RGPD : les notions clés pour une association

Donnée personnelle

Toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom et prénom) ou indirectement (numéro d’adhérent, téléphone, adresse postale ou courriel, numéro de sécurité sociale, voix, photo).

L’identification peut résulter d’un croisement : l’âge, le sexe et la pratique d’un sport à tel niveau dans telle ville peuvent révéler l’identité d’une personne. En revanche, les coordonnées d’une association ou d’une entreprise (adresse, standard, courriel générique) ne sont pas des données personnelles.

Traitement de données

Toute manipulation de données : collecte, enregistrement, conservation, modification, consultation, communication, rapprochement… Une simple consultation est un traitement. Exemples : le formulaire d’adhésion, un tableur de suivi des usagers, une base de données, un système de vidéosurveillance.

Un fichier n’est pas forcément informatisé : les fichiers papier sont concernés et doivent être protégés de la même manière.

Finalité

L’objectif du traitement. Il doit être déterminé, explicite et légitime avant la collecte : on ne collecte pas de données sans savoir à quoi elles serviront. Exemples : gestion des licenciés d’un club, gestion des donateurs, suivi social des personnes accompagnées, annuaire des anciens membres.

Le fichier ne peut pas servir à autre chose : les candidatures reçues pour un poste de bénévole ou de salarié ne peuvent pas être réutilisées pour adresser des sollicitations aux candidats.

Donnée sensible

Prétendue origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques ou biométriques, santé, vie ou orientation sexuelle. Leur utilisation est interdite par principe, sauf exceptions prévues par l’article 9.2 du RGPD, notamment :

• le consentement explicite de la personne
• un fichier tenu par une association à but politique, philosophique, religieux ou syndical, portant exclusivement sur ses membres, anciens membres ou contacts réguliers, et non communiqué à l’extérieur sans leur accord

Par exemple, une association qui organise des sorties extrascolaires peut recueillir des informations sur la santé des enfants (allergies) avec l’accord du représentant légal.

Responsable de traitement

La personne ou l’organisme qui définit les objectifs et les modalités du traitement, et qui doit en garantir la conformité. C’est en général le représentant légal : le président de l’association, le directeur général de la structure.

Destinataire, tiers autorisé, sous-traitant

• Destinataire : la personne ou l’organisme qui reçoit les données pour une raison déterminée et légitime (l’organisateur d’un tournoi, la fédération sportive du club).
• Tiers autorisé : une autorité publique ou une administration habilitée par un texte à recevoir les données (organismes de sécurité sociale dans la lutte contre la fraude, justice, police, gendarmerie).
• Sous-traitant : l’entreprise ou l’association qui traite des données pour le compte de l’association (hébergement informatique, maintenance, gestion de la paie). Ses obligations doivent être précisées dans le contrat.

Questions fréquentes