RGPD
Ce que ça demande à une association
- Savoir quelles données on tient et où : un inventaire d'une page suffit pour commencer
- Dire aux personnes pourquoi on les collecte, dans une politique de confidentialité sur le site et au moment de l'inscription
- Ne garder que ce qui sert, le temps qu'il faut, et supprimer le reste
- Limiter l'accès aux personnes qui en ont besoin, avec des comptes nominatifs et des mots de passe sérieux
- Répondre à une personne qui demande ses données, leur correction ou leur suppression
- Signer un contrat avec chaque prestataire qui traite des données pour vous (hébergeur, outil d'envoi, CRM) : c'est l'article 28
- Notifier une violation de données à l'Autorité de protection des données dans les 72 heures : c'est l'article 33
Sources : règlement (UE) 2016/679 ; Autorité de protection des données, notifier et gérer une violation.
Les erreurs courantes
Le tableur des membres partagé avec tout le monde par un lien ouvert ; la liste de diffusion sans désinscription ; les photos de bénéficiaires publiées sans accord ; les fiches de personnes parties depuis dix ans ; l'outil gratuit qui utilise les données pour s'entraîner ; le compte administrateur d'un bénévole qui n'est plus là. Aucune n'est technique. Un CRM bien réglé, un site avec sa politique de confidentialité et une règle écrite d'une page corrigent l'essentiel.
Par où commencer
- L'inventaire : quelles listes, où, qui y accède, depuis quand, pourquoi
- La politique de confidentialité sur le site, écrite sur des faits vérifiés, pas copiée d'un modèle
- Les accès : un compte par personne, la double authentification, la fermeture des comptes des personnes parties
- Le tri : supprimer ce qui ne sert plus, archiver ce qu'on doit garder
- Les contrats avec les prestataires, et un référent qui tient l'inventaire à jour
Chez Kern4Good
Chaque site livré comprend une politique de confidentialité et de cookies écrite sur des faits vérifiés, et aucun traceur n'est posé sans consentement : ce site-ci fonctionne ainsi. Le cadrage CRM pose les règles d'accès et de conservation avant l'import. Dès qu'un site demande un espace privé, l'association devient responsable du traitement et KERN-IT son sous-traitant, avec un contrat : c'est pourquoi l'espace privé est hors échelle, sur devis, sur la page Tarifs.
Pour aller plus loin
Une petite association doit-elle nommer un délégué à la protection des données ?
En général non, sauf traitement à grande échelle de données sensibles (santé, par exemple). Une personne référente qui tient l'inventaire suffit dans la plupart des cas.
Peut-on publier des photos de nos activités ?
Oui avec l'accord des personnes reconnaissables, écrit de préférence, et avec une attention particulière pour les mineurs. Prévoyez la case à cocher dans vos inscriptions.
Combien de temps garder les fiches des anciens membres ?
Le temps qui sert : la durée de la cotisation plus ce que la loi impose pour la comptabilité. Passé ce délai, on supprime ou on anonymise. Écrivez la règle une fois, l'outil peut l'appliquer.
Que faire si nous perdons un ordinateur avec la liste des membres ?
C'est une violation de données : l'évaluer, la notifier à l'Autorité de protection des données dans les 72 heures si elle présente un risque pour les personnes, les prévenir si le risque est élevé, et documenter ce qui s'est passé. Un disque chiffré évite le pire.