Le Règlement Général de Protection des Données (RGPD) est entré en application le 25 mai 2018. Au sein de vos associations, vous avez (on l’espère) mis en place ou réajusté un certain nombre de vos pratiques et outils. Pour ceux qui auraient raté le coche ou envie de refaire le tour de la question : voici, pour vous, le RGPD en 3 points.

Le RGPD, c’est quoi ?

Le nouveau cadre juridique de l’Union européenne sur la collecte et le traitement des données à caractère personnel. Il renforce les droits des citoyens européens sur leurs données personnelles et responsabilise ceux qui les collectent et les traitent. Toutes les organisations publiques et privées (dont les associations) des États membres de l’Union européenne sont concernées.

Se mettre en conformité

Désignez un pilote de la mise en conformité de l’association au RGPD :
Bénévole ou salarié, choisissez-le pour son intérêt pour le thème. Il s’entourera, en fonction de ses besoins, des interlocuteurs pertinents à chaque étape.

Recensez les activités de l’association impliquant le traitement de DP :
En tant qu’association vous manipulez un certain nombre de données liées à :

• Gestion des membres de l’association
• Déclaration des dirigeants et responsables de l’association 
• Gestion des bénéficiaires des actions de l’association 
• Gestion du personnel  
• …

Identifiez chacune d’elle.

Définissez un plan d’action :
Déterminez pour chaque activité les finalités des traitements des données :

• La finalité (ou objectif) de la collecte de chaque donnée doit être déterminée, légitime, explicite et respectée. 
• Pour quelle(s) raison(s) collectez-vous cette donnée ? Quel(s) usage(s) comptez-vous en faire ?
• Vous pourrez ainsi vous assurer de la pertinence et de l’utilité des différentes données recueillies.

Renseignez les mesures de conservation et sécurisation des DP pour chaque activité :

• Ce sont les modalités d’enregistrement, de stockage et délai d’effacement des DP
• Qui contrôle l’accès aux données ? Qui y a accès ? Comment sont-elles protégées ?
• L’état des lieux (déjà effectué) vous permettra d’identifier les différents outils et procédures auxquels vous avez recours.

Faites respecter les droits des personnes :
Les personnes dont vous collectez les données doivent, en cas de demande, pouvoir être informées sur les raisons et modes de traitement de leurs données. Vous devez leur permettre d’exercer leurs droits d’accès, de rectification, d’opposition et d’effacement.

Restez vigilants

Le RGPD n’est pas une mode du moment, mais bien une obligation sur la durée. Le recours au numérique et à ses avantages, dans la gestion et l’animation des associations, implique de prendre en compte des précautions spécifiques. Le stockage, la destruction et la sécurisation des dossiers papier ne sont pas non plus sans risque.

L’association ADEF a pour mission la mise à disposition de logements dans des résidences et foyers notamment pour des étudiants, des familles monoparentales et des travailleurs migrants. Une faille sur son site internet permettait aux personnes ayant effectué une démarche d’inscription d’accéder à des documents enregistrés par d’autres demandeurs : avis d’imposition, passeports, cartes d’identité, titres de séjour, bulletins de salaires, attestations de paiement de la CAF. La CNIL a prononcé à son encontre, en juin 2018, une sanction de 75 000 € pour avoir insuffisamment protégé les données des utilisateurs de son site internet.

CNIL, 2018

Des outils et dispositifs pour vous accompagner

Alors oui, vous direz (avec raison) que c’est encore une nouvelle contrainte sur votre association qui a déjà du mal à mobiliser des bénévoles pour mener à bien ses actions.

Mais nous n’avons pas prévu de vous laisser tomber. En plus des outils ci-après, sachez que la Chambre des associations est membre du Réseau PANA (Point d’Appui au Numérique Associatif) et à votre disposition pour vous aider à trouver des solution (sur ça ou autre chose).

QUELQUES OUTILS POUR Y VOIR PLUS CLAIR :

〉 Règlement général sur la protection des données (RGPD)

〉 Définition du registre des activités de traitement

〉 Modèle de la CNIL du registre des activités de traitement

〉 Le principe de finalité

〉 5 bonnes pratiques RGPD pour votre association
Formation en ligne – Durée : 30 minutes – Intervention : Jules Harduin – AssoConnect

〉 Guide pratique de sensibilisation au RGPD des petites et moyennes entreprises
Guide élaboré par la Commission nationale de l’informatique et des libertés (CNIL) et Bpifrance pour aider les TPE et PME à se préparer à la nouvelle réglementation européenne.