Les grands principes du RGPD à respecter

Licéité : choisir une base légale

Le traitement doit poursuivre un objectif conforme au droit et reposer sur une base légale prévue par le RGPD. Celles qu’une association peut utiliser :

• l’accord libre, spécifique, éclairé et univoque des personnes (prospection électronique auprès de prospects)
• l’exécution d’un contrat (les prestations prévues entre un club et son adhérent, et sa gestion administrative)
• une mission d’intérêt public, pour les associations qui en sont chargées ou dotées de prérogatives de puissance publique
• l’intérêt légitime de l’association (prospection postale auprès des membres)
• une obligation légale (déclaration sociale nominative des salariés)

Finalité déterminée et légitime

Les données ne peuvent pas être utilisées pour une autre raison que celle fixée au départ. Un centre musical ne peut pas transmettre les coordonnées de ses membres, collectées pour organiser les cours, à un magasin d’instruments qui souhaite leur envoyer de la publicité, sans leur accord préalable.

Pertinence et minimisation

Seules les données ayant un lien direct avec l’objectif et nécessaires à celui-ci peuvent être collectées. La situation matrimoniale n’est pas nécessaire pour s’inscrire à une activité sportive.

Transparence

Dès la collecte, les personnes doivent connaître :

• l’identité et les coordonnées de l’association
• l’objectif du traitement et sa base légale
• le caractère obligatoire ou non des informations demandées, et les conséquences d’un refus
• les destinataires des données
• la durée de conservation
• leurs droits (au moins accès, rectification, effacement et limitation)
• l’existence éventuelle d’un transfert hors de l’Union européenne
• le contact du DPO ou du référent
• le droit d’introduire une réclamation auprès de la CNIL

Ces informations doivent être concises et adaptées au public (pictogrammes pour les enfants). Sur un formulaire, on peut se limiter à l’essentiel et renvoyer vers une mention complète sur le site de l’association.

Durée de conservation limitée

Les données sont conservées pour une durée définie selon l’objectif. On distingue la gestion courante, puis l’archivage intermédiaire, quand les données ne servent plus au quotidien mais présentent un intérêt administratif (contentieux) ou doivent être gardées par obligation légale : par exemple, les bulletins de paie doivent être conservés cinq ans. En archivage intermédiaire, seules des personnes spécialement habilitées y accèdent.

Ensuite, les données sont supprimées, ou anonymisées de façon que les personnes ne soient plus identifiables.

Confidentialité et sécurité

Seuls les membres et salariés dont les missions le nécessitent doivent accéder aux données. Cela passe par la sécurité des locaux et des postes (fermeture à clé, mots de passe individuels, antivirus), des habilitations informatiques adaptées, et la destruction des documents papier dans un conteneur sécurisé ou un destructeur.

Face à une demande de communication, vérifiez sa légitimité. Pour une administration, contrôlez le texte qui l’autorise et ne transmettez que le nécessaire, de façon sécurisée. Pour un tiers sans texte, vérifiez la compatibilité avec l’objectif initial, triez les données, informez les personnes et permettez-leur de s’opposer. Pour une demande de subvention ou de mécénat, un dossier anonymisé suffit en principe.

Questions fréquentes