Feuille de présence et données personnelles

Une feuille de présence contient des noms, des signatures et parfois des horaires : c’est un traitement de données personnelles soumis au RGPD en France et en Belgique, à la loi fédérale sur la protection des données en Suisse et à la loi sur la protection des renseignements personnels au Québec. Les obligations sont proportionnées et tiennent en quatre gestes : collecter le minimum, informer, sécuriser, supprimer à l’échéance.

Mis à jour le 7 novembre 2026

En bref

Nom, signature, horaire d’arrivée : chacune de ces informations est une donnée personnelle, même sur une feuille volante.
La base légale est le plus souvent l’obligation légale (décompte des heures, preuve de formation) ou l’intérêt légitime de l’organisateur, pas le consentement.
Une phrase d’information en bas de page suffit, à condition de renvoyer vers une notice complète.
Jamais de données de santé, de date de naissance ni de coordonnées personnelles sur un document que tous les participants voient.
Fixez une durée de conservation et tenez-vous-y : la feuille n’a pas vocation à être gardée indéfiniment.

On n’associe pas spontanément une feuille de présence à la protection des données : il s’agit d’un papier, rempli en quelques secondes, rangé dans un classeur. Pourtant, le droit ne distingue pas le papier du fichier dès que les informations sont organisées de manière à retrouver une personne, ce qui est précisément la fonction d’une liste nominative. Les obligations qui en découlent sont réelles mais légères si l’on s’y prend dès la conception du document.

Pourquoi une feuille de présence est-elle un traitement de données ?

Une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable. Le nom l’est évidemment, mais aussi la signature, l’heure d’arrivée, l’organisme d’appartenance, et l’absence elle-même lorsqu’elle est notée. Un traitement est toute opération sur ces données : collecte, conservation, communication à un financeur, destruction. Le RGPD s’applique aux traitements non automatisés dès que les données sont contenues ou appelées à figurer dans un fichier, c’est-à-dire un ensemble structuré accessible selon des critères ; un classeur de feuilles classées par date et par session répond à cette définition. Les lois suisse et québécoise retiennent une approche équivalente.

Sur quelle base légale repose la collecte ?

Le consentement est rarement la bonne base : un stagiaire ou un salarié ne peut pas refuser librement de signer, et un consentement retiré rendrait la preuve inutilisable. Les bases pertinentes sont les suivantes :

Situation	Base légale	Exemple de texte sous-jacent
Décompte du temps de travail	Obligation légale de l’employeur	Code du travail (France), loi sur le travail (Suisse), Loi sur les normes du travail (Québec)
Preuve de réalisation d’une formation financée	Obligation légale ou exécution du contrat de formation	Code du travail, partie VI (France)
Assemblée générale	Obligation légale ou statutaire	Décret de 1967 (copropriété), statuts
Réunion, atelier, événement	Intérêt légitime de l’organisateur (organisation, sécurité, facturation)	RGPD, art. 6, 1, f
Registre d’appel scolaire	Mission d’intérêt public	Code de l’éducation (France), lois scolaires (Belgique, cantons, Québec)

La base légale se documente dans le registre des activités de traitement ; pour une association, voyez Registre des adhérents et RGPD.

Comment informer les personnes qui signent ?

L’information doit être donnée au moment de la collecte. Une mention au pied de la feuille suffit si elle contient l’essentiel et renvoie vers le reste : « Les données de cette feuille sont traitées par [organisme] pour justifier la présence aux séances et sont conservées [durée]. Elles peuvent être transmises à [financeur]. Vous disposez d’un droit d’accès et de rectification : [contact]. Notice complète : [emplacement]. » Le modèle de feuille de présence laisse une ligne pour cette mention. Au Québec, la loi exige en plus d’indiquer si les renseignements peuvent être communiqués hors de la province, ce qui est le cas si l’outil d’émargement numérique est hébergé à l’étranger.

Quelles données ne doivent pas y figurer ?

Le principe de minimisation interdit de collecter ce qui n’est pas nécessaire à la finalité. Sur une feuille collective, vue de tous, le risque est double : collecte excessive et divulgation aux autres participants.

Données de santé (allergies, régime, handicap, traitement) : jamais sur une liste collective. Elles relèvent de la fiche individuelle, conservée à part et accessible aux seules personnes qui en ont besoin ; c’est le cas en cantine scolaire, voyez Feuille de présence en cantine scolaire.
Date de naissance, numéro de sécurité sociale ou d’assurance sociale, numéro de pièce d’identité : inutiles pour prouver une présence.
Adresse, téléphone, courriel : à collecter sur une fiche d’inscription séparée, pas sur la feuille qui circule.
Motif d’absence : notez « absent », pas « malade » ni « rendez-vous médical » ; le justificatif est classé à part.

Combien de temps conserver une feuille de présence ?

La durée découle de la finalité : tant que la preuve peut être demandée, pas au-delà. Quelques repères :

Document	Durée raisonnable	Fondement
Feuille d’émargement de formation	Durée de contrôle du financeur (au moins 3 ans conseillés en France)	Délais de contrôle des fonds de formation
Décompte des heures de travail	1 an minimum en France, 5 ans en Belgique et en Suisse, 3 ans au Québec (à vérifier)	Textes cités dans Feuille d’heures et droit du travail
Feuille de présence d’assemblée	Durée de contestation des décisions, puis archivage avec le procès-verbal	Droit des associations, des sociétés, de la copropriété
Réunion ou atelier sans enjeu financier	Jusqu’à la clôture de l’exercice ou de la saison	Intérêt légitime

Au terme du délai, détruisez le papier (déchiqueteuse) ou archivez-le en accès restreint si une obligation plus longue l’exige. Le guide Combien de temps conserver ses documents donne l’ensemble des délais.

Quelles différences entre les quatre pays ?

Pays	Règle	Source
France	RGPD et loi Informatique et libertés ; autorité de contrôle : CNIL. Registre des traitements obligatoire sauf exemption pour les petites structures et les traitements occasionnels.	Règlement (UE) 2016/679 ; loi n° 78-17
Belgique	RGPD et loi du 30 juillet 2018 ; autorité : Autorité de protection des données.	Règlement (UE) 2016/679 ; loi du 30 juillet 2018
Suisse	Nouvelle loi fédérale sur la protection des données en vigueur depuis le 1^er septembre 2023 ; devoir d’informer lors de la collecte, registre des activités pour les entreprises de 250 personnes et plus ; autorité : Préposé fédéral.	LPD du 25 septembre 2020
Québec	Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la Loi 25 : responsable de la protection désigné, politique de confidentialité, registre des incidents ; autorité : Commission d’accès à l’information.	RLRQ, c. P-39.1

Pour les outils numériques d’émargement, qui ajoutent un sous-traitant et un hébergement, lisez Émargement numérique : quelle validité ?. Les sigles des autorités (CNIL, APD, PFPDT, CAI) sont expliqués dans la fiche Sigles administratifs.