Association : comment appliquer une politique RGPD ?

Pourquoi les associations sont concernées par le RGPD ?

Les associations sont concernées par le Règlement Général sur la Protection des Données (RGPD) car, dans le cadre de leurs activités quotidiennes, elles traitent couramment des données à caractère personnel. En effet, ces dernières peuvent collecter, stocker ou encore utiliser les données sensibles de leurs adhérents et autres parties prenantes et, ce, dans plusieurs cas de figure :

La collecte de données sensibles: les associations récupèrent souvent les informations personnelles de leurs adhérents et autres membres (nom, adresse, numéro de téléphone…).
La gestion des employés: lorsqu’une association compte des employés, elle traite également leurs données dans le cadre de la gestion du personnel (informations contractuelles, coordonnées bancaires…).
La communication: les associations utilisent fréquemment des informations personnelles afin de communiquer avec leurs adhérents, partager des actualités ou encore envoyer des lettres d’information.
La gestion des cotisations: qui implique l’utilisation de coordonnées bancaires et autres informations personnelles.
La gestion évènementielle : si une association organise un évènement, elle peut récolter des informations personnelles sur les participants (inscription, préférences alimentaires…).

Puisque l’objectif principal du RGPD est de protéger les droits et la vie privée des individus en ce qui concerne le traitement de leur données personnelles, les associations, qui manipulent quotidiennement ces informations sensibles, doivent donc s’y soumettre. Le tout, afin d’assurer à leurs adhérents une utilisation conforme et régulière.

Quelles sont les obligations des associations en matière de protection des données ?

Afin d’assurer une protection adéquate des données personnelles et de garantir le respect des droits de chacun, les associations doivent répondre à plusieurs obligations :

L’obtention du consentement: chaque association doit recueillir le consentement explicite de chaque individu dont elle collecte, traite et utilise les données personnelles. Ce consentement doit être donné librement, de manière spécifique, éclairée et sans équivoque.
La transparence: les associations sont tenues d’informer les individus sur la manière dont leurs données seront traitées et utilisées. Cela inclut de les renseigner sur le type de données collectées, la finalité de leur traitement et leur durée de conservation.
La sécurisation des données: il est exigé des associations qu’elles mettent en place des mesures de sécurité appropriées afin de protéger les données personnelles contre tout accès non-autorisé, divulgation, altération ou destruction.
Le respect des droits des personnes: les personnes dont les données sont traitées par une association ont des droits spécifiques tels que le droit d’accès à leurs données, le droit de rectification, le droit à l’effacement, le droit à la limitation du traitement et le droit à la portabilité des données. Les associations doivent donc être en mesure de répondre à chacune de ces demandes.
La notification de violation des données: en cas de violation des données personnelles susceptibles d’engendrer un risque pour les droits et les libertés des individus, les associations ont l’obligation de notifier cette violation à l’autorité de contrôle compétente et, dans certains cas, aux personnes concernées.
La documentation interne: les associations doivent maintenir à jour une documentation interne démontrant leur mise en conformité au RGPD (registres des activités de traitement, politique de protection des données, mesures de sécurité mises en place…).
Dans certains cas, la désignation d’un DPO: pour certaines associations, il est également demandé de désigner un Délégué à la Protection des Données (DPO), chargé de veiller à la conformité et au respect du RGPD.

Pour garantir le respect de ces principes de confidentialité et de protection des données au sein de votre association, voici les étapes à suivre :

Sensibilisez et formez vos membres afin qu’ils comprennent les principes fondamentaux de l’application du RGPD et l’importance de la protection des données personnelles.
Réalisez un audit de l’inventaire des données personnelles que vous stockez, traitez et utilisez et identifiez la base juridique sur laquelle votre association traite ces données.
Elaborez une politique de confidentialité claire et concise qui explique comment votre association collecte, traite, stocke et protège les données personnelles. Informez également vos membres et adhérents sur leurs droits en matière de protection des données.
Obtenez le consentement explicite de chacun de vos adhérents et membres avant de collecter et de traiter leurs informations personnelles. Permettez-leur aussi de retirer ce consentement à tout moment.
Limitez l’accès aux données sensibles aux personnes autorisées au sein de votre association et mettez en place des mesures de sécurité appropriées afin de les protéger contre toute menace. Par exemple, la solution CRM d’Eudonet dédiées aux Associations Professionnelles vous permet d’héberger vos données sur le Cloud Souverain en toute sécurité et conformité avec le RGPD.

Il serait également judicieux de consulter un expert juridique spécialisé en protection des données afin de vous assurer que la politique de votre association soit en adéquation avec le RGPD et lois nationales applicables.

Quelles sont les sanctions prévues pour les associations en cas de non-respect du RGPD ?

En France, les sanctions prévues pour les associations en cas de non-respect du Règlement Général sur la Protection des données sont définies par la Commission Nationale de l’Informatique et des Libertés (CNIL). Voici quelques-unes des sanctions possibles selon les situations :

L’avertissement: les autorités de contrôle peuvent émettre à l’égard de votre association un avertissement formel si elles estiment qu’il y a eu une violation du RGPD. Cela constitue une première étape pour inciter les associations à se conformer aux règles en vigueur.
Les réprimandes : en cas de violations graves ou répétées, le CNIL peut choisir d’émettre des réprimandes formelles à l’encontre de votre association. Celles-ci peuvent être publiques et servir d’avertissements plus sévères.
Les limitations ou interdictions de traitement: lorsque les autorités estiment que cela est nécessaire pour protéger les droits et libertés des personnes concernées.
Les amendes administratives: les autorités de contrôle ont le pouvoir d’infliger des amendes administratives. Ces dernières dépendent de la nature et de la gravité de la violation.
Les indemnisations: les personnes dont les droits en matière de protection des données ont été violés peuvent intenter des actions en justice et obtenir une indemnisation pour les dommages subis.

Ces sanctions peuvent évidemment varier en fonction des cas. La CNIL tient compte de divers facteurs tels que la gravité de la violation, la nature des données en question, la coopération de l’association ou encore les mesures prises pour remédier à la situation. Les associations sont, de leur côté, encouragées à maintenir une conformité continue avec le RGPD afin d’éviter de telles sanctions.