RGPD et associations : comment protéger les données de vos membres

Le RGPD s'applique à votre association

Beaucoup d'associations pensent à tort que le Règlement Général sur la Protection des Données (RGPD) ne les concerne pas. Or, dès qu'une ASBL collecte des données personnelles (nom, email, téléphone, photos de membres), elle est tenue de respecter ce règlement européen. L'Autorité de protection des données (APD) belge veille à son application et peut imposer des sanctions en cas de manquement.

Quelles données sont concernées ?

Toute information permettant d'identifier directement ou indirectement une personne physique constitue une donnée personnelle :

Données d'identification : nom, prénom, adresse, numéro de registre national
Coordonnées : email, téléphone, adresse postale
Données financières : numéro de compte bancaire, cotisations payées
Photos et vidéos où les personnes sont identifiables
Données de santé : certificats médicaux, allergies, informations pour activités sportives
Données relatives aux mineurs : informations sur les enfants inscrits aux activités

Les données de santé et celles concernant les mineurs sont considérées comme sensibles et bénéficient d'une protection renforcée.

Les principes fondamentaux du RGPD

Finalité

Les données ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes. Par exemple, vous collectez les emails de vos membres pour les informer des activités, pas pour les transmettre à des tiers commerciaux.

Minimisation

Ne collectez que les données strictement nécessaires à vos objectifs. Demandez-vous si chaque champ de votre formulaire est vraiment indispensable.

Exactitude

Les données doivent être exactes et tenues à jour. Permettez à vos membres de corriger facilement leurs informations personnelles.

Limitation de conservation

Ne conservez pas les données plus longtemps que nécessaire. Définissez des durées de conservation pour chaque type de données et supprimez-les lorsqu'elles ne sont plus utiles.

Sécurité

Protégez les données contre tout accès non autorisé, perte ou destruction. Cela implique des mesures techniques et organisationnelles adaptées à la taille de votre association.

Les obligations concrètes pour votre ASBL

Le registre des activités de traitement

Vous devez tenir un registre documentant tous vos traitements de données : quelles données vous collectez, pourquoi, comment, pendant combien de temps, et avec qui vous les partagez. Ce registre doit être tenu à jour et être disponible en cas de contrôle de l'APD.

L'information des personnes

Lors de la collecte de données, vous devez informer clairement les personnes concernées :

Qui est responsable du traitement (votre ASBL)
Pourquoi vous collectez ces données
Combien de temps vous les conservez
Quels sont leurs droits (accès, rectification, suppression, etc.)
Comment exercer ces droits

En pratique, cela se traduit par une politique de confidentialité accessible sur votre site web et mentionnée dans vos formulaires d'inscription.

Le consentement

Le consentement doit être libre, spécifique, éclairé et univoque. Pas de cases pré-cochées, pas de consentement groupé pour plusieurs finalités différentes. Pour les mineurs de moins de 13 ans en Belgique, le consentement du représentant légal est requis.

Le délégué à la protection des données (DPD)

La plupart des petites ASBL ne sont pas tenues de désigner un DPD. Cependant, il est recommandé de désigner une personne référente au sein de votre association pour les questions de protection des données.

Mesures de sécurité pratiques

Mots de passe robustes pour tous les comptes qui accèdent aux données des membres
Accès limité : seules les personnes qui en ont besoin doivent accéder aux données
Sauvegardes régulières des données importantes
Chiffrement des fichiers sensibles (données de santé, données financières)
Mise à jour des logiciels et systèmes d'exploitation
Sensibilisation des bénévoles et employés aux bonnes pratiques

En cas de violation de données

Si une fuite de données se produit (piratage, perte d'un ordinateur, envoi d'email à la mauvaise personne), vous devez :

Notifier l'APD dans les 72 heures si la violation présente un risque pour les droits des personnes
Informer les personnes concernées si le risque est élevé
Documenter l'incident et les mesures prises

Outils et bonnes pratiques

Utilisez des outils qui intègrent nativement la protection des données. Les plateformes de gestion associative modernes, hébergées en Europe, offrent des garanties de sécurité supérieures aux fichiers Excel partagés par email. Vérifiez que votre fournisseur respecte le RGPD et propose un contrat de sous-traitance conforme.