RGPD en crèche : le registre des traitements que vous devez pouvoir montrer
Par Cyril Polizzi — fondateur de Solencis Kids, ancien directeur de crèche.
Le registre des activités de traitement est un document interne : personne ne vous demande de l'envoyer quelque part, mais l'article 30, paragraphes 3 et 4 du RGPD veut qu'il existe sous forme écrite — papier ou électronique — et que vous le mettiez « à la disposition de l'autorité de contrôle sur demande ». Il dit, traitement par traitement, ce que vous faites des données des familles et de l'équipe : à quoi ça sert, à quel titre, qui les reçoit, combien de temps vous les gardez. Une crèche en compte une douzaine, et vous les faites déjà toutes — c'est un travail de mise à plat, pas un projet.
Non, vous n'êtes pas dispensée parce que vous avez moins de 250 employés
C'est la première objection qu'on entend, et elle part d'une vraie phrase du texte : l'article 30, paragraphe 5 du règlement (UE) 2016/679 écarte l'obligation pour « une entreprise ou une organisation comptant moins de 250 employés ». Sauf qu'elle tombe dès qu'une seule des conditions énoncées juste après est remplie. L'Autorité de protection des données en donne la lecture officielle et en compte quatre : un traitement qui comporte un risque pour les droits et libertés, un traitement de données sensibles, un traitement de données judiciaires, ou — celle qui emporte tout le reste — un traitement habituel, l'APD citant explicitement en exemple la gestion de la clientèle, la gestion du personnel et la gestion des fournisseurs.
Une crèche note des allergies, un PAI, un statut vaccinal, et le fait tous les jours de l'année : données concernant la santé, donc sensibles, et traitement habituel. Deux conditions sur quatre, chacune suffisante. Partez du principe que le registre vous concerne — l'APD détaille les exceptions ici.
Ce qu'une ligne de registre doit dire
Avant les lignes, une en-tête — et c'est la mention qu'on oublie le plus souvent. L'article 30, paragraphe 1, a) demande le nom et les coordonnées du responsable du traitement — la crèche — et, si vous en avez désigné un, du délégué à la protection des données. L'APD demande d'y joindre la liste de vos sous-traitants. Cela s'écrit une fois, en haut du document, pas à chaque ligne.
Ensuite, une ligne par traitement, et huit informations pour chacune : elles tiennent sur une page. Sept reprennent les points b) à g) de l'article 30, paragraphe 1 — le point c) en fournit deux à lui seul, les personnes concernées et les catégories de données. La huitième, la base légale, n'y figure pas : l'APD la range parmi les « informations complémentaires, non listées dans le RGPD » qu'un registre a tout intérêt à porter. Autant l'écrire tout de suite.
- La finalité — à quoi ça sert, en une phrase, du point de vue de la crèche.
- La base légale — contrat d'accueil, obligation légale, intérêt légitime ou consentement. Pour les données de santé, il faut en plus un motif propre aux catégories particulières. (La seule des huit que l'article 30 n'impose pas noir sur blanc.)
- Les personnes concernées — enfants, parents, personnel, candidats à l'inscription.
- Les catégories de données — pas la liste de vos champs : les familles. Identité, coordonnées, santé, revenus, présences.
- Les destinataires — qui reçoit ou consulte, dedans comme dehors : l'ONE, le comptable, le secrétariat social, la banque, votre prestataire d'e-mails.
- La durée de conservation — la colonne qui coince. On y revient.
- Les mesures de sécurité — qui a accès à quoi, où c'est stocké, ce qui est chiffré, ce qui est sous clé.
- Les transferts hors de l'Espace économique européen — le règlement, lui, écrit « vers un pays tiers » —, s'il y en a. Vérifiez chez vos prestataires plutôt que de cocher « non » par réflexe.
La liste des traitements d'une crèche, celle que personne n'écrit en entier
Voici ceux qu'on retrouve dans à peu près tous les milieux d'accueil. Le but n'est pas de recopier la liste, c'est de voir ce qui manque à la vôtre.
- Inscriptions et liste d'attente — y compris les demandes que vous refusez : ce sont des données, elles aussi.
- Dossier administratif de l'enfant et de la famille — identité, numéro national, lien de garde, personnes autorisées à reprendre l'enfant, contacts d'urgence.
- Données de santé de l'enfant — allergies, PAI, vaccinations, suivi médical. Catégorie particulière : à isoler, pas à noyer dans le dossier administratif.
- Présences et pointage — elles alimentent la facturation et vos justificatifs de fréquentation.
- Facturation, participation financière et attestations fiscales — revenus du ménage, composition de la famille, mandat de domiciliation.
- Carnet de liaison et journal de bord — repas, sommeil, activités, photos du quotidien.
- Photo d'identification de l'enfant — celle qui sert à le reconnaître en section et qui part sur la fiche d'urgence. Pas le même traitement que le carnet.
- Communication avec les parents — messages, e-mails, historique d'envoi.
- Gestion du personnel — contrats, numéro national, congés, évaluations, subsides.
- Registre des incidents et accidents — chute, morsure, soins donnés, information des parents.
- Site web et formulaire de pré-inscription — un formulaire collecte, même sans création de compte.
- Coffre d'identifiants — vos accès ONE, banque, logiciels. Personne n'y pense, et c'est pourtant un traitement.
Les trois derniers manquent presque toujours. Et si une aide automatique intervient quelque part chez vous — lire une fiche de salaire, rédiger un courrier —, c'est un traitement de plus, avec un destinataire de plus.
Deux erreurs qu'on voit à chaque fois
Écrire le nom de son logiciel dans la colonne « traitement »
Le traitement, c'est la finalité : « suivre les présences pour facturer et justifier la fréquentation ». Le logiciel est un moyen, et son éditeur un sous-traitant : sa place est dans la liste des sous-traitants, en en-tête du registre, jamais dans la colonne « traitement » — et il vous doit le contrat exigé par l'article 28, paragraphe 3 du RGPD — que le paragraphe 9 du même article veut « sous une forme écrite, y compris en format électronique ». Inscrire le nom d'un outil dans la première colonne rend votre registre faux le jour où vous en changez — alors que vos traitements, eux, n'auront pas bougé. Réclamez cet accord de sous-traitance à chacun de vos prestataires ; le nôtre est public.
Traiter toutes les photos comme un seul « droit à l'image »
Raconter la journée aux parents et permettre à l'équipe de reconnaître un enfant en cas d'urgence ne sont pas la même finalité. Or le consentement doit être spécifique : une case unique ne couvre pas les deux, et surtout, les deux ne se retirent pas de la même façon. Retirer l'accord pour le carnet, c'est arrêter de publier. Retirer l'accord pour la photo d'identification, c'est supprimer un fichier — y compris sur la fiche d'urgence imprimée qui dort encore dans un classeur.
Les durées de conservation : la colonne qui coince
C'est la seule colonne qu'aucun modèle ne peut remplir à votre place, parce que trois régimes se superposent chez vous : le réglementaire lié à votre agrément, le comptable et fiscal pour tout ce qui justifie un montant, le social pour les dossiers du personnel. Ils ne donnent pas les mêmes délais, et sur une même donnée, c'est le plus long qui l'emporte.
Deux raccourcis à éviter. « On garde tout, on ne sait jamais » n'est pas une durée : c'est l'absence de décision, précisément ce que le registre doit documenter. Et « on efface tout au départ de l'enfant » est faux dans l'autre sens : vos factures et vos présences déclarées justifient de l'argent, elles ne disparaissent pas parce qu'une famille est partie.
Le geste qui débloque : trois sorts possibles, pas deux
Ce qui coince, c'est de croire qu'il faut choisir entre garder et supprimer. Sur chaque donnée, il y a trois issues.
- Supprimer — la donnée disparaît : vie quotidienne, texte libre, observations, et coordonnées de tiers qui n'ont jamais rien signé chez vous (la voisine autorisée à venir chercher l'enfant).
- Caviarder — la trace reste, le contenu identifiant part. Un certificat justifie des absences non facturées : gardez le type et les dates, qui expliquent la facture ; effacez le motif médical, qui n'explique rien à un contrôle comptable.
- Conserver — intouché, parce qu'une obligation légale l'impose. Le règlement pose lui-même cette limite à l'article 17, paragraphe 3, b) : le droit à l'effacement ne s'applique pas quand le traitement est nécessaire au respect d'une obligation légale. Autrement dit, on ne peut pas vous demander de supprimer ce que la loi vous oblige à garder.
Appliquez ces trois cases à chaque ligne de votre registre, et la colonne « durée » s'écrit presque toute seule.
« Un parent demande l'effacement des photos de son enfant »
Ça arrive, souvent au départ de l'enfant, parfois au milieu d'une année compliquée. Voici l'ordre dans lequel s'y prendre.
- Accusez réception et notez la date. L'article 12, paragraphe 3 du RGPD vous donne un mois pour répondre, prolongeable de deux mois si la demande est complexe — mais à condition d'informer le parent de la prolongation et de son motif dans le mois de la demande. Le dire avant, donc, jamais après.
- Demandez ce qui est visé. « Les photos » peut désigner celles du carnet, celle du porte-manteau, celle de la fiche d'urgence, ou tout le dossier. Ce n'est pas une manœuvre : c'est ce qui vous permet de répondre juste.
- Séparez ce qui repose sur un consentement du reste. Une photo repose sur un accord : retiré, il n'y a rien à négocier, on supprime. Les factures, les présences déclarées et les pièces à obligation légale, elles, ne s'effacent pas — et vous avez le droit de le dire.
- Faites la liste des endroits, pas des logiciels. Le carnet en ligne, l'album partagé, la photo plastifiée au vestiaire, la fiche d'urgence dans le classeur, le téléphone de la section, la clé USB du spectacle de fin d'année. C'est là que ça se perd.
- Répondez par écrit, en distinguant ce qui a été supprimé, ce qui est conservé, et pourquoi. Une réponse qui explique passe presque toujours ; une réponse évasive fabrique une plainte.
- Gardez la trace : date, qui a fait quoi, sur quel périmètre. C'est votre preuve.
Ce qui rend un consentement solide
Trois de ces quatre points sont écrits dans le règlement lui-même — à l'article 4, 11) pour la définition, à l'article 7 pour les conditions.
- Spécifique — un accord par finalité, jamais une case fourre-tout (article 4, 11).
- Libre — l'accueil de l'enfant ne peut pas dépendre de l'autorisation de le photographier. L'article 7, paragraphe 4 demande de « tenir le plus grand compte » de la question de savoir si l'exécution d'un contrat est subordonnée à un consentement qui n'est pas nécessaire à ce contrat : c'est le critère par lequel s'apprécie le caractère libre d'un accord.
- Daté — sans date, vous ne savez plus ce qui a été accordé, ni sous quelle version de votre notice.
- Aussi simple à retirer qu'à donner — l'article 7, paragraphe 3 le dit en une phrase : « Il est aussi simple de retirer que de donner son consentement. » Si le donner tient en une case et le retirer exige un recommandé, il ne tient pas.
Et un point contre-intuitif, qui sauve : la preuve du consentement doit survivre à son retrait. Quand un parent retire son accord, vous supprimez les photos, mais vous gardez la trace qu'un accord avait été donné, à telle date, et retiré à telle autre. C'est elle qui démontre que les images publiées l'an dernier l'étaient licitement. Effacer le consentement avec la photo, c'est effacer votre propre défense.
Par où commencer, cette semaine
- Prenez la journée réelle, dans l'ordre : une demande d'inscription, un contrat, une arrivée le matin, une facture, un mot dans le carnet, une chute, une fiche de paie. Chaque étape est un traitement — écrivez sa finalité en une phrase, sans nommer un seul logiciel.
- Listez qui reçoit les données à l'extérieur. Chaque prestataire vous doit un contrat de sous-traitance : demandez-le. Si personne ne sait vous répondre, c'est déjà une information.
- Mettez une durée sur chaque ligne, même provisoire, et notez d'où elle vient. « À valider » est une mention honnête ; une case vide n'en est pas une.
- Datez le document, signez-le, puis faites relire bases légales et durées par un DPO ou un juriste. Un registre daté et imparfait vaut infiniment mieux qu'un registre parfait qui n'existe pas.
Un mot sur les modèles, puisque c'est ce qu'on cherche en premier. Il en circule de bons, et ce qu'ils vous font gagner, c'est la page blanche : une douzaine de traitements déjà rédigés, à corriger plutôt qu'à inventer. Mais un modèle ne déplace jamais la signature : le registre est le document du responsable du traitement, c'est-à-dire la crèche, jamais son éditeur de logiciel. Les durées, elles, restent votre décision. Et l'endroit où sont hébergées vos données se demande au moment de choisir l'outil, pas trois ans plus tard : c'est l'une des sept questions à poser avant de signer.
Sources
Source officielle : Autorité de protection des données — « Registre des activités de traitement » : le registre, ses exceptions, son contenu (consulté le 21 août 2026)
Source officielle : Autorité de protection des données — « Droits des citoyens » : le délai d'un mois de l'article 12, §3, et sa prolongation (consulté le 21 août 2026)
Source officielle : Autorité de protection des données — « Droit à l'effacement » : les exceptions de l'article 17, §3 (consulté le 21 août 2026)