Données personnelles
Ce que le RGPD demande à une crèche : responsable du traitement, information des familles, santé, conservation, droits et photos.
Ce que le RGPD et la CNIL demandent à l'établissement sur les données des enfants, des familles et de l'équipe. Cette page s'adresse à la direction, qui répond de ces données. Ce que fait Kidino pour les protéger est décrit dans Sécurité et RGPD.
Qui est responsable du traitement
Sur les dossiers des enfants, des familles et de l'équipe, c'est votre établissement — son gestionnaire — le responsable du traitement. Kidino est votre sous-traitant (art. 28 du RGPD) : il héberge et traite ces données pour votre compte, selon votre accord de traitement.
Le registre des traitements est obligatoire pour une crèche, quelle que soit sa taille : le fichier des enfants n'est pas occasionnel et contient des données de santé (CNIL, le registre). Inscrivez-y le dossier des enfants, la facturation, le pointage de l'équipe et les pré-inscriptions.
Ce que vous devez dire aux familles
Quand vous recueillez les informations d'une famille, vous lui donnez une mention d'information (art. 13 du RGPD) : qui est responsable du traitement, à quoi servent les données, qui les lit, combien de temps elles sont gardées, et comment exercer ses droits.
Le formulaire de pré-inscription de Kidino montre cette mention à la famille, au nom de votre établissement. Pour le dossier d'une famille admise, c'est à vous de la donner, par exemple dans le dossier d'admission ou le règlement de fonctionnement.
Les données de santé
Vaccins, allergies, PAI, médicaments donnés, motif d'un arrêt maladie : ce sont des données de santé, une catégorie particulière du RGPD (art. 9). Ne recueillez que ce qui sert à l'accueil, limitez qui les lit, et mentionnez-les dans votre registre.
Les règles propres au dossier santé — vaccins, certificat, médicaments — sont dans Le dossier santé de l'enfant.
Combien de temps garder les données
Les durées de conservation vous reviennent, comme responsable du traitement. Les repères :
- le dossier d'un enfant : la CNIL recommande qu'une crèche efface les informations sur un enfant au plus tard trois ans après son départ (CNIL, conservation en crèche) ;
- les factures se conservent dix ans (art. L123-22 du Code de commerce), et les pièces que la Caf peut contrôler, plus longtemps que la fiche — voir Accueil PSU ;
- les documents qui comptent les heures de chaque salarié restent à la disposition de l'inspection du travail pendant un an (C. trav. D3171-16) ; une réclamation de salaire se prescrit par trois ans (art. L3245-1 du Code du travail) ;
- le registre unique du personnel se conserve cinq ans après le départ du salarié (C. trav. R1221-26).
Le référentiel de la CNIL sur les données RH récapitule les autres durées du personnel. Les pré-inscriptions non suivies d'admission ont leurs propres durées, fixées par Kidino : voir Pré-inscriptions.
Les droits des familles et de l'équipe
Chaque parent et chaque salarié peut demander l'accès à ses données, leur rectification ou leur effacement (art. 15 à 17 du RGPD). La demande vous est adressée, comme responsable du traitement : donnez une adresse de contact dans votre mention d'information.
Les données de l'équipe
Le pointage est un dispositif de contrôle des horaires. Avant de le lancer, informez vos salariés — à quoi il sert, qui lit les heures, combien de temps elles sont gardées —, informez ou consultez au préalable le CSE s'il existe, et inscrivez-le à votre registre des traitements (CNIL, contrôle des horaires). Pour cet usage, la CNIL juge excessif un badge portant la photo du salarié.
Un arrêt maladie est une donnée de santé : notez le motif d'une absence, pas son détail médical, et réservez-le à la direction et au salarié concerné.
Les photos et le droit à l'image
L'image d'un enfant relève du respect de sa vie privée (art. 9 du Code civil) : ne publiez que les photos des enfants dont les familles ont signé une autorisation, même dans un espace réservé aux parents de l'établissement. L'accord écrit des parents en est la preuve (CNIL).
Dans Kidino : Sécurité et RGPD · Pré-inscriptions · Rôles et accès · Inviter l'équipe · Absences des employés · Partager avec les familles.