Logo OLYKO, logiciel de gestion pour associations et festivals — retour à l’accueil
Se connecter
☰ Menu
— L'équipe OLYKO

Gestion des membres et RGPD : ce que chaque association doit savoir

Gestion des membres et RGPD : ce que chaque association doit savoir

Beaucoup d'associations pensent que le RGPD ne concerne que les grandes entreprises. C'est faux. Dès qu'une structure collecte des données personnelles, les obligations s'appliquent, et un simple fichier d'adhérents avec noms et e-mails suffit. La taille de l'association n'y change rien, pas plus que le fait qu'elle soit entièrement gérée par des bénévoles.

Le règlement européen sur la protection des données, entré en application en mai 2018, vise toute personne ou organisation qui traite des données sur des individus. Un club de pétanque de quarante adhérents, une association de parents d'élèves ou le comité d'organisation d'un festival sont dans le même cas qu'une PME : ils doivent savoir quelles données ils détiennent, pourquoi, et qui peut y accéder.

Ce que cela signifie concrètement

Pas besoin de rédiger vingt pages de document juridique. Il faut surtout respecter quelques principes simples. Ne collectez que les données dont vous avez besoin : inutile de demander une date de naissance si elle ne sert à rien. Expliquez aux membres ce que vous ferez de leurs données. Obtenez leur consentement explicite quand c'est requis, par exemple pour une newsletter ou un partage avec un partenaire. Enfin, soyez capable de répondre quand un membre demande à consulter ou à supprimer ses données.

Ce dernier point est souvent le plus négligé. Un membre qui quitte l'association et demande la suppression de son compte doit l'obtenir simplement, sans avoir à relancer trois fois par e-mail. Le RGPD fixe d'ailleurs un délai : l'association dispose en principe d'un mois pour répondre à une demande d'accès, de rectification ou d'effacement. Ce délai peut être prolongé dans certains cas, à condition de prévenir la personne.

Faire l'inventaire de ses données

Avant de parler de consentement ou de sécurité, il faut savoir ce que l'on détient. La plupart des associations sont surprises en faisant le tour. Il y a le fichier des adhérents, bien sûr, mais aussi la liste des bénévoles avec leurs numéros de téléphone, les coordonnées des donateurs, les acheteurs de billets, les contacts des fournisseurs et des artistes et les photos prises lors des événements. Sans oublier les vieux tableurs qui traînent sur l'ordinateur d'un ancien trésorier.

La CNIL recommande aux associations de consigner tout cela dans un registre des traitements. Le mot fait peur, mais il s'agit d'un simple tableau qui indique, pour chaque fichier, les données collectées, à quoi elles servent, qui y a accès et combien de temps elles sont gardées. Le guide que la CNIL a publié pour les associations propose un modèle simplifié. Une fois ce tableau rempli, la plupart des autres questions trouvent leur réponse plus facilement.

Choisir la bonne base légale

Le RGPD n'exige pas le consentement pour tout. Chaque utilisation de données doit reposer sur une base légale, et le consentement n'en est qu'une parmi d'autres. Gérer les cotisations et convoquer les membres à l'assemblée générale découle de l'adhésion elle-même : pas besoin de demander une autorisation supplémentaire. Conserver certaines pièces comptables relève d'une obligation légale. Informer ses adhérents des prochaines activités de l'association peut souvent s'appuyer sur l'intérêt légitime.

Le consentement devient en revanche nécessaire dans d'autres situations : envoyer une newsletter à des personnes qui ne sont pas membres, transmettre des coordonnées à un partenaire ou à un sponsor, publier la photo d'un bénévole reconnaissable sur les réseaux sociaux. Bien identifier la base légale de chaque traitement évite deux écueils : demander des autorisations inutiles, ou au contraire se passer d'un accord qui était obligatoire.

Informer clairement, dès l'inscription

Le bulletin d'adhésion, papier ou en ligne, est le meilleur endroit pour informer les membres. Quelques lignes suffisent : le nom de l'association responsable du fichier, l'usage prévu des données, les personnes qui y ont accès, la durée de conservation, et l'adresse à laquelle écrire pour exercer ses droits. Inutile d'en faire un paragraphe juridique illisible. Une mention courte et compréhensible vaut mieux qu'un long texte que personne ne lit.

La même logique s'applique aux autres points de collecte : formulaire d'inscription des bénévoles, page de billetterie, fiche de contact d'un exposant. Chaque fois que l'association recueille des coordonnées, la personne doit savoir ce qu'il en adviendra. Pour un festival, pensez aussi à signaler à l'entrée ou sur la billetterie que des photos et vidéos seront prises pendant l'événement.

Le consentement doit être un geste volontaire

Un formulaire d'inscription où la case « j'accepte de recevoir des communications » est déjà cochée n'est pas conforme : c'est à la personne de la cocher elle-même. La Cour de justice de l'Union européenne l'a confirmé en 2019 dans l'arrêt Planet49. Le consentement doit aussi être spécifique : une seule case pour « newsletter, partenaires et photos » ne suffit pas. Chaque usage mérite sa propre case, et la personne doit pouvoir retirer son accord aussi facilement qu'elle l'a donné, par exemple avec un lien de désinscription en bas de chaque e-mail.

Ne pas tout garder indéfiniment

Une association garde souvent tout, par habitude ou par prudence. Or le RGPD demande de fixer une durée de conservation pour chaque type de données. Les coordonnées d'un adhérent se justifient pendant son adhésion. Après son départ, elles peuvent être gardées quelque temps pour des raisons pratiques, mais pas pour toujours. Pour les anciens membres ou donateurs que l'on souhaite recontacter, la CNIL retient en général un délai de trois ans après le dernier contact. Les pièces comptables suivent leurs propres règles de conservation.

Un tri annuel, au moment de l'assemblée générale ou de la clôture des comptes, suffit souvent. Il allège les fichiers et réduit les risques en cas de fuite, puisque les données supprimées ne peuvent plus être exposées.

Sécuriser sans complexifier

Protéger les données ne demande pas d'infrastructure sophistiquée. Donnez à chaque bénévole son propre mot de passe au lieu d'un compte partagé. Limitez l'accès aux données personnelles aux personnes qui en ont besoin : le bénévole de la billetterie n'a pas à voir les coordonnées bancaires d'un fournisseur. Faites aussi des sauvegardes régulières pour ne pas perdre l'historique en cas d'incident.

Les départs de bénévoles méritent une attention particulière. Quand un trésorier ou un responsable de pôle quitte l'association, il faut lui retirer ses accès et récupérer les fichiers stockés sur son ordinateur personnel ou dans sa boîte mail. C'est une étape facile à oublier dans une structure où les rôles tournent chaque année.

En cas d'incident sérieux, comme un ordinateur volé contenant le fichier des adhérents ou un envoi groupé où tous les destinataires apparaissent en clair, le RGPD prévoit une notification à la CNIL sous 72 heures lorsque la fuite présente un risque pour les personnes concernées. Mieux vaut savoir à l'avance qui s'en charge.

Vérifier les outils utilisés

Une association s'appuie presque toujours sur des services extérieurs : un outil d'envoi d'e-mails, une plateforme de billetterie, un logiciel de gestion, un espace de stockage en ligne. Ces prestataires traitent des données pour le compte de l'association, qui reste responsable de leur choix. Il faut donc vérifier leurs conditions : où sont hébergées les données, qui peut y accéder, et ce qui se passe à la fin du contrat. Un prestataire sérieux fournit ces informations sans difficulté.

Documenter les consentements

Il faut pouvoir prouver à tout moment qu'un membre a accepté les conditions d'utilisation à une date donnée, et retrouver la version des conditions en vigueur ce jour-là. Une association qui a ces informations sous la main répond sereinement à une question sur le RGPD. Les autres découvrent le problème le jour où on le leur pose.

Le RGPD concerne donc toutes les associations, et c'est aussi une question de respect envers les membres qui leur confient leurs données. Un outil de gestion conçu pour les associations devrait intégrer ces exigences par défaut : traçabilité des consentements, accès limité aux données sensibles, export ou suppression simple sur demande. Ce n'est pas à chaque association d'inventer sa propre solution.

Sources :

Photo de Towfiqu barbhuiya sur Unsplash

Partager cet article :