GUIDE PRATIQUE · RGPD ET DONNÉES PERSONNELLES
Les obligations d’une association face au RGPD
Plus de déclaration préalable à la CNIL, mais une documentation à tenir : registre, sous-traitants, sécurité, droits des personnes, violations de données.
Une logique de responsabilisation
Le RGPD reprend les grands principes de la loi Informatique et Libertés de 1978. Il abandonne la logique des déclarations préalables : les associations n’ont plus à déclarer leurs fichiers à la CNIL avant de les mettre en œuvre, sauf exceptions dans le domaine de la santé.
En contrepartie, l’association doit s’assurer en permanence que ses fichiers et services numériques sont conformes, et tenir à jour une documentation qui permet de le démontrer.
Ce que l’association doit faire
- recenser ses fichiers et tenir à jour le registre qui les détaille
- encadrer la sous-traitance
- garantir la sécurité des données
- organiser la réponse aux demandes des personnes qui exercent leurs droits
- informer la CNIL, voire les personnes concernées, des violations de données (perte de document, faille de sécurité…)
- réaliser, dans certains cas, une analyse d’impact (AIPD) pour les fichiers à risque
Faut-il un délégué à la protection des données ?
La désignation d’un délégué à la protection des données (DPO) n’est pas obligatoire pour les associations, sauf dans certains cas : une association du secteur social et médico-social devra a priori en désigner un, car elle traite des données sensibles à grande échelle.
La CNIL recommande toutefois de se doter d’un DPO (interne, externe ou mutualisé) ou de confier à une personne la mission de veiller au respect des règles, pour consolider la confiance et limiter les risques juridiques et d’image.
Le rôle de la CNIL
La Commission nationale de l’informatique et des libertés est l’autorité française de protection des données. Elle a quatre missions :
- informer et protéger les droits : toute personne peut la saisir en cas de difficulté
- accompagner la conformité et conseiller, avec des outils adaptés à la taille des organismes
- anticiper et innover, par une veille sur les technologies et les nouveaux usages
- contrôler et sanctionner : mise en demeure, amende…
Questions fréquentes
Une association doit-elle déclarer ses fichiers à la CNIL ?
Non. Depuis le RGPD, les associations n’ont plus à déclarer leurs fichiers avant de les mettre en œuvre, sauf exceptions dans le domaine de la santé. Elles doivent en revanche documenter leur conformité, notamment dans un registre.
Une petite association est-elle concernée par le RGPD ?
Oui. Le RGPD s’applique quelle que soit la taille de la structure, dès lors qu’elle traite des données personnelles, y compris sur papier.