Règlement (UE) 2016/679, article 9.2 d)

DPO externalisé pour les associations et les fondations

Le règlement (UE) 2016/679 ne connaît pas le but non lucratif comme cause d'exonération : une association traite des données personnelles et y est soumise comme toute autre organisation. Il lui réserve en revanche une exception propre, au point d) de l'article 9.2, qui reconnaît qu'une adhésion peut révéler par elle-même une opinion que le texte protège. C'est autour de cette exception que se construit la conformité du secteur.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

L'adhésion révèle parfois davantage que l'adhésion

L'article 9.1 du règlement interdit le traitement des données qui révèlent les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que des données concernant la santé ou l'orientation sexuelle. Le verbe est important : il suffit que la donnée révèle, elle n'a pas besoin de l'énoncer. Le fichier des adhérents d'une association cultuelle, d'un parti, d'un syndicat ou d'une association de patients tombe donc sous cette interdiction par le seul fait de l'objet social.

Le point d) de l'article 9.2 lève cette interdiction pour le traitement effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale. L'exception est toutefois assortie de trois conditions cumulatives que le texte énonce expressément : le traitement se rapporte exclusivement aux membres, aux anciens membres ou aux personnes entretenant des contacts réguliers avec l'organisme ; il n'a pas lieu en dehors de cet organisme sans le consentement des personnes ; et les données ne sont pas communiquées à des tiers.

Cette dernière condition est décisive et régulièrement méconnue : elle interdit l'échange ou la cession de fichiers d'adhérents entre organismes, y compris entre structures partageant le même objet.

Donateurs, appels aux dons et reçus fiscaux

Le fichier des donateurs relève d'un raisonnement distinct de celui du fichier des adhérents : le don n'emporte pas adhésion, et le donateur n'est pas nécessairement un membre au sens du point d). Lorsque l'objet de l'organisme est de ceux qui révèlent une opinion protégée, la question de la base applicable au fichier de donateurs doit donc être traitée pour elle-même.

La sollicitation de dons suit par ailleurs les règles de la prospection : le contact par voie électronique d'un particulier suppose son consentement préalable, et l'information délivrée lors de la collecte doit mentionner cette finalité. L'émission de reçus fiscaux impose en revanche une conservation dont la durée est fixée par la réglementation fiscale, indépendante de la volonté du donateur, ce qui explique qu'une demande d'effacement n'atteigne pas ces pièces.

Bénévoles, salariés et accès aux fichiers

Le bénévole n'est pas un salarié, mais il traite des données pour le compte de l'association, qui reste responsable du traitement. L'article 29 du règlement pose la règle qui s'applique à lui comme à tout autre : quiconque agit sous l'autorité du responsable et a accès à des données ne les traite que sur instruction de celui-ci.

Les deux mesures qui produisent le plus d'effet dans une structure associative sont simples et rarement mises en œuvre. Un engagement de confidentialité signé par les bénévoles ayant accès aux fichiers, qui matérialise l'instruction. Et une gestion des accès qui retire effectivement les droits lorsqu'un bénévole cesse ses fonctions, ce qui suppose que la liste des comptes existe et soit revue — le départ d'un bénévole étant, par nature, moins formalisé que celui d'un salarié.

Faire avec des moyens contraints

Une association dispose rarement d'une direction des systèmes d'information. Ses outils sont souvent gratuits, parfois personnels, et les données circulent par messagerie. L'article 32 du règlement n'impose pas un niveau de sécurité absolu mais des mesures appropriées au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature du traitement : les moyens de l'organisme entrent donc dans l'appréciation.

Trois mesures sont accessibles sans budget et couvrent la plus grande partie du risque réel. Cesser d'utiliser les comptes personnels des membres du bureau pour les échanges associatifs, ce qui évite que le fichier parte avec le bénévole. Tenir une liste écrite de qui a accès à quoi, et la revoir à chaque assemblée générale. Et écrire, en une page, la conduite à tenir en cas de perte ou de divulgation de fichier, car c'est le délai de réaction, et non le niveau de chiffrement, qui détermine la gravité d'une violation.

Questions fréquentes

Une association est-elle vraiment soumise au RGPD ?

Oui. Le règlement (UE) 2016/679 ne prévoit aucune exonération liée au but non lucratif. La seule exclusion tenant à la nature de l'activité est celle de l'article 2.2 c), qui vise le traitement effectué par une personne physique dans le cadre d'une activité strictement personnelle ou domestique : la gestion d'un fichier d'adhérents par une association n'entre pas dans ce champ.

Peut-on échanger un fichier d'adhérents avec une association partenaire ?

Lorsque l'organisme relève de l'exception de l'article 9.2 d) du règlement, non : le texte subordonne expressément l'exception à ce que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées. Pour une association dont l'objet ne révèle aucune opinion protégée, la communication reste soumise au droit commun, qui exige l'information des personnes sur les destinataires dès la collecte.

Une association doit-elle désigner un délégué à la protection des données ?

Pas automatiquement. L'article 37.1 c) du règlement vise le traitement à grande échelle de données de l'article 9 au titre des activités de base : une association dont le fichier d'adhérents révèle par l'objet social une opinion protégée peut y entrer si l'échelle est atteinte. L'appréciation se conduit et se consigne, et la désignation volontaire reste ouverte.

Les bénévoles doivent-ils signer un engagement de confidentialité ?

Le règlement ne l'impose pas en ces termes, mais l'article 29 exige que toute personne agissant sous l'autorité du responsable ne traite les données que sur instruction de celui-ci. Un engagement écrit est le moyen le plus simple de matérialiser cette instruction pour une personne qui n'est liée par aucun contrat de travail, et il est la première pièce demandée en cas de contrôle.

Ce que ce régime déclenche ailleurs

Dans une structure sans service dédié, le niveau de conformité réel est celui des bénévoles qui saisissent, exportent et envoient les fichiers.

Former les personnes qui manipulent les fichiers

Désignation obligatoire sans seuil, bases légales propres au secteur public, état civil et services à la population, périscolaire, vidéoprotection et ouverture des données.

Collectivités

Contrôle d'accès et vidéoprotection des sites, traçabilité des opérateurs, maintenance à distance des équipements, et articulation avec le régime NIS2.

Industrie

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.