RGPD : les associations sont aussi concernées !
Avant toute chose, sachez que Joinly met un point d’honneur à se conformer au RGPD et aux nouvelles législations l’entourant. Vous aurez très rapidement à votre disposition une communication de notre part à propos de nos efforts concernant la mise aux normes de notre solution ! C’est pourquoi, en attendant, nous vous proposons une série de contenus afin vous familiariser avec le RGPD. Et afin de vous proposer une marche à suivre dans le but d’assurer la conformité de votre association.
Le RGPD en détail
Concrètement, c’est quoi le RGPD ?
RGPD, pour Règlement général sur la protection des données, est un règlement de l’Union Européenne. Celui concerne directement toutes les entités françaises qui récoltent et rassemblent des données personnelles. Le règlement légifère sur la récolte et la protection des données au sein du territoire européen, mais son champ d’application est potentiellement mondial. Il va aussi poser un cadre juridique plus sécurisant autour du consentement, des responsabilités et des obligations de chacune des parties, et enfin appuyer certains principes. Le règlement est entré en vigueur le 25 mai 2018.
L’objectif principal de cette nouvelle réglementation est d’accroître la protection des personnes quant au traitement de leur données personnelles. Il s’agit donc de redonner aux citoyens le contrôle de leurs données à caractère personnel et, par la même occasion, de simplifier l’environnement juridique des entreprises autour de ces fameuses données.
À qui s’adresse le RGPD ?
Le Règlement général sur la protection des données ne s’adresse pas qu’aux seules entreprises, PME-TPE ou startups. Il s’adresse à toutes les structures qui récoltent des données personnelles à des fins commerciales. Il ne s’agit donc pas seulement des entreprises, mais également d’autres types de structure comme les associations ou encore les fondations. Ainsi, en cas de contrôle, celles-ci devront être en mesure de présenter un plan d’action ainsi que les actions déjà effectuées pour être en conformité.
Attention à la notion de données personnelles
Une distinction est à faire avant tout entre données personnelles, données publiques et données sensibles. Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou indentifiable. En tant qu’association, vous allez donc être donc être principalement porté vers la récolte de données personnelles, celle de vos adhérents par exemple. Ce sont ces données pour lesquelles vous allez devoir systématiquement demander le consentement.
Les données publiques, comme par exemple les adresses mail disponibles sur un site web, ne sont pas soumises à un quelconque consentement.
Les données sensibles, quant à elles, bénéficient d’une législation plus dure et d’une protection accrue. Il s’agit par exemple des données relatives à la géolocalisation ou à la santé. À priori, la législation autour des données sensibles ne vous concerne donc pas en tant qu’association. Mais gardez cela en tête tout de même.
Et les données papier, même combat ?
Vous vous demandez peut-être si le RGPD s’applique également aux documents papier ? Et bien, la réponse est oui. La réglementation est même bien plus contraignante concernant les données récoltées via des documents physiques. Vous devrez par exemple systématiquement détruire les données d’un prospect n’ayant répondu à aucune sollicitation commerciale de votre part depuis trois ans. Traiter ces données papiers représente un travail de longue haleine. Peut-être est-ce l’occasion de dématérialiser l’ensemble de vos documents associatifs et de passer enfin au tout numérique ?
Et en tant qu’association, que dois-je faire ?
Mettre en œuvre le RGPD
Mettre en œuvre le RGPD au sein de son association revient en fait à se mettre en conformité avec les principales dispositions du règlement. Gardez en tête que les cibles prioritaires du règlement sont les entreprises qui collectent des données sensibles. Les associations, souvent de petite taille et peu portées sur la récolte de données, paraissent donc en retrait. Néanmoins, chaque structure française possédant des données personnelles doit s’y conformer.
Recueillir le consentement
C’est l’élément central de ce nouveau règlement. Vous devez faire apparaître la demande de consentement sur chaque récolte de données. Celui-ci devra prendre la forme d’un texte de demande de consentement. Celui-ci doit clairement présenter les informations que vous collectez et, surtout, dans quel but. Autre chose : ce consentement doit être demandé à la fois activement et explicitement, c’est-à-dire via une case à cocher par exemple. Revoyez-donc vos formulaires ou les pages web de votre site associatif afin de vous assurer que ce consentement est demandé à chaque récolte de données.
Justifier la récolte des données
Un autre principe fondamental du RGPD est la justification des données. En effet, en cas de contrôle, vous devez être en mesure de justifier la récolte de n’importe quelle donnée. Derrière ce principe, il est sous-entendu ici que, désormais il vous impose de ne collecter seulement les données qui vous sont strictement nécessaires. Nécessaires au regard de votre activité associative ou de votre prospection de bénévoles, par exemple.
Quelques étapes clés de la mise en conformité
Tout d’abord, désigner un pilote semble indispensable. Cela peut être une personne de votre équipe dirigeante ou alors l’un de vos bénévoles qui souhaite prendre plus de responsabilité au sein de votre association. Ce pilote sera l’unique référent et l’interlocuteur principal pour toutes les questions relatives à la protection des données au sein de l’association. Ensuite, l’identification des différents fichiers contenant les données est nécessaire à la bonne mise aux normes de votre association. On appelle cela une cartographie. N’hésitez pas également à documenter la conformité. En effet, anticipez un éventuel contrôle en créant et en mettant à jour hebdomadairement les documents à présenter sans faute le jour de celui-ci.
Enfin, n’oubliez pas de lister les risques potentiels quant à la conservation des données. C’est toujours mieux de savoir à quoi s’attendre en cas de faille de sécurité !
Et sinon, qu’est-ce que je risque ?
Pour le moment, aucun texte de loi ne statue sur la question de manière précise. On sait seulement que les sanctions seront d’ordre civiles et non pénales. Des amendes administratives pourront être prononcées, d’un montant total maximum de dix millions d’euros, ou d’un montant allant jusqu’à 2 % du chiffre d’affaires annuel de l’entreprise en question. Pour plus de précisions, attendez encore quelques mois. Vous en saurez davantage à ce moment-là sur les textes de lois entrant en vigueur.
Finalement, que retenir du RGPD ?
Gardez en tête les trois points suivants :
- Toute structure qui recueille des données personnelles est concernée par ce règlement. Peu importe sa nature.
- Le 25 mai 2018 était la date butoir : désormais, vous êtes susceptible d’être contrôlé, et vous devrez donc mettre en lumière les efforts fournis !
- Le recueil du consentement, et ses modalités, est désormais un élément indispensable et de première importance en ce qui concerne le recueil de données.
Enfin, prenez plutôt la mise en œuvre du RGPD comme une opportunité de faire un état des lieux des données que vous récoltez. Mais dans tous les cas, avant de récolter une donnée, demandez-vous systématiquement pourquoi vous en avez besoin et combien de temps en avez-vous besoin. Ainsi, pour vous, dirigeants ou bénévoles d’association, il s’agit donc d’un équilibre à trouver, entre vos besoins, les données récoltées, et la législation.
Et profitez-en pour passer aux cotisations et inscriptions en ligne ! Et oui, chez Joinly, nous sommes plus que jamais attentifs à vos données. C’est pourquoi, nous accordons une attention particulière quant à la récolte et à la protection de vos données. Et c’est aussi pourquoi nous vous proposons le premier contenu de notre série d’articles à propos du RGPD. Restez connectés donc, d’autres informations et conseils à propos du RGPD sont à venir !
