Mettre son association en conformité avec le RGPD en 5 étapes

1. Recenser les fichiers dans un registre

Le RGPD impose de lister les fichiers dans un registre. Créez une fiche par objectif, en précisant :

• le responsable du traitement et, le cas échéant, le DPO
• l’objectif du fichier (la gestion des adhérents, par exemple)
• les catégories de personnes et de données
• qui y a accès et à qui les données sont communiquées
• les durées de conservation
• les mesures de sécurité
• les éventuels transferts hors de l’Union européenne

La CNIL propose un modèle de registre de base sur son site.

2. Faire le tri dans les données

Pour chaque fichier, vérifiez que les données sont nécessaires, que seules les personnes habilitées y accèdent et qu’elles ne sont pas gardées trop longtemps. Pour un tarif préférentiel, une attestation de quotient familial est légitime ; le numéro de sécurité sociale ou la carte Vitale ne le sont pas. Les paiements de cotisations ne doivent être visibles que des personnes chargées de leur suivi, pas de tous les adhérents ni des entraîneurs.

Les données des anciens adhérents ne peuvent pas être conservées sans limite : elles doivent être supprimées trois ans après la fin de l’adhésion.

3. Informer les personnes

Les personnes doivent être informées à chaque collecte, sur papier comme en ligne (bulletins d’adhésion, questionnaires…). Une information orale en complément de l’écrit est recommandée.

4. Faciliter l’exercice des droits

Toute personne peut accéder à ses données et en obtenir copie, les faire rectifier, les faire effacer, demander la limitation du traitement, récupérer ses données (portabilité, sous conditions) et s’opposer au traitement pour des raisons particulières lorsqu’il repose sur l’intérêt légitime ou une mission d’intérêt public.

Prévoyez un formulaire, une adresse ou un numéro dédié, et une procédure interne. La réponse doit être apportée dans un délai d’un mois ; si un délai supplémentaire est nécessaire, la personne en est informée dans ce mois, et la réponse ne peut pas dépasser trois mois.

5. Sécuriser les données

Il s’agit d’empêcher l’accès illégitime, la modification non désirée et la disparition des données. Bonnes pratiques citées par la CNIL : un identifiant et un mot de passe robuste par personne, des accès limités aux besoins réels et clos au départ, des connexions et paiements en ligne chiffrés (https), des armoires fermées à clé, des sauvegardes régulières, une charte informatique et l’encadrement des smartphones, ordinateurs portables et clés USB.

En cas de violation de données

Données détruites, perdues, modifiées ou divulguées (courriel au mauvais destinataire, matériel volé, publication involontaire) : l’incident doit être documenté en interne. S’il présente un risque pour les personnes, il doit être notifié à la CNIL dans les 72 heures, en ligne. Si le risque est élevé, les personnes concernées doivent aussi être informées.

Le risque s’apprécie selon le type de violation, la nature et le volume des données, la facilité d’identification, la gravité des conséquences, la vulnérabilité des personnes (mineurs…), l’objet de l’association et le nombre de personnes concernées.

Questions fréquentes