Colonies de vacances, clubs sportifs, ateliers, accueils de loisirs : les associations accueillent des mineurs tout le temps. Et à chaque fois, elles collectent des données : nom, prénom, date de naissance, parfois des informations de santé (allergies, médicaments). Mais à partir de quand faut-il une autorisation parentale ?
La réponse n'est pas simple — elle dépend de l'âge du mineur, de la nature des données, et de la finalité du traitement. Ce guide vous donne les règles claires, avec un modèle à copier.
Que dit le RGPD sur les mineurs ?
Le RGPD protège les mineurs de façon renforcée. L'article 8 précise que lorsque des services de la société de l'information sont offerts directement à un enfant, le traitement des données personnelles nécessite le consentement du titulaire de l'autorité parentale.
Mais l'article 8 ne couvre que les services en ligne. Pour les associations qui accueillent des mineurs physiquement, c'est l'article 6 (bases légales) et le principe de protection de l'enfant qui s'appliquent. En pratique :
- Mineur de 15 ans : autorisation parentale obligatoire pour tout traitement de données
- 15 ans et plus : le mineur peut consentir seul pour certains traitements, mais l'autorisation parentale reste recommandée pour les données sensibles
- Données de santé (Art. 9) : autorisation parentale obligatoire à tout âge
Les données de santé (allergies, médicaments, régime alimentaire pour raison médicale) sont des données sensibles au sens de l'article 9. Leur traitement nécessite une protection renforcée et une autorisation parentale explicite, quel que soit l'âge du mineur.
Le tableau des âges
| Âge du mineur | Données standard | Données de santé | Photos/vidéos |
|---|---|---|---|
| Moins de 15 ans | Autorisation parentale obligatoire | Autorisation parentale obligatoire | Autorisation parentale obligatoire |
| 15 à 17 ans | Consentement du mineur possible, parental recommandé | Autorisation parentale obligatoire | Autorisation parentale obligatoire |
| 18 ans et + | Consentement propre | Consentement propre | Consentement propre |
Les situations concrètes
1. Inscription à un camp / atelier / activité
Vous collectez : nom, prénom, date de naissance, adresse, contact parent, informations sanitaires. Autorisation parentale obligatoire, sur le formulaire d'inscription lui-même, avec une case à cocher + signature.
2. Photos et vidéos d'événements
Vous prenez des photos du camp pour les publier sur votre site ou vos réseaux sociaux. Autorisation parentale obligatoire et séparée — pas noyée dans l'inscription. Le parent doit pouvoir dire oui à l'inscription et non à la publication des photos.
Vous publiez des photos du camp sur Facebook. Un parent n'a pas signé d'autorisation pour les photos. Son enfant apparaît sur une photo publiée. C'est une violation du RGPD — même si le parent a accepté l'inscription au camp. Les deux consentements sont séparés.
3. Données de santé (fiche sanitaire)
Allergies, médicaments, régimes, handicaps : ces données sont sensibles au sens de l'article 9. Elles nécessitent :
- Une autorisation parentale explicite pour le traitement
- Un accès strictement limité (médecin, référent sanitaire, pas tous les animateurs)
- Une durée de conservation courte (durée de l'activité + délai court)
- Un chiffrement ou un accès sécurisé
4. Newsletter / communication aux mineurs
Vous voulez envoyer une newsletter aux jeunes participants. Pour les moins de 15 ans, l'autorisation parentale est obligatoire. Pour les 15-17 ans, le mineur peut consentir, mais il faut un moyen de vérification de l'âge.
Envoyez la newsletter aux parents, pas aux mineurs. Ça évite la question de l'âge et de la vérification. Et c'est souvent ce que les parents préfèrent.
Le modèle d'autorisation parentale à copier
📋 Autorisation parentale — Traitement des données d'un mineur
À intégrer dans votre formulaire d'inscription. À adapter selon votre activité.
Ce modèle est un point de départ. Adapté à votre activité et fait valider par votre conseiller juridique si votre secteur a des règles spécifiques (médico-social, sport, petite enfance...).
Les erreurs à éviter
- Consentement noyé dans l'inscription — l'autorisation pour les photos doit être séparée de l'inscription. Un parent peut accepter l'inscription et refuser les photos.
- Aucune mention des données de santé — les allergies et médicaments sont des données sensibles. Elles doivent être identifiées comme telles et protégées.
- Pas de case à cocher — un consentement implicite (« en signant, vous acceptez...») n'est pas suffisant pour les mineurs. Préférez une case explicite.
- Conservation trop longue — les données des mineurs ne doivent pas être conservées indéfiniment. Définissez une durée et purgez.
- Accès trop large — la fiche sanitaire ne doit pas être accessible à tous les animateurs. Limitez l'accès au référent sanitaire et au directeur.
La CNIL vérifie particulièrement les traitements portant sur des mineurs. L'absence d'autorisation parentale pour des données de santé ou des photos est une violation caractérisée, qui peut entraîner une mise en demeure même pour une association de petite taille.
Et pour les réseaux associatifs avec des antennes ?
Si votre réseau a un siège et des antennes qui accueillent des mineurs, chaque antenne doit avoir ses propres autorisations parentales. Le siège peut fournir le modèle et la formation, mais l'autorisation est collectée et archivée localement, à l'endroit où le mineur est accueilli.
La checklist finale
- ✅ Autorisation parentale signée pour chaque mineur
- ✅ Case à cocher séparée pour les photos/vidéos
- ✅ Données de santé identifiées et accès limité
- ✅ Durée de conservation définie et inscrite au registre
- ✅ Fiche sanitaire sécurisée (accès restreint, pas sur un Drive ouvert)
- ✅ Traitement « accueil de mineurs » ajouté au registre
- ✅ Newsletter envoyée aux parents, pas aux mineurs directement