RGPD : guide de l'administrateur

Cette page s'adresse à la personne qui administre LoGeAs pour votre association. Elle rappelle vos obligations au titre du Règlement général sur la protection des données (RGPD) et montre comment le logiciel vous aide à les remplir.

Le RGPD renforce les droits des citoyens européens et leur donne plus de contrôle sur leurs données personnelles. Il simplifie les formalités pour les organismes et leur offre un cadre juridique unifié. Il est applicable depuis mai 2018 dans tous les pays de l'Union européenne.

Pour aller plus loin, la CNIL propose :

• RGPD : passer à l'action, la démarche en quelques étapes ;
• l'espace professionnel, pour les responsables d'organisation ;
• Plus de droits pour vos données, pour les personnes.

LoGeAs considère toutes les données de votre fichier comme sensibles (article 9 du RGPD) : pour une paroisse, un syndicat ou une association, la simple appartenance peut révéler une conviction religieuse, une opinion ou une appartenance syndicale. Elles sont protégées en conséquence.

Le registre des activités de traitement, prévu par l'article 30 du RGPD, recense vos traitements de données et vous donne une vue d'ensemble de ce que vous faites des données personnelles. C'est la base de votre conformité.

Pour le constituer :

1. Identifiez les activités de votre association qui nécessitent de collecter des données : gestion des membres, des donateurs, des cotisations, envoi de courriers ou de courriels, gestion des bénévoles, etc.
2. Profitez-en pour améliorer vos pratiques : supprimez de vos formulaires et de votre fichier les informations inutiles, et redéfinissez qui doit accéder à quelles données.

Pour chaque activité, le registre indique au moins :

• le nom et les coordonnées de votre association et, le cas échéant, de votre délégué à la protection des données (DPO) ;
• les finalités du traitement : ce que vous faites de ces données ;
• les catégories de personnes concernées (membres, donateurs, bénévoles, etc.) ;
• les catégories de données (identité, situation familiale, données bancaires, etc.) ;
• les destinataires, y compris les sous-traitants comme LoGeAs ;
• les éventuels transferts hors de l'Union européenne ;
• les durées de conservation, ou les critères qui permettent de les fixer ;
• dans la mesure du possible, les mesures de sécurité mises en œuvre.

Le registre est aussi l'occasion de vous poser les bonnes questions : ai-je vraiment besoin de cette donnée ? Est-il pertinent de la conserver aussi longtemps ? Est-elle suffisamment protégée ? En savoir plus sur le site de la CNIL.

Dans LoGeAs Web, le menu États > Microscope vous aide à recenser les données que vous conservez : il affiche le modèle de données de votre base, avec la qualification de chaque information (nominative, obligatoire, sensible). Il s'exporte en SVG, CSV et JSON.

• Ne saisissez que les informations utiles à la vie de l'association.
• Champs texte libre (mémos, observations) : n'y notez jamais d'informations de santé, d'opinions, de jugements sur une personne ou de données sans rapport avec l'association. Tout ce qui y est écrit peut être communiqué à la personne concernée si elle en fait la demande.
• Les champs nominatifs et obligatoires sont repérés par une couleur dans les écrans de saisie. Ces couleurs se règlent dans Administration > Gestion des écrans (paramètres RGPD).

Un organisme qui collecte des informations sur une personne doit lui donner une information claire sur l'utilisation de ses données et sur ses droits (droit d'information).

• Sur la fiche d'une personne (Fichier > Personnes), le bloc Consentement génère un lien vers le formulaire de consentement. Envoyez ce lien à la personne : sa réponse est enregistrée et consultable depuis la fiche.
• La date de fin de consentement figure sur la fiche de la personne et de la famille. Une alerte s'affiche quand elle est dépassée ou proche.
• La durée de validité du consentement (en mois) et les événements qui la renouvellent (génération d'un reçu fiscal, modification de la fiche) se règlent dans Administration > Paramétrage de la base, rubrique Paramètres RGPD. Vous pouvez aussi choisir de gérer cette date manuellement.

Toute personne peut exercer ses droits auprès de votre association. Vous devez répondre dans un délai d'un mois.

• Droit d'accès : savoir si vous détenez des données sur elle et en obtenir une copie dans un format compréhensible. Vous devez aussi lui indiquer :
  • à quoi servent ces données et quelles catégories de données vous détenez ;
  • à qui elles ont pu être communiquées ;
  • combien de temps vous les conservez, ou les critères qui fixent cette durée ;
  • ses autres droits (rectification, effacement, limitation, opposition) et la possibilité de saisir la CNIL ;
  • d'où viennent les données si elles n'ont pas été recueillies auprès d'elle ;
  • l'existence éventuelle d'une décision automatisée ou d'un transfert hors de l'Union européenne.
• Droit à la portabilité : récupérer ses données dans un format « structuré, couramment utilisé et lisible par une machine », pour les conserver ou les transmettre à un autre organisme. Il ne concerne que les données qu'elle vous a fournies ou que son activité a produites (par exemple ses dons et cotisations), pas les données que vous en avez déduites (en savoir plus).
• Droit de rectification : faire corriger des informations inexactes (en savoir plus).
• Droit à l'oubli (effacement) : être effacée de votre fichier, à l'exception des données que vous devez conserver, par exemple celles liées à un reçu fiscal.
• Droit d'opposition : s'opposer à tout moment à ce que vous utilisiez certaines de ses données, ou retirer son consentement (en savoir plus).

Les fonctions RGPD se trouvent aujourd'hui dans le client lourd LoGeAs, écrans Famille et Personne, menu contextuel Action > Règlement Général Protection des Données. Elles ne sont pas encore disponibles dans LoGeAs Web. Leur fonctionnement est décrit dans la page Répondre à une demande d'application des droits.

Conservez une trace de chaque demande (courrier, courriel) et de la réponse apportée. Les modifications faites dans le logiciel sont enregistrées dans la piste d'audit (Administration > Piste d'audit).

• Fixez pour chaque traitement une durée de conservation adaptée à votre activité (par exemple, quelques années après le départ d'un membre) et inscrivez-la dans votre registre (conseils de la CNIL).
• Utilisez la date de fin de consentement et ses alertes pour repérer les fiches à revoir, puis archivez-les ou appliquez le droit à l'oubli.
• Les données comptables (reçus fiscaux, écritures) obéissent à des durées légales propres : elles ne doivent pas être supprimées avant terme.

• Donnez à chaque utilisateur uniquement les droits dont il a besoin : Administration > Gestion des droits.
• Chaque utilisateur peut voir ses propres droits dans Mon profil > Mes droits.
• Retirez sans attendre les accès des personnes qui quittent leurs fonctions.
• Les consultations et modifications sensibles sont enregistrées dans la piste d'audit.

Les sauvegardes et exports que vous faites depuis Administration > Sauvegardes / Exports contiennent l'ensemble de vos données et ne sont pas chiffrées, pour que vous puissiez toujours les restaurer. Ils sont supprimés de notre serveur après 8 jours. Une fois téléchargés, ils sont sous votre responsabilité :

• stockez-les dans un endroit protégé (ordinateur ou espace de stockage avec mot de passe, et non une clé USB qui traîne) ;
• ne les envoyez pas par courriel ;
• supprimez les anciennes copies devenues inutiles.

Indépendamment de vos sauvegardes, LoGeAs sauvegarde vos bases chaque jour, sous forme chiffrée.

• Si vous constatez ou soupçonnez une fuite de données (ordinateur volé, accès non autorisé, sauvegarde perdue), prévenez-nous immédiatement par un ticket (menu Aide > Envoyer un message à l'assistance).
• Si la violation présente un risque pour les personnes, c'est à votre association de la notifier à la CNIL dans les 72 heures. Nous vous aidons à la qualifier.