Protection des données personnelles (RGPD)
Règles applicables au CODERS 85 – adaptées du document RGPD de la FFRS
|
À qui s’adresse ce document ? Aux membres du conseil d’administration du CODERS 85, aux référents (formation, informatique, communication) et à toute personne qui manipule des données personnelles pour le compte du CODERS. Objectif : savoir quelles données le CODERS utilise, pourquoi, comment les protéger et quoi faire en cas de problème. |
1. Pourquoi c’est important
Les données personnelles sont toutes les informations qui permettent d’identifier une personne : nom, prénom, adresse, téléphone, e-mail, numéro de licence, date de naissance, photo, mais aussi adresse IP ou cookies du site internet.
Ces données intéressent les fraudeurs : usurpation d’identité, hameçonnage (faux mails), arnaques visant les seniors. Les fuites récentes de grandes entreprises (Free, SFR, Boulanger, Cultura en 2024) rappellent qu’aucune structure n’est à l’abri. Une association, même petite, doit donc protéger les données qui lui sont confiées.
Le cadre légal est le Règlement Général sur la Protection des Données (RGPD), en vigueur depuis le 25 mai 2018, et la loi « Informatique et Libertés ». L’autorité de contrôle est la CNIL (www.cnil.fr).
2. Les données traitées par le CODERS 85
Le CODERS ne gère pas directement les adhésions : celles-ci relèvent des clubs et de la FFRS (logiciel FFRS360). Il traite toutefois plusieurs catégories de données :
| Traitement | Personnes concernées | Données | Finalité | Durée de conservation indicative |
| Gestion des instances (CA, AG) | Membres du CA, présidents de clubs, délégués | Nom, prénom, fonction, club, e-mail, téléphone | Convocations, comptes rendus, votes | Durée du mandat + 3 ans ; procès-verbaux conservés durablement |
| Formations | Animateurs, stagiaires, dirigeants | Identité, n° de licence, club, contact, attestations PSC, brevets | Inscription, organisation et suivi des formations | Durée de validité du brevet / PSC ; pièces de santé : uniquement le temps nécessaire |
| Événements et rencontres interclubs | Participants | Identité, club, contact, personne à prévenir | Organisation et sécurité de l’événement | Durée de l’événement + quelques mois |
| Comptabilité | Bénévoles remboursés, fournisseurs, partenaires | Identité, RIB pour remboursement, factures | Paiements et obligations comptables | 10 ans (pièces comptables) |
| Site internet coders85.fr | Visiteurs, personnes qui écrivent au CODERS | E-mail et message (formulaire), adresse IP, cookies | Répondre aux demandes, statistiques de visite | Messages : 1 an ; cookies : 13 mois maximum |
| Photos et communication | Adhérents, animateurs photographiés | Image, nom | Site, réseaux sociaux, gazette | Tant que l’accord n’est pas retiré |
Les durées sont indicatives et à valider par le conseil d’administration.
3. Les règles à respecter
Utiliser les données uniquement pour la mission prévue
- Les coordonnées d’un animateur transmises pour une formation servent à cette formation, pas à d’autres envois.
- Aucune donnée n’est vendue, louée ou transmise à un partenaire, un commerçant ou un organisateur de séjours sans l’accord écrit des personnes.
- Pour les envois commerciaux (séjours, offres de partenaires), un consentement distinct, libre et explicite est obligatoire. Il ne peut pas être recueilli via FFRS360.
Collecter le minimum
- Ne demander que les informations réellement nécessaires (par exemple, pas de date de naissance pour une simple invitation).
- Données de santé (certificat médical, informations sur une pathologie) : à ne demander que si c’est indispensable, à conserver de façon séparée et restreinte, et à supprimer dès qu’elles ne sont plus utiles.
Informer les personnes
- Chaque formulaire (papier ou en ligne) indique : qui collecte, pourquoi, combien de temps, et comment exercer ses droits.
- Le site coders85.fr dispose de mentions légales, d’une politique de confidentialité et d’un bandeau cookies si des cookies non indispensables sont utilisés.
Envoyer des e-mails en toute sécurité
- Pour un envoi groupé, mettre les adresses en Cci (copie cachée), jamais en « À » ou « Cc ».
- Utiliser de préférence une adresse de messagerie de l’association (par fonction : president@, formation@…), et non une adresse personnelle.
- Ne jamais envoyer de fichier d’adhérents en pièce jointe non protégée ; préférer un espace partagé avec accès restreint.
Protéger les fichiers et les accès
- Comptes nominatifs et mots de passe solides (12 caractères minimum, différents pour chaque service), double authentification quand elle existe.
- Fichiers stockés dans l’espace protégé de l’association, avec sauvegarde, plutôt que sur des ordinateurs personnels ou des clés USB.
- Accès à FFRS360, au site, à la messagerie et à la banque limité aux personnes qui en ont besoin, et modifié à chaque changement de bénévole.
- En fin de mandat : remise des fichiers et des accès au successeur, suppression des copies personnelles.
Le droit à l’image
- Aucune photo sur laquelle une personne est reconnaissable n’est publiée sans son accord.
- Retirer rapidement une photo si une personne le demande.
4. Les droits des personnes
Toute personne dont le CODERS détient des données peut demander à y accéder, les corriger, les effacer, s’opposer à leur utilisation ou retirer son consentement. La demande se fait par e-mail au CODERS 85, qui doit répondre dans un délai d’un mois.
|
Contact pour les questions de données personnelles : CODERS 85 – 202 boulevard Aristide Briand – 85000 La Roche-sur-Yon – codersvendee@gmail.com En cas de désaccord, la personne peut saisir la CNIL (www.cnil.fr). |
5. En cas d’incident (fuite, vol, piratage)
Exemples : ordinateur ou téléphone perdu, messagerie piratée, fichier envoyé par erreur à la mauvaise personne, site internet attaqué.
- Prévenir immédiatement le président du CODERS.
- Limiter les dégâts : changer les mots de passe, bloquer l’accès, prévenir l’hébergeur ou la FFRS si FFRS360 est concerné.
- Évaluer le risque pour les personnes concernées.
- Si le risque est réel, notifier la CNIL dans les 72 heures (formulaire en ligne sur cnil.fr) et, si le risque est élevé, informer les personnes concernées.
- Consigner l’incident dans un registre (date, nature, mesures prises), même s’il n’a pas été notifié.
6. Qui est responsable ?
- Le CODERS 85, représenté par son président, est responsable des données qu’il traite. Le président veille au respect de ces règles et peut voir sa responsabilité engagée en cas de manquement grave.
- Le conseil d’administration peut désigner un référent données personnelles (par exemple le secrétaire ou le référent informatique) : il tient le registre des traitements (le tableau du point 2), suit les demandes de droits et les incidents.
- La désignation d’un délégué à la protection des données (DPO) n’est en principe pas obligatoire pour une association comme le CODERS, qui ne traite pas de données à grande échelle.
- La CNIL peut prononcer des sanctions, adaptées à la taille de la structure ; le plus souvent, elle commence par une mise en demeure.
7. Check-list du CODERS 85
- Le registre des traitements (tableau du point 2) est validé par le conseil d’administration.
- Un référent données personnelles est désigné.
- Les formulaires d’inscription (formations, événements) comportent une mention d’information RGPD.
- Le site coders85.fr a des mentions légales, une politique de confidentialité et, si nécessaire, un bandeau cookies.
- Les envois groupés se font en Cci, depuis une adresse de l’association.
- Les accès (messagerie, site, FFRS360, banque) sont nominatifs, protégés et à jour.
- Les fichiers sont stockés dans un espace protégé et sauvegardés.
- Les données anciennes sont supprimées selon les durées fixées.
- L’accord des personnes est recueilli avant toute publication de photo.
- La procédure en cas d’incident est connue de tous les membres du CA.
Pour aller plus loin : guide de la CNIL « La sécurité des données personnelles » (édition 2023) et fiches pratiques de la CNIL pour les associations, sur www.cnil.fr.