Protection des données élèves : loi 09-08 et école privée

La protection des données élèves et la loi 09-08 sont devenues un sujet de direction, pas seulement un sujet juridique. Une école privée au Maroc détient chaque année des centaines de dossiers : identité de l'enfant, adresse, téléphone des parents, profession, situation familiale, parfois informations de santé, absences, incidents de discipline, paiements. Ces données sont précieuses pour bien gérer l'établissement, mais elles engagent votre responsabilité. Ce guide vous explique, de façon concrète, ce que la loi 09-08 implique pour une école privée, comment s'organiser avec la CNDP, comment obtenir et documenter le consentement des parents, comment sécuriser les accès au quotidien et comment un logiciel comme Nori peut vous aider à mettre de l'ordre sans alourdir le travail de vos équipes.

Ce n'est pas un avis juridique. Pour les points précis (formalités exactes, délais, cas particuliers), vérifiez toujours les textes en vigueur et les publications de la CNDP, ou faites-vous accompagner par un juriste. Notre objectif est opérationnel : vous donner une méthode, des modèles et des réflexes applicables dès la semaine prochaine.

Pourquoi la protection des données élèves concerne directement le directeur

Beaucoup de directeurs pensent que la protection des données est l'affaire du service informatique ou d'un avocat. En réalité, dans une école privée, ce sont les décisions de gestion quotidiennes qui créent ou réduisent le risque :

• qui a le droit de consulter le dossier complet d'un élève ;
• où sont stockées les fiches d'inscription papier ;
• qui envoie les listes de classes dans des groupes WhatsApp ;
• qui publie les photos de la fête de fin d'année sur la page Facebook de l'école ;
• combien de temps on garde les dossiers des anciens élèves ;
• que fait-on quand un parent séparé demande l'adresse de l'autre parent.

Chacune de ces situations est une question de traitement de données personnelles. Et chacune engage la responsabilité de l'établissement, donc de sa direction.

Ce que l'école a à perdre

Le risque n'est pas seulement une sanction. Il est surtout réputationnel. Une école vit de la confiance des familles. Une fuite de numéros de téléphone, une liste d'impayés qui circule, une photo d'enfant publiée sans accord, un dossier médical laissé sur un bureau : il suffit d'un incident pour qu'un groupe de parents en parle, et l'image de l'école en souffre pendant des années.

À l'inverse, une école qui montre qu'elle prend soin des données des enfants envoie un signal de sérieux. Lors des inscriptions, un parent qui lit une notice d'information claire et voit un formulaire de consentement bien fait comprend que l'établissement est bien tenu.

Les données sensibles d'une école

Toutes les données ne se valent pas. Dans une école, on trouve plusieurs catégories :

Catégorie	Exemples	Niveau de sensibilité
Identification	nom, prénom, date de naissance, photo, code Massar	moyen
Coordonnées	adresse, téléphone et e-mail des parents	moyen
Situation familiale	parents séparés, tutelle, garde	élevé
Santé	allergies, maladies chroniques, handicap, traitement	très élevé
Scolarité	absences, retards, incidents de discipline	élevé
Financier	frais dus, retards de paiement, bourses, réductions	élevé
Personnel	salaires, congés, documents RH des enseignants	élevé

Les données de santé et les données qui peuvent révéler une situation familiale ou sociale (par exemple une bourse accordée pour difficultés financières) demandent une attention particulière : accès très restreint, finalité précise, et jamais de diffusion en dehors de ceux qui en ont strictement besoin.

La loi 09-08 en clair pour une école privée

La loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel encadre la manière dont les organismes collectent, utilisent, conservent et transmettent les données des personnes. La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) est l'autorité chargée de veiller à son application.

Pour une école, il faut retenir quelques grands principes, que l'on retrouve aussi dans la plupart des législations modernes de protection des données.

1. La finalité : on collecte pour une raison précise

Chaque donnée doit servir un objectif clair et légitime : inscrire l'élève, organiser sa scolarité, assurer sa sécurité, facturer les frais, communiquer avec les parents. Vous ne collectez pas « au cas où ». Si une information n'a pas d'usage défini, ne la demandez pas.

Exemple : demander la profession des parents peut être utile pour une étude de bourse, mais n'a pas besoin de figurer sur la fiche que consulte l'enseignant. Demander le revenu exact du foyer à toutes les familles est disproportionné si seules quelques familles demandent une bourse.

2. La proportionnalité : le minimum nécessaire

Collectez les données adéquates, pertinentes et non excessives. Un formulaire d'inscription de quatre pages avec quarante champs n'est pas une preuve de sérieux, c'est un risque. Chaque champ doit pouvoir être justifié.

3. L'exactitude : des données à jour

Un numéro de téléphone faux est un problème de sécurité (on ne peut pas joindre le parent en cas d'urgence) et un problème juridique (les données doivent être exactes et mises à jour). Prévoyez une vérification annuelle à la rentrée.

4. La durée de conservation limitée

On ne garde pas tout pour toujours. Il faut définir combien de temps chaque type de données est conservé, puis archiver ou supprimer. Certaines pièces (comptables par exemple) ont des durées de conservation imposées par d'autres textes ; d'autres (photos d'événements, notes internes) peuvent être supprimées bien plus tôt.

5. La sécurité et la confidentialité

L'école doit prendre des mesures techniques et organisationnelles pour protéger les données contre la perte, l'accès non autorisé, la divulgation. Cela va du placard fermé à clé au mot de passe individuel, en passant par les droits d'accès par rôle.

6. Les droits des personnes

Les parents (et les élèves selon leur âge) disposent de droits : être informés, accéder aux données, les faire rectifier, s'opposer à certains traitements pour des motifs légitimes. L'école doit pouvoir répondre à ces demandes dans un délai raisonnable.

7. Les formalités auprès de la CNDP

Selon la nature des traitements, la loi prévoit des formalités préalables auprès de la CNDP (déclaration, et dans certains cas demande d'autorisation, notamment pour certaines données sensibles ou certains transferts vers l'étranger). La CNDP publie des formulaires et des guides ; consultez-les directement pour savoir quelles formalités s'appliquent à vos traitements.

Conseil pratique : listez vos traitements (inscriptions, scolarité, finance, RH, vidéosurveillance, communication) avant de remplir quoi que ce soit. La formalité devient beaucoup plus simple quand vous savez exactement ce que vous faites des données.

Le registre des traitements : la carte de vos données

Avant tout projet de mise en conformité, établissez un registre interne de vos traitements. Ce n'est pas forcément un document officiel exigé sous cette forme, mais c'est l'outil de pilotage indispensable. Il répond à cinq questions pour chaque traitement : quoi, pourquoi, qui, combien de temps, comment c'est protégé.

Modèle de registre pour une école privée

Traitement	Finalité	Données	Personnes concernées	Qui y accède	Durée de conservation	Mesures de sécurité
Inscriptions	admettre et inscrire les élèves	identité, coordonnées parents, dossier scolaire antérieur	élèves, parents	direction, secrétariat	durée de la scolarité + archive	accès par rôle, dossiers papier sous clé
Vie scolaire	suivre absences, retards, incidents	absences, retards, incidents	élèves	surveillants, direction, enseignants (leur classe)	année scolaire + période définie	accès restreint
Finance	facturer et encaisser	frais, paiements, réductions	parents	comptable, direction	selon obligations comptables	journal d'activité, pas de suppression de paiements
RH	gérer le personnel	contrats, congés, documents	personnel	direction	selon obligations sociales	accès direction uniquement
Communication	informer les familles	téléphone, e-mail	parents	secrétariat, direction	durée de la scolarité	listes non partagées hors outil
Images	valoriser la vie de l'école	photos, vidéos	élèves, personnel	communication	selon consentement	consentement écrit, retrait possible
Vidéosurveillance (si existante)	sécurité des locaux	images	toute personne	direction, agent désigné	courte durée	affichage, accès restreint

Ce tableau, rempli honnêtement, vous montre immédiatement vos points faibles. Souvent, on découvre que la liste des impayés est envoyée chaque mois par WhatsApp à plusieurs personnes, que les fiches médicales sont dans un classeur ouvert à l'infirmerie, ou que d'anciens enseignants ont toujours un accès au fichier Excel partagé.

Comment construire le registre en une demi-journée

1. Réunissez le directeur, la secrétaire principale, le comptable et le surveillant général.
2. Pour chaque service, demandez : « Quelles informations sur les élèves, parents ou personnel utilisez-vous ? Où sont-elles ? Qui d'autre les voit ? »
3. Notez les supports : papier, Excel, logiciel, téléphone personnel, groupes de messagerie.
4. Identifiez les doublons (la même liste à quatre endroits) et les zones grises (le téléphone personnel du surveillant contient les numéros de 600 parents).
5. Pour chaque ligne, fixez une durée de conservation et un responsable.
6. Datez le document et prévoyez une révision chaque année avant la rentrée.

Désigner un référent « données » dans l'école

Même sans obligation formelle de nommer un délégué, désignez une personne de la direction comme référente. Son rôle : tenir le registre à jour, recevoir les demandes des parents, suivre les incidents, vérifier chaque été la checklist et être l'interlocuteur des prestataires. Dans une école de taille moyenne, cela représente quelques heures par mois. L'essentiel est que chacun sache à qui s'adresser quand un doute survient, plutôt que d'improviser à l'accueil ou dans un groupe de messagerie.

Le consentement et l'information des parents

La loi exige que les personnes soient informées du traitement de leurs données. Pour certains traitements, le consentement est nécessaire. Dans une école, la plupart des traitements de base (inscription, scolarité, facturation) reposent sur la relation contractuelle et la mission éducative : le parent qui inscrit son enfant attend que l'école traite ces données. En revanche, d'autres usages, comme la publication de photos sur les réseaux sociaux, demandent un consentement explicite, spécifique et révocable.

La notice d'information à l'inscription

Chaque dossier d'inscription devrait contenir une notice courte, lisible, en français et en arabe. Elle explique :

• qui est responsable du traitement (l'école, son adresse, son contact) ;
• pourquoi les données sont collectées ;
• quelles données sont obligatoires et lesquelles sont facultatives ;
• qui y a accès (personnel de l'école, prestataires techniques) ;
• combien de temps elles sont conservées ;
• comment exercer ses droits (accès, rectification, opposition) ;
• la référence de la formalité CNDP si elle a été accomplie.

Modèle de notice d'information (à adapter)

Information sur vos données personnelles

L'École [Nom], située à [adresse], traite les informations que vous nous communiquez pour inscrire votre enfant, organiser sa scolarité, assurer sa sécurité, gérer les frais de scolarité et communiquer avec vous.

Les champs marqués d'un astérisque sont nécessaires à l'inscription. Les autres sont facultatifs.

Ces informations sont consultées uniquement par le personnel de l'école qui en a besoin pour sa mission (direction, secrétariat, comptabilité, vie scolaire, enseignants pour leur classe) et par nos prestataires techniques tenus à la confidentialité. Elles ne sont jamais vendues ni cédées à des tiers à des fins commerciales.

Elles sont conservées pendant la scolarité de votre enfant puis archivées pour la durée nécessaire à nos obligations légales.

Conformément à la loi 09-08, vous pouvez accéder à vos données, les faire rectifier et vous opposer, pour des motifs légitimes, à leur traitement en écrivant à [e-mail] ou en vous adressant au secrétariat.

Ce traitement a fait l'objet de [déclaration / autorisation] auprès de la CNDP sous le n° [à compléter].

Le formulaire de consentement pour les photos et vidéos

Les images d'enfants sont un sujet sensible. Séparez clairement les usages et laissez le parent choisir chacun :

Usage	Oui	Non
Photo d'identité dans le dossier scolaire (usage interne)	☐	☐
Photos de classe remises aux familles de la classe	☐	☐
Affichage dans l'école (panneaux, couloirs)	☐	☐
Site internet de l'école	☐	☐
Réseaux sociaux de l'école (Facebook, Instagram)	☐	☐
Supports imprimés (brochure, affiche d'inscriptions)	☐	☐

Ajoutez une phrase : « Ce consentement est valable pour l'année scolaire [année]. Vous pouvez le retirer à tout moment en informant le secrétariat. » Et respectez-le réellement : la personne qui publie sur les réseaux sociaux doit avoir accès à la liste des élèves dont l'image ne peut pas être diffusée.

Les erreurs fréquentes sur le consentement

• Le consentement global caché dans le règlement intérieur. « En inscrivant votre enfant, vous acceptez la publication de son image » n'est pas un consentement libre et spécifique.
• Le consentement à vie. Un accord donné en petite section ne vaut pas pour la terminale. Renouvelez-le chaque année.
• Oublier le retrait. Un parent qui retire son accord en février doit voir son enfant retiré des publications futures, et si possible des publications récentes.
• Ignorer l'avis de l'élève. Pour un adolescent, demander aussi son avis est une bonne pratique, même si l'accord légal vient du parent.

Contrôler les accès : le principe du « besoin d'en connaître »

La règle la plus efficace en matière de données scolaires tient en une phrase : chacun voit ce dont il a besoin pour son travail, et rien de plus. C'est le principe du besoin d'en connaître.

Ce que chaque fonction doit voir

Fonction	Doit voir	Ne doit pas voir (en général)
Propriétaire / directeur	vue d'ensemble, finance, RH, vie scolaire	— (mais l'accès doit être tracé)
Secrétaire	dossiers élèves, coordonnées parents, inscriptions	salaires du personnel, détails disciplinaires sensibles
Comptable	frais, paiements, réductions, coordonnées de facturation	incidents de discipline, informations de santé
Surveillant	absences, retards, incidents, personnes autorisées à récupérer l'enfant	finance détaillée, salaires
Enseignant	élèves de ses classes, absences de ses classes	situation financière des familles, autres classes, salaires

Ce tableau paraît évident, mais dans beaucoup d'écoles, tout le monde travaille dans le même fichier Excel partagé, ou se connecte avec le même mot de passe sur le même ordinateur. Résultat : un enseignant peut voir quelle famille est en retard de paiement, et un stagiaire de l'accueil peut consulter les salaires.

Un compte par personne, jamais de compte partagé

Un compte partagé (« secretariat / 1234 ») rend impossible toute traçabilité. Si une liste fuit, vous ne savez pas qui l'a extraite. Chaque personne doit avoir son propre identifiant et son propre mot de passe, et le compte doit être désactivé le jour même de son départ.

La procédure d'arrivée et de départ

À l'arrivée d'un membre du personnel :

1. Création de la fiche du personnel.
2. Attribution d'un rôle correspondant à sa fonction.
3. Ajout éventuel de permissions supplémentaires, justifiées et notées.
4. Signature d'un engagement de confidentialité.
5. Courte formation (15 minutes) sur les règles de l'école : pas de listes sur WhatsApp, pas de photos d'élèves sur téléphone personnel, verrouillage de l'écran.

Au départ :

1. Désactivation de l'accès le dernier jour de travail.
2. Récupération des clés, badges, documents papier.
3. Changement des mots de passe partagés éventuels (Wi-Fi administratif, boîte mail générique).
4. Vérification qu'aucun fichier de l'école n'est resté sur un appareil personnel, dans la mesure du possible.

L'engagement de confidentialité : modèle court

Je soussigné(e) [nom], [fonction] à l'École [Nom], m'engage à utiliser les informations concernant les élèves, leurs familles et le personnel uniquement pour les besoins de ma mission. Je m'engage à ne pas les copier, les transmettre ou les publier en dehors des outils et procédures de l'école, y compris après la fin de mon contrat. Je signale sans délai à la direction toute perte, erreur d'envoi ou accès anormal dont j'ai connaissance.

La sécurité au quotidien : papier, écrans, téléphones

La plupart des incidents de données dans les écoles ne viennent pas de pirates informatiques. Ils viennent de gestes ordinaires : une feuille oubliée sur la photocopieuse, un écran ouvert à l'accueil, une liste envoyée dans le mauvais groupe.

Le papier

• Les dossiers d'inscription sont rangés dans une armoire fermée à clé, dans un bureau fermé en dehors des heures.
• Les fiches médicales sont séparées du dossier général et accessibles uniquement à la personne chargée de la santé et à la direction.
• Les documents à jeter qui contiennent des données personnelles sont déchiquetés, pas mis à la poubelle.
• Les listes affichées (par exemple, répartition des classes à la rentrée) ne contiennent que le strict nécessaire : nom, prénom, classe. Jamais de téléphone, d'adresse ou de date de naissance.

Les écrans et ordinateurs

• Verrouillage automatique de l'écran après quelques minutes.
• Écran de l'accueil orienté pour ne pas être visible des parents qui attendent.
• Pas de mots de passe sur des post-it.
• Mises à jour du système et antivirus activés.
• Sauvegardes régulières, testées, et stockées ailleurs que sur l'ordinateur principal.

Les téléphones et la messagerie

C'est le point le plus délicat dans le contexte marocain, où WhatsApp est le canal principal entre l'école et les familles.

• Évitez les groupes WhatsApp où tous les parents d'une classe voient les numéros de tous les autres sans l'avoir accepté. Si vous en utilisez, informez les parents et laissez-les choisir.
• Ne publiez jamais dans un groupe une information qui concerne un seul élève (absence, retard de paiement, incident).
• Envoyez les messages individuels depuis le téléphone de l'école, pas depuis le téléphone personnel d'un employé.
• N'envoyez jamais un fichier Excel complet (liste des élèves avec téléphones, liste des impayés) par messagerie.

Les relances de paiement : un cas d'école

Les relances d'impayés concentrent plusieurs risques : données financières, situation familiale potentiellement délicate, envoi par messagerie. Les bonnes pratiques :

• relance individuelle, jamais collective ;
• message neutre et respectueux, sans détail inutile ;
• aucune mention des retards de paiement devant l'élève ou dans sa classe ;
• liste des familles en retard visible uniquement par la comptabilité et la direction.

Pour aller plus loin sur ce sujet, lisez notre guide sur le recouvrement des frais de scolarité impayés.

Les droits des parents : répondre correctement aux demandes

Un jour ou l'autre, un parent vous demandera : « Quelles informations avez-vous sur mon enfant ? » ou « Je veux que vous corrigiez l'adresse » ou « Je ne veux plus que la photo de mon fils soit sur votre page. » Ce sont des demandes d'exercice de droits. Il faut les traiter sérieusement.

Procédure type

1. Recevoir la demande par écrit (e-mail, lettre, formulaire au secrétariat). Si elle est orale, notez-la et demandez une confirmation écrite.
2. Vérifier l'identité du demandeur : est-ce bien un parent ou représentant légal de l'élève ?
3. Vérifier ses droits : dans le cas de parents séparés, vérifiez les documents de garde et de tutelle dont l'école dispose.
4. Rassembler les données concernées.
5. Répondre dans un délai raisonnable, par écrit.
6. Tracer la demande et la réponse dans un registre des demandes.

Le cas délicat des parents séparés

C'est la situation la plus fréquente et la plus sensible. Un parent demande l'adresse de l'autre, ou veut savoir qui vient chercher l'enfant, ou exige de ne plus voir l'autre parent recevoir les informations.

Règles de prudence :

• l'école ne communique jamais l'adresse ou le téléphone d'un parent à l'autre parent ;
• l'école s'appuie sur les documents officiels qu'elle a reçus (jugement, acte de tutelle) et demande leur mise à jour ;
• la liste des personnes autorisées à récupérer l'enfant est tenue à jour et vérifiée à la sortie ;
• en cas de doute, la direction tranche, pas l'agent d'accueil.

Notre article sur la sécurité à la sortie des élèves détaille la gestion des personnes autorisées.

Modèle de réponse à une demande d'accès

Madame, Monsieur,

Suite à votre demande du [date], vous trouverez ci-joint les informations que l'École [Nom] détient concernant votre enfant [prénom nom], inscrit en [classe] : données d'identité, coordonnées des responsables légaux, historique de scolarité dans l'établissement, absences et retards de l'année en cours, situation des frais de scolarité.

Si vous constatez une inexactitude, merci de nous l'indiquer afin que nous la corrigions.

Nous restons à votre disposition.

La Direction

Modèle de réponse à une demande de retrait de photo

Madame, Monsieur,

Nous avons bien pris en compte votre demande. À compter de ce jour, l'image de votre enfant ne sera plus utilisée dans nos publications. Nous avons retiré les photos où il apparaît de notre page [réseau] et de notre site. Les supports déjà imprimés ne pourront pas être rappelés, mais ne seront pas réimprimés.

La Direction

Les prestataires et l'hébergement des données

Votre école confie des données à des prestataires : éditeur du logiciel de gestion, hébergeur, cabinet comptable, photographe scolaire, assureur. Vous restez responsable de ces données, même quand un autre les traite pour vous.

Les questions à poser à un éditeur de logiciel

• Où sont hébergées les données ? Le pays d'hébergement a-t-il une incidence sur les formalités (transferts à l'étranger) ?
• Les données de mon école sont-elles isolées de celles des autres écoles ?
• Qui, chez l'éditeur, peut accéder à mes données, et dans quel cadre ?
• Les accès sont-ils nominatifs, avec des rôles et un journal d'activité ?
• Comment sont faites les sauvegardes ?
• Puis-je exporter mes données si je change de logiciel ?
• Que deviennent mes données à la fin du contrat ?
• Le contrat contient-il une clause de confidentialité et de sous-traitance des données ?

Ces questions complètent la grille de notre guide pour choisir un logiciel pour école privée.

Le photographe scolaire et les autres prestataires ponctuels

Un photographe qui reçoit la liste des élèves avec leurs classes, un organisateur de sortie qui reçoit les noms et téléphones des parents : limitez la liste au strict nécessaire, demandez un engagement écrit de confidentialité et de suppression après la prestation.

La relation avec Massar

Massar est le système d'information du ministère. Les écoles privées y saisissent les données exigées par l'administration (inscriptions, notes, etc.). Ce traitement relève des obligations de l'école envers le ministère.

Votre logiciel de gestion interne est un autre traitement, avec ses propres finalités : gestion financière, communication, vie scolaire au quotidien. Nori complète Massar mais ne s'y connecte pas : il n'y a pas d'échange automatique de données entre les deux. Cela signifie aussi que vous gardez la maîtrise de ce que vous saisissez dans chacun. Le code Massar de l'élève peut figurer dans votre dossier interne comme identifiant, mais il ne faut pas multiplier les copies des données sans raison. Pour plus de détails, lisez Massar et logiciel de gestion.

Durées de conservation : que garder, combien de temps

Garder toutes les données indéfiniment est la solution de facilité, mais c'est contraire au principe de conservation limitée. Plus vous gardez de données, plus le risque en cas d'incident est grand.

Proposition de politique de conservation (à valider avec votre conseil)

Type de données	Durée active	Ensuite
Dossier d'inscription de l'élève	pendant la scolarité	archive restreinte pour la durée utile (attestations, certificats de scolarité)
Candidatures non retenues	jusqu'à la fin de la campagne d'admission	suppression ou anonymisation
Absences et retards	année scolaire en cours	conservation limitée puis suppression du détail
Incidents de discipline	année scolaire, ou plus si sanction formelle	suppression du détail après la période fixée
Paiements et reçus	selon les obligations comptables et fiscales	archive comptable
Fiches médicales	année scolaire en cours	mise à jour annuelle, destruction des anciennes
Photos d'événements	selon le consentement	suppression des photos non utilisées
Dossiers RH	selon les obligations sociales	archive restreinte
Images de vidéosurveillance	quelques jours à quelques semaines	effacement automatique

L'important est d'avoir une règle écrite, appliquée, et révisée une fois par an.

Le cas des candidatures non retenues

Avec l'inscription en ligne, une école reçoit beaucoup de demandes. Les familles non retenues ont fourni des informations (identité de l'enfant, coordonnées, parfois bulletins antérieurs). Il n'y a pas de raison de les conserver des années. Fixez une date, par exemple la fin de la campagne de l'année, après laquelle ces dossiers sont supprimés, sauf si la famille a demandé à rester sur liste d'attente. Voir aussi notre guide sur l'inscription en ligne en école privée.

Les anciens élèves

Les anciens élèves demandent parfois des certificats de scolarité des années après. Conservez le minimum nécessaire pour y répondre (identité, années et classes fréquentées) et supprimez le reste (téléphones des parents, absences détaillées, incidents).

Que faire en cas d'incident (fuite, perte, erreur d'envoi)

Un incident arrivera un jour : un ordinateur volé, une clé USB perdue, une liste envoyée au mauvais groupe, un compte piraté. Ce qui compte, c'est de réagir vite et proprement.

Plan de réaction en 7 étapes

1. Contenir : supprimer le message envoyé par erreur (et demander aux destinataires de le supprimer), désactiver le compte compromis, changer les mots de passe.
2. Évaluer : quelles données, combien de personnes, quelle sensibilité ?
3. Informer la direction immédiatement, même pour un incident qui paraît mineur.
4. Documenter : date, heure, nature, personnes concernées, actions prises.
5. Évaluer les obligations : selon la gravité, vérifiez avec votre conseil s'il faut informer la CNDP ou d'autres autorités.
6. Informer les familles concernées si l'incident peut leur porter préjudice, avec un message clair et honnête.
7. Corriger la cause : nouvelle règle, formation, changement d'outil.

Modèle de message aux familles après un envoi par erreur

Chers parents,

Le [date], une liste contenant les noms des élèves de la classe [classe] et les numéros de téléphone des parents a été envoyée par erreur dans un groupe de messagerie qui n'était pas destiné à la recevoir. Le message a été supprimé et les membres du groupe ont été invités à le supprimer.

Aucune autre information (adresse, situation financière, santé) n'était contenue dans ce message.

Nous vous présentons nos excuses. Nous avons revu nos procédures pour qu'une telle erreur ne se reproduise pas : les listes ne sont plus envoyées par messagerie et restent accessibles uniquement dans notre logiciel de gestion.

Pour toute question : [contact].

La Direction

Cas pratique : l'École Les Orangers met de l'ordre en un trimestre

Prenons un exemple fictif mais réaliste. L'École Les Orangers, à Kénitra, compte 520 élèves du préscolaire au collège, 38 enseignants et 9 personnes administratives. Ses frais vont de 1 200 MAD par mois au préscolaire à 1 900 MAD par mois au collège.

La situation de départ

• Un fichier Excel « ELEVES 2025 » partagé sur l'ordinateur de l'accueil, avec téléphones, adresses, professions, et une colonne « remarques » contenant des informations de santé et de situation familiale.
• Un deuxième fichier « IMPAYES » envoyé chaque fin de mois par WhatsApp au directeur, à la comptable et à l'adjoint.
• Un compte unique sur l'ancien logiciel de facturation, utilisé par trois personnes.
• Des photos d'élèves publiées sur Facebook sans formulaire de consentement.
• Les dossiers des élèves partis depuis 2015 entassés dans un local non fermé.
• Les numéros des parents dans le téléphone personnel de deux surveillants.

Le plan sur trois mois

Mois 1 : inventaire et règles

• Atelier d'une demi-journée pour construire le registre des traitements.
• Rédaction de la notice d'information et du formulaire de consentement images, en français et en arabe.
• Rédaction de l'engagement de confidentialité, signé par tout le personnel.
• Décision : plus aucune liste par messagerie.

Mois 2 : outils et accès

• Passage à un logiciel de gestion scolaire avec un compte par personne et des rôles (secrétaire, comptable, surveillant, enseignant).
• Import des élèves depuis Excel, en profitant pour nettoyer : la colonne « remarques » n'est pas importée ; les informations de santé utiles sont reprises de façon structurée et limitée.
• Suppression du fichier Excel partagé après vérification de l'import.
• Les surveillants prennent l'appel dans le logiciel et n'ont plus besoin des numéros sur leur téléphone personnel.

Mois 3 : archives et suivi

• Tri des archives papier : conservation des éléments nécessaires aux certificats de scolarité, destruction sécurisée du reste.
• Vérification des formalités CNDP avec un conseil.
• Collecte des consentements images ; retrait des photos d'élèves sans consentement de la page Facebook.
• Mise en place d'un registre des demandes des parents et d'un registre des incidents.

Le résultat

Au bout d'un trimestre, l'école sait où sont ses données, qui y accède, et combien de temps elle les garde. Les relances de paiement sont individuelles. Le directeur peut vérifier dans le journal d'activité qui a modifié un dossier. Lors de la campagne d'inscriptions suivante, la notice d'information est jointe au formulaire, et plusieurs parents le remarquent positivement.

Le coût réel : quelques demi-journées de travail de direction, un abonnement logiciel (à partir de 5 000 MAD par an pour Nori, avec un essai gratuit pour démarrer) et un rendez-vous avec un juriste. C'est peu au regard du risque évité.

Comment Nori vous aide à protéger les données de vos élèves

Un logiciel ne rend pas une école conforme à lui seul : la conformité est une affaire d'organisation, de règles et de comportements. Mais un bon outil rend les bonnes pratiques simples et les mauvaises pratiques inutiles. Voici ce que Nori apporte concrètement.

Un compte par personne, avec un rôle

Dans Nori, chaque personne qui travaille à l'école a une seule fiche du personnel. L'accès à l'application (identifiant, rôle, permissions supplémentaires) se gère directement sur cette fiche. Les rôles disponibles sont : propriétaire, directeur, secrétaire, comptable, surveillant, enseignant. Vous pouvez ajouter des permissions supplémentaires à une personne précise si son poste le justifie, sans donner le même accès à tout le monde.

Concrètement : le comptable voit les frais et les échéances ; l'enseignant voit ses classes ; le surveillant fait l'appel et suit les incidents. Le menu de chacun ne montre que ce à quoi il a droit.

Un journal d'activité : qui a fait quoi

Nori enregistre un journal d'activité : qui a créé, modifié ou supprimé quoi, et quand. En cas de question (« qui a changé le numéro de ce parent ? »), la direction a la réponse. C'est un élément essentiel de la traçabilité et un frein naturel aux abus.

Les données de chaque école isolées

Nori est une application multi-écoles, mais les données de chaque école sont isolées les unes des autres, y compris au niveau de la base de données grâce à la sécurité au niveau des lignes (row-level security). Une école ne peut pas voir les données d'une autre. Les données sont hébergées de façon sécurisée.

Moins de copies, moins de fuites

Le principal ennemi de la protection des données, c'est la copie : le fichier Excel envoyé, la liste imprimée, le téléphone personnel. Avec Nori :

• l'appel se fait dans l'application, et seules les absences et les retards sont enregistrés (pas de données inutiles sur les présents) ;
• la liste des échéances en retard est consultable par ceux qui en ont la permission, sans envoyer de fichier ;
• les relances se font par lien de partage ouvert sur le téléphone de l'école (WhatsApp ou SMS), message par message, et non par listes de diffusion ;
• les rapports exportés en CSV pour Excel ne sont accessibles qu'aux rôles autorisés : à vous de décider qui peut exporter.

Les parents liés au dossier de l'élève

Dans Nori, les parents et tuteurs sont liés directement au dossier de l'élève. Il n'y a pas de liste de parents séparée qui circule. Les personnes autorisées à récupérer l'enfant sont enregistrées dans le dossier, ce qui aide l'accueil à vérifier sans multiplier les listes papier.

Les inscriptions en ligne maîtrisées

Le formulaire d'inscription en ligne de Nori (lien /apply/votre-école) permet de recevoir les candidatures directement dans le back-office, au lieu de recevoir des photos de documents par WhatsApp. Vous pouvez y joindre votre notice d'information et ne demander que les champs nécessaires.

Ce que Nori ne fait pas à votre place

Soyons honnêtes : Nori ne remplit pas vos formalités auprès de la CNDP, ne rédige pas votre politique de conservation et ne collecte pas les consentements photos. Ces démarches restent sous votre responsabilité. Nori vous donne un environnement où les règles que vous décidez sont plus faciles à appliquer.

Les erreurs les plus courantes dans les écoles privées

Voici les erreurs que l'on retrouve le plus souvent. Chacune est facile à corriger une fois identifiée.

1. Le fichier Excel partagé « qui contient tout »

Un fichier unique avec toutes les colonnes possibles, ouvert sur l'ordinateur de l'accueil ou sur un dossier partagé. Il est copié, envoyé, modifié par plusieurs personnes, et personne ne sait quelle version est la bonne. Correction : un outil unique avec des accès par rôle, et des exports ponctuels contrôlés.

2. La colonne « remarques »

Une colonne libre où chacun écrit ce qu'il veut : « parents divorcés, ne pas donner l'enfant au père », « asthmatique », « famille en difficulté, a demandé un délai ». Ces informations sont parfois utiles, mais elles sont sensibles et mal structurées. Correction : des champs précis, limités, accessibles aux seules personnes concernées, et une liste des personnes autorisées à récupérer l'enfant tenue à part.

3. Les listes dans les groupes WhatsApp

La liste des élèves absents envoyée au groupe des enseignants, la liste des impayés au groupe de l'administration. Chaque membre du groupe garde une copie sur son téléphone, pour toujours. Correction : consulter l'information dans l'outil, pas la diffuser.

4. Le compte partagé

Un seul mot de passe pour le secrétariat, connu de tous, jamais changé. Correction : comptes individuels, désactivés au départ.

5. Les anciens employés toujours connectés

Un enseignant parti en juin a toujours accès à la boîte mail générique ou au dossier partagé en octobre. Correction : procédure de départ systématique.

6. Les photos publiées sans consentement

Une belle photo de la kermesse sur Instagram, avec des visages d'enfants dont les parents n'ont jamais donné leur accord. Correction : formulaire de consentement par usage, liste des refus accessible à la personne qui publie.

7. Les archives oubliées

Des cartons de dossiers depuis vingt ans dans un local non fermé. Correction : tri, destruction sécurisée, archive minimale sous clé.

8. La collecte excessive

Demander le revenu du foyer, la religion, le numéro de la carte nationale des deux parents et de tous les frères et sœurs, alors que cela ne sert à rien. Correction : revoir le formulaire d'inscription champ par champ.

9. La sécurité des appareils négligée

Ordinateur de direction sans mot de passe, pas de sauvegarde, clé USB contenant les dossiers des élèves dans un sac. Correction : règles minimales de sécurité, sauvegardes, pas de clé USB pour les données sensibles.

10. Penser que « c'est pour les grandes entreprises »

La loi 09-08 s'applique à toute personne ou organisme qui traite des données personnelles, y compris une petite école. La taille de l'établissement ne change pas le principe, même si les mesures sont proportionnées.

Checklist de conformité pour la rentrée

Utilisez cette liste chaque année en août, pendant la préparation de la rentrée (voir aussi notre guide pour préparer la rentrée scolaire).

Organisation

• Le registre des traitements est à jour.
• Une personne de la direction est désignée comme référente pour les données personnelles.
• Les formalités auprès de la CNDP ont été vérifiées pour les traitements actuels et nouveaux.
• La politique de conservation est écrite et appliquée.

Documents

• La notice d'information est jointe au dossier d'inscription (FR et AR).
• Le formulaire de consentement images est à jour pour la nouvelle année.
• Les engagements de confidentialité des nouveaux employés sont signés.
• Les contrats avec les prestataires contiennent une clause de confidentialité.

Accès

• Chaque membre du personnel a un compte individuel.
• Les rôles correspondent aux fonctions de l'année.
• Les comptes des personnes parties sont désactivés.
• Les mots de passe génériques ont été changés.

Données

• Les coordonnées des parents ont été vérifiées à l'inscription ou réinscription.
• Les fiches médicales de l'année précédente ont été remplacées.
• Les candidatures non retenues de la campagne précédente ont été supprimées.
• Les listes de personnes autorisées à récupérer les enfants sont à jour.

Sécurité

• Les sauvegardes fonctionnent et ont été testées.
• Les armoires de dossiers ferment à clé.
• Le personnel a reçu le rappel des règles (messagerie, photos, écrans).

Former l'équipe : un plan de 30 minutes

La règle la mieux écrite ne sert à rien si l'équipe ne la connaît pas. Prévoyez une courte session à la journée pédagogique de rentrée.

Minutes 0 à 5 : pourquoi. Une histoire concrète (une liste envoyée par erreur, une photo publiée sans accord) et ses conséquences pour les familles et l'école.

Minutes 5 à 15 : les cinq règles d'or.

1. Je n'utilise les données que pour mon travail.
2. Je n'envoie pas de listes par messagerie.
3. Je ne prends pas de photos d'élèves sur mon téléphone personnel, sauf autorisation et procédure de l'école.
4. Je verrouille mon écran et je ne partage pas mon mot de passe.
5. Je signale immédiatement toute erreur.

Minutes 15 à 25 : cas pratiques. Que faites-vous si un parent vous demande le numéro d'un autre parent ? Si une personne inconnue vient chercher un enfant ? Si vous envoyez une liste dans le mauvais groupe ?

Minutes 25 à 30 : questions et signature de l'engagement de confidentialité pour les nouveaux.

Vidéosurveillance : précautions particulières

Beaucoup d'écoles installent des caméras à l'entrée et dans les couloirs. C'est un traitement de données personnelles à part entière, qui peut nécessiter une formalité spécifique auprès de la CNDP. Quelques principes de bon sens :

• filmer les accès et zones communes, jamais les toilettes, vestiaires ou salles de repos ;
• informer par un affichage visible à l'entrée ;
• limiter l'accès aux images à la direction et à une personne désignée ;
• conserver les images peu de temps, avec effacement automatique ;
• ne jamais diffuser les images sur les réseaux sociaux ou dans les groupes de parents.

Avant d'installer ou d'étendre un système, renseignez-vous sur les formalités applicables auprès de la CNDP.

Revoir le formulaire d'inscription champ par champ

Le formulaire d'inscription est la porte d'entrée de presque toutes les données de l'école. Le revoir une fois, sérieusement, réduit le risque pour des années. Voici une grille d'analyse que vous pouvez appliquer avec votre secrétariat.

La grille des trois questions

Pour chaque champ, posez trois questions :

1. À quoi sert-il exactement ? Si personne ne peut répondre en une phrase, supprimez-le.
2. Qui va le lire ? Si la réponse est « tout le monde », le champ est soit inutile, soit mal protégé.
3. Est-il obligatoire ? Un champ facultatif doit être signalé comme tel ; le parent a le droit de ne pas le remplir.

Exemple d'analyse

Champ	Utilité	Décision
Nom, prénom, date et lieu de naissance de l'élève	identification, documents officiels	obligatoire
Code Massar	identifiant administratif	obligatoire si déjà attribué
Adresse	courrier, sécurité, zone de résidence	obligatoire
Téléphone des deux parents	contact, urgence	obligatoire (au moins un)
Profession des parents	statistiques internes, étude de bourse	facultatif, ou seulement dans le dossier de bourse
Numéro de CIN des parents	identification lors de la récupération, contrats	à limiter au responsable payeur si nécessaire
Revenu du foyer	uniquement pour une demande de bourse	à retirer du formulaire général
Allergies et traitements	sécurité de l'enfant	facultatif, fiche santé séparée
Situation familiale détaillée	garde, personnes autorisées	remplacer par « qui a l'autorité parentale » et « personnes autorisées à récupérer l'enfant »
Photo de l'élève	identification interne	avec information, usage interne uniquement

Le cas de la bourse et des réductions

Les demandes de bourse obligent à collecter des informations financières sur la famille. Faites-en un dossier à part, étudié par une commission restreinte (directeur, comptable), et ne conservez dans le dossier général que la décision (par exemple « réduction de 30 % »), pas les justificatifs de revenus. Notre article sur les réductions fratrie et bourses détaille la mise en place d'une politique équitable.

Exemple chiffré : une famille demande une bourse pour deux enfants au collège, à 1 900 MAD par mois chacun. La commission accorde 25 % sur le premier enfant et la réduction fratrie habituelle de 10 % sur le second. Dans le logiciel, seules apparaissent les réductions appliquées : 475 MAD et 190 MAD par mois. Les bulletins de salaire et attestations restent dans le dossier de bourse sous clé, et sont détruits à la fin de la période fixée par votre politique de conservation.

Questions fréquentes (FAQ)

La loi 09-08 s'applique-t-elle à une petite école privée ?

Oui. La loi s'applique à tout organisme qui traite des données personnelles, quelle que soit sa taille. Une école de 80 élèves traite des données d'enfants et de parents ; elle est concernée. Les mesures doivent simplement être proportionnées.

Faut-il déclarer son école à la CNDP ?

Selon les traitements que vous réalisez, des formalités préalables (déclaration, voire autorisation pour certains traitements) peuvent être nécessaires. Consultez les formulaires et guides publiés par la CNDP, ou demandez conseil à un juriste, pour déterminer précisément ce qui s'applique à votre établissement.

A-t-on besoin du consentement des parents pour inscrire l'élève dans le logiciel ?

Pour la gestion de la scolarité, la facturation et la sécurité, le traitement découle de l'inscription et de la mission de l'école ; l'essentiel est d'informer clairement les parents. Pour des usages non indispensables, comme la publication de photos, un consentement spécifique est nécessaire.

Peut-on publier les photos de la fête de fin d'année ?

Seulement pour les élèves dont les parents ont donné leur accord pour ce type de publication. Pour les autres, choisissez des photos où ils ne sont pas reconnaissables, ou ne les publiez pas.

Un parent peut-il exiger de voir le dossier de son enfant ?

Oui, le droit d'accès permet à un parent ou représentant légal de demander communication des données que l'école détient sur son enfant. Vérifiez l'identité et la qualité du demandeur, puis répondez par écrit.

Que faire si un parent séparé demande les coordonnées de l'autre parent ?

Ne les communiquez pas. L'école n'a pas à servir d'intermédiaire pour ce type d'information. Invitez le parent à passer par les voies légales si nécessaire.

Combien de temps garder les dossiers des anciens élèves ?

Gardez le minimum nécessaire pour délivrer des certificats de scolarité et respecter vos obligations (notamment comptables). Supprimez les informations détaillées devenues inutiles (absences, incidents, téléphones). Fixez la durée exacte avec votre conseil.

Les enseignants peuvent-ils créer des groupes WhatsApp avec les parents ?

C'est une pratique très répandue, mais elle expose les numéros des parents à tous les membres. Si l'école l'autorise, encadrez-la : information des parents, règles d'usage, pas d'informations individuelles dans le groupe. Une solution plus sûre passe par des outils officiels de l'école.

Le logiciel de gestion scolaire est-il responsable des données ?

L'école reste responsable du traitement. L'éditeur agit pour le compte de l'école et doit garantir la sécurité et la confidentialité. Vérifiez le contrat, l'hébergement et les mesures d'isolation et de sécurité.

Nori transmet-il les données à Massar ?

Non. Nori complète Massar mais n'est pas connecté au système du ministère. Aucune donnée n'est transmise automatiquement entre les deux.

Les données de santé peuvent-elles être enregistrées ?

Oui, quand c'est nécessaire à la sécurité de l'enfant (allergie, traitement en cas d'urgence), mais avec une grande prudence : le minimum utile, un accès très restreint, une mise à jour chaque année. Ces données sont sensibles et peuvent être soumises à des formalités particulières.

Que faire après une fuite de données ?

Contenir l'incident, évaluer son ampleur, documenter, vérifier vos obligations d'information avec un conseil, informer honnêtement les familles concernées et corriger la cause.

Glossaire

• Donnée à caractère personnel : toute information concernant une personne identifiée ou identifiable (nom, téléphone, photo, code Massar, absences…).
• Traitement : toute opération sur des données (collecte, enregistrement, consultation, modification, envoi, suppression).
• Responsable du traitement : l'organisme qui décide pourquoi et comment les données sont traitées ; ici, l'école.
• Sous-traitant : le prestataire qui traite les données pour le compte de l'école (éditeur de logiciel, hébergeur).
• CNDP : Commission Nationale de contrôle de la protection des Données à caractère Personnel, autorité marocaine de contrôle.
• Consentement : accord libre, spécifique, éclairé et révocable de la personne (ou de son représentant légal).
• Donnée sensible : donnée dont l'usage présente un risque particulier (santé notamment), soumise à des précautions renforcées.
• Durée de conservation : période pendant laquelle les données sont gardées avant archivage ou suppression.
• Journal d'activité : historique des actions des utilisateurs dans un logiciel, utile pour la traçabilité.
• Besoin d'en connaître : principe selon lequel une personne n'accède qu'aux données nécessaires à sa mission.
• Isolation des données : séparation technique empêchant une école de voir les données d'une autre dans un logiciel partagé.

Conclusion : la confiance des familles se construit aussi avec les données

La protection des données élèves dans le cadre de la loi 09-08 n'est pas une contrainte à subir, c'est une partie de la qualité de votre école. En un trimestre, avec un registre des traitements, quelques documents bien faits, des accès par rôle et des règles simples sur la messagerie et les photos, votre établissement peut passer d'une gestion improvisée à une gestion maîtrisée.

Commencez petit : cette semaine, listez vos fichiers et qui y accède. Le mois prochain, mettez en place les comptes individuels et la notice d'information. Avant la rentrée, faites la checklist.

Si vous voulez un outil qui facilite ces bonnes pratiques (un compte et un rôle par personne, un journal d'activité, des données isolées par école, moins de fichiers qui circulent), découvrez Nori, le logiciel de gestion scolaire pensé pour les écoles privées au Maroc. Commencez avec l'essai gratuit et voyez comment votre équipe peut travailler mieux, avec moins de risques.