Le RGPD, règlement général sur la protection des données, est applicable depuis le 25 mai 2018. Sa portée est européenne, et il ne prévoit aucun seuil : une association de dix adhérents y est soumise au même titre qu’une entreprise de mille salariés.

Or une association collecte beaucoup : bulletins d’adhésion, coordonnées, certificats médicaux, dons, photos d’assemblée générale. Toutes les formes juridiques sont concernées, qu’il s’agisse d’une association loi 1901, d’une association reconnue d’utilité publique, d’une association de gestion agréée ou d’une association de fait.

Quelles sont précisément ces obligations, et comment s’y conformer sans mobiliser un juriste ? L’équipe de notre CRM automatisable et flexible fait le point.

Tenir un registre des activités de traitement

L’article 30 du RGPD impose un registre des activités de traitement à tout organisme, public ou privé, quelle que soit sa taille. L’association y consigne l’intégralité des traitements de données personnelles qu’elle effectue, pour son propre compte comme pour un tiers.

Pour chaque traitement, le registre doit répondre à cinq questions :

• pourquoi ce traitement de données ?
• quels types de données sont collectés (identité, coordonnées, localisation, santé) ?
• quelle utilisation précise en est faite ?
• qui, au sein de l’association, traite ces données ?
• sont-elles transmises à un tiers, et si oui lequel ?

À partir de ce registre, vous devez pouvoir dresser une cartographie des données : qui, quoi, comment, où, pourquoi, et jusqu’à quand.

La dérogation des moins de 250 salariés ne vous concerne presque jamais

C’est le point sur lequel beaucoup d’associations se trompent. L’article 30 prévoit bien un allègement pour les organismes de moins de 250 salariés, mais il ne joue que si le traitement remplit trois conditions simultanément : être occasionnel, ne comporter aucune donnée sensible, et ne présenter aucun risque pour les droits des personnes.

Un fichier d’adhérents mis à jour toute l’année n’est pas occasionnel. Un fichier de donateurs non plus. La dérogation se limite en pratique à des cas marginaux, comme une campagne de communication ponctuelle pour l’ouverture d’un local. La CNIL recommande donc à toutes les structures, y compris les plus petites, de tenir un registre complet.

Pour démarrer, la CNIL met à disposition un modèle de registre simplifié. Nous en avons rempli un exemplaire sur un cas d’usage CRM, que vous pouvez reprendre tel quel : télécharger le modèle.

Trier les données et repérer les traitements à risque

Le RGPD repose sur un principe de minimisation : ne conserver que les données strictement nécessaires. Concrètement, triez ce que vous avez recueilli et supprimez ce qui n’apparaît pas dans votre cartographie, donc ce dont la conservation ne se justifie pas.

Certaines données sont dites sensibles. Dès que vous en traitez, vous devez pouvoir démontrer que vous prenez les mesures adaptées pour les protéger. Il s’agit des informations relatives :

• à la santé ;
• aux données génétiques ou biométriques ;
• aux origines raciales ou ethniques, aux convictions politiques, religieuses ou philosophiques, à l’appartenance syndicale, à l’orientation ou à la vie sexuelle.

Le cas est fréquent dans le monde associatif : une association sportive qui collecte des certificats médicaux traite des données de santé, et une association cultuelle ou syndicale traite par nature des données sensibles.

D’autres catégories appellent une vigilance particulière : les données concernant des personnes vulnérables, notamment les mineurs, celles qui permettent une surveillance automatique, et celles issues du croisement de plusieurs ensembles de données.

Informer les adhérents et recueillir leur consentement

Avant de collecter des données, l’association doit obtenir un consentement libre, spécifique, éclairé et univoque. Les cases pré-cochées sont interdites, et le consentement recueilli doit rester perceptible et clair.

Vous devez en outre informer les personnes concernées de trois éléments :

• pourquoi ces données sont collectées ;
• qui y aura accès ;
• combien de temps elles seront conservées.

En pratique, cela signifie revoir votre bulletin d’adhésion, vos formulaires en ligne et vos inscriptions à la newsletter. La CNIL publie des exemples de mentions à ajouter à vos formulaires.

Respecter les six droits de vos adhérents

Toute personne dont vous détenez les données peut exercer six droits, que vous devez être en mesure d’honorer.

• Droit d’accès : accéder aux informations la concernant.
• Droit à l’effacement, dit droit à l’oubli, prévu à l’article 17 : demander la suppression de ses données.
• Droit à la portabilité : récupérer ses données pour les conserver ou les transmettre à un autre organisme.
• Droit de rectification : faire corriger des données erronées.
• Droit d’opposition : s’opposer au traitement de ses données.
• Droit à la limitation : geler l’utilisation de certaines données.

Le délai de réponse est d’un mois à compter de la réception de la demande. Il peut être prolongé de deux mois supplémentaires si la demande est complexe ou si elles sont nombreuses, à condition d’en informer la personne dans le premier mois.

Tenir ces délais suppose de savoir retrouver instantanément toutes les données d’une personne. C’est beaucoup plus simple quand elles vivent dans une base unique plutôt que dans six tableurs et deux boîtes mail, ce qu’un CRM pour association permet de faire.

Garantir la sécurité des données collectées

En tant que détentrice de données personnelles, l’association doit en garantir la sécurité. Cela se joue à plusieurs niveaux :

• sécurité physique des locaux et des supports ;
• traçabilité des accès ;
• protection des postes de travail et mises à jour ;
• chiffrement des données ;
• sauvegardes régulières et testées ;
• gestion des droits d’accès des membres et des sous-traitants.

Le dernier point mérite une attention particulière : vos sous-traitants engagent votre responsabilité. Un prestataire de billetterie, un outil d’emailing ou un hébergeur traitent vos données pour votre compte, et un contrat doit encadrer cette relation. Sur ce volet, l’hébergement et la conformité de vos données se choisissent aussi soigneusement que vos outils.

Notifier une violation de données sous 72 heures

Si vous constatez une violation de données, perte, vol, divulgation ou accès non autorisé, vous devez saisir la CNIL dans un délai de 72 heures via le service notifications.cnil.fr. Lorsque la violation présente un risque élevé pour les personnes, vous devez également les informer dans les meilleurs délais.

Plus largement, formalisez une politique de confidentialité accessible à vos adhérents. Au-delà d’éviter une mise en demeure ou une sanction, c’est une démarche de respect envers les personnes qui vous confient leurs informations. Pour une association, dont le capital est la confiance de sa communauté, l’argument éthique pèse souvent plus lourd que l’argument juridique.

Vos questions sur le RGPD en association

Une petite association doit-elle vraiment se conformer au RGPD ?

Oui, le RGPD ne prévoit aucun seuil. Dès qu’une association tient un fichier d’adhérents, envoie une newsletter ou gère une billetterie, elle effectue un traitement de données personnelles et relève du règlement, quel que soit son nombre de membres ou de salariés.

Faut-il désigner un délégué à la protection des données ?

La désignation n’est obligatoire que dans certains cas, notamment le suivi à grande échelle ou le traitement à grande échelle de données sensibles. La plupart des associations n’y sont pas tenues, mais désigner un référent interne reste une bonne pratique pour savoir qui répond aux demandes.

Combien de temps peut-on conserver les données d’un ancien adhérent ?

Il n’existe pas de durée unique. Vous fixez vous-même une durée de conservation justifiée par la finalité, vous l’inscrivez dans votre registre et vous l’annoncez aux personnes. Les obligations comptables imposent par ailleurs de conserver certaines pièces plusieurs années.

Peut-on publier des photos d’une assemblée générale sur les réseaux sociaux ?

Une photo identifiant une personne est une donnée personnelle. Un consentement spécifique est nécessaire, distinct de l’adhésion elle-même. Prévoyez une case dédiée sur le bulletin, et une procédure simple pour retirer une photo sur demande.

Que risque une association qui ne respecte pas le RGPD ?

La CNIL procède le plus souvent par mise en demeure avant toute sanction, et tient compte de la taille et des moyens de la structure. Le risque le plus concret pour une association reste néanmoins réputationnel : une fuite de données d’adhérents abîme durablement la confiance.

Sources :

• Le registre des activités de traitement, CNIL : https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement
• Guide de sensibilisation au RGPD pour les associations, CNIL : https://www.cnil.fr/sites/cnil/files/atoms/files/cnil-guide_association.pdf
• Exemples de formulaire de collecte de données à caractère personnel, CNIL : https://www.cnil.fr/fr/exemples-de-formulaire-de-collecte-de-donnees-caractere-personnel