse révèle des convictions religieuses. Leur traitement est interdit sauf exception, dont le consentement explicite (RGPD art. 9). La prudence en réserve l'accès aux personnes qui en ont besoin.
Selon la CNIL, une liste de classe affichée à l'extérieur ne l'est que brièvement et se limite au prénom et à l'initiale du nom (CNIL, fiche du 2-4-2025 sur les listes de classes). Les caméras filment les accès et les circulations, non, sauf exception, les lieux de vie pendant les heures d'ouverture, et leurs images sont conservées quelques jours en règle générale (CNIL, fiche du 12-9-2025 sur les dispositifs vidéo). La CNIL subordonne l'accès biométrique à la cantine au consentement des représentants légaux et à une alternative sans préjudice, tel un badge (CNIL, fiche du 18-8-2021 sur la biométrie en cantine).
Les informations demandées au candidat présentent un lien direct et nécessaire avec l'emploi (C. trav. art. L. 1221-6) ; le casier judiciaire est traité dans la fiche sur le recrutement. Aucune information personnelle sur un salarié n'est collectée par un dispositif dont il n'a pas été informé (C. trav. art. L. 1222-4).
Le CSE, s'il existe, est consulté avant la décision de mettre en œuvre un moyen de contrôle de l'activité des salariés (C. trav. art. L. 2312-38). La caméra installée pour la sécurité des élèves, qui filme aussi le personnel, en relève si elle permet un tel contrôle ; le droit commun de la surveillance des salariés et vidéosurveillance s'applique pour le reste.
Les maîtres des classes sous contrat, agents publics, ne sont pas liés à l'établissement par un contrat de travail au titre de leur enseignement (C. éduc. art. L. 442-5). Filmés par les dispositifs de l'OGEC, ils reçoivent l'information due à toute personne concernée (RGPD art. 13). Pour le personnel salarié, le référentiel de la CNIL du 2 avril 2026 recense les durées de conservation, obligatoires ou recommandées.
Parmi les contrats de l'OGEC, celui conclu avec l'éditeur d'un logiciel de vie scolaire ou de paie suppose que ce sous-traitant présente des garanties suffisantes et définit notamment l'objet, la durée, la finalité du traitement et les données concernées (RGPD art. 28, 1 et 3). Une violation de données est notifiée à la CNIL si possible dans les 72 heures de sa découverte, sauf absence de risque pour les personnes (RGPD art. 33, 1).
Aucun référentiel de la CNIL ne fixe de durée pour les dossiers d'élèves : l'OGEC arrête la sienne, sans excéder la durée nécessaire à la finalité (RGPD art. 5). Les données de facturation peuvent suivre le délai d'action, de 2 ans pour l'action d'un professionnel contre un consommateur, si le contrat en relève, et de 5 ans en droit commun (C. consom. art. L. 218-2 ; C. civ. art. 2224).
Xavier Berjot, avocat associé, Cabinet SANCY Avocats. État du droit au 9 octobre 2026.
Le premier échange est gratuit. 30 minutes pour comprendre votre situation, identifier les enjeux et vous orienter. Sans engagement.
