RGPD pour les associations, ce qui s'applique vraiment

Le monde associatif vit avec une idée fausse et rassurante : le RGPD serait une affaire d’entreprises, au pire de grandes fédérations. La réalité est moins confortable. Une association de trois personnes qui gère un fichier d’adhérents est un responsable de traitement au sens plein du terme, avec les mêmes principes à respecter qu’une société. Nous accompagnons des associations, de la structure locale à l’acteur national, et les questions sont partout les mêmes.

Les fichiers que toute association possède, souvent sans le dire

L’inventaire type d’une association ordinaire est plus fourni qu’on ne le croit. Le fichier des adhérents, avec l’historique des cotisations. Celui des bénévoles, avec leurs disponibilités et parfois leur permis ou leur diplôme de secourisme. Les donateurs, avec les montants et les reçus fiscaux, à conserver plusieurs années pour l’administration. Les bénéficiaires des actions, qui touchent parfois à des situations sociales ou de santé. Les mineurs des activités jeunesse, avec les coordonnées des parents et les fiches sanitaires. Les photos des événements, publiées sur le site et les réseaux. Et la liste de diffusion de la newsletter, souvent construite au fil des ans sans que personne ne sache plus qui a consenti à quoi.

Chacun de ces fichiers est un traitement, avec une finalité, une durée et des règles d’accès. C’est exactement ce que le registre des traitements met à plat, et le registre est obligatoire dès lors que l’association traite des données sensibles ou de façon non occasionnelle, ce qui est le cas d’un fichier d’adhérents tenu à l’année.

Les points sensibles propres au monde associatif

Trois sujets méritent une vigilance particulière, parce qu’ils sont au cœur de la vie associative.

Les données sensibles, d’abord. L’adhésion à une association cultuelle, politique, syndicale ou de santé révèle par elle-même une information protégée par l’article 9 : le fichier d’adhérents d’une telle structure est un fichier de données sensibles, avec un régime renforcé. Une association d’aide sociale ou médico-sociale traite quant à elle des situations de vie et de santé de personnes souvent vulnérables.

Les mineurs, ensuite. Autorisations parentales, fiches sanitaires, photos : les activités jeunesse cumulent les données qui exigent le plus de rigueur sur la collecte, la conservation et la diffusion. La photo de groupe publiée sans autorisation reste l’incident le plus banal du secteur.

Le renouvellement des bénévoles, enfin. Les accès aux fichiers passent de main en main, les exports circulent sur des boîtes personnelles, et personne ne retire les droits de ceux qui sont partis. La moitié du travail de conformité d’une association consiste à savoir qui a accès à quoi, aujourd’hui.

Ce que les financeurs demandent désormais

L’aiguillon le plus efficace n’est pas la crainte de la CNIL, c’est le financeur. Les collectivités et les organismes publics intègrent de plus en plus des exigences de protection des données dans leurs conventions de subvention et leurs appels à projets, et posent la question du registre, voire du DPO. Une association qui répond « nous ne sommes pas concernés » se fragilise là où ça compte, sur ses ressources.

À noter : les organismes publics ont l’obligation de désigner un DPO, et certaines associations exerçant des missions de service public ou traitant des données sensibles à grande échelle y sont tenues également.

Par où commencer sans se noyer

La conformité d’une association ordinaire n’est pas un chantier d’ampleur. Un état des lieux d’une journée, un registre qui tient sur quelques pages, des mentions d’information sur les bulletins d’adhésion et les formulaires, une règle simple sur les photos, des durées de conservation décidées une fois pour toutes, et un tri des accès. L’essentiel est de le faire une fois sérieusement, puis d’entretenir.

Pour les structures plus importantes ou qui traitent des données sensibles, un audit puis un DPO externalisé mutualisent la compétence qu’aucun bénévole n’a le temps d’acquérir.