Guide pratique RGPD pour les associations suisses

Depuis l’entrée en vigueur du RGPD, le thème de la protection des données est aussi important pour les associations suisses. Le service spécialisé vitamin B a rédigé une courte aide pratique pour les petites et moyennes associations en Suisse.

1. Loi suisse sur la protection des données

La base pour clarifier les exigences posées à une association en matière de protection des données est le Notice du Préposé fédéral à la protection des données. Les points les plus importants de la fiche d’information sont résumés ici.

Traitement des données des membres

Le traitement des données des membres qu’une association collecte doit être conforme à la protection des données. Les principes généraux de la loi sur la protection des données sont les suivants :

le Principe de transparence: une information ouverte et complète sur la finalité et l’étendue des données des membres traitées est obligatoire.
le Principe de proportionnalité: seul le traitement des données des membres effectivement nécessaires pour atteindre le but visé est autorisé (p. ex. adresse et/ou adresse e-mail pour l’envoi de la facture de la cotisation de membre ou de l’invitation à l’assemblée générale).
le Principe de limitation de la finalité: les données des membres ne peuvent être traitées qu’aux fins indiquées lors de leur collecte, reconnaissables au vu des circonstances ou prévues par la loi.

Transmission des données des membres à des tiers

La communication de données de membres (p. ex. adresses individuelles ou listes d’adresses entières) à des tiers n’est autorisée que si le consentement explicite des titulaires a été donné ou s’il ressort clairement des statuts de l’association quelles données de membres peuvent être communiquées à des tiers et à quelles fins (p. ex. publicité, sponsoring). L’association peut ou doit transmettre des données de membres si une loi autorise ou prescrit le traitement des données (p. ex. dans le cadre d’une procédure pénale).

Communication interne à l’association des données des membres

La communication interne à l’association de données des membres est autorisée, si

le consentement des membres a été obtenu
un droit d’opposition a été accordé au préalable aux membres
il ressort clairement des statuts de l’association dans quels cas une communication interne à l’association a lieu (p. ex. remise de listes avec prénom, nom et adresse, transmission à des associations faîtières).
la liste est nécessaire à l’exercice des droits de membre (p. ex. pour convoquer une assemblée générale extraordinaire, art. 64, al. 3 CC).

2. Nouvelle protection des données de l’UE : importance pour les associations suisses

Le champ d’application du nouveau règlement général de l’UE sur la protection des données (RGPD), entré en vigueur le 25 mai 2018, concerne en particulier les associations suisses qui ont un site web, sont actives sur les réseaux sociaux ou envoient une newsletter qui est aussi envoyée à
Aux personnes domiciliées dans l’UE.

Qui est concerné par le RGPD ?

Les entreprises et organisations suisses (y compris les associations) doivent respecter le RGPD dans les cas suivants lorsqu’elles traitent des données personnelles de personnes physiques qui se trouvent dans l’UE :

elles proposent à ces personnes des biens ou des services (payants ou gratuits), ou
elles analysent le comportement de personnes dans un État membre de l’UE (art. 3, al. 2, let. a et b RGPD), par ex. au moyen de l’utilisation de Google Analytics.

Les données personnelles sont toutes les données qui permettent d’identifier clairement une personne : nom, adresse et lieu de naissance, mais aussi adresses e-mail ou adresses IP (ordinateur).

Une association ayant son siège en dehors de l’UE (par ex. une association suisse) entre dans le champ d’application du RGPD s’il existe une intention de mener les activités suivantes :

Vente de marchandises ou offre de services dans l’UE. Des indices en ce sens sont par ex. une mention de bénéficiaires de services se trouvant dans les États membres de l’UE ou une monnaie couramment utilisée dans l’UE.

Il doit être clairement reconnaissable qu’il existe une volonté d’analyser le comportement de personnes physiques dans l’espace de l’UE, par ex. par l’utilisation de Google Analytics.

Quelles mesures sont nécessaires ?

Le RGPD régit bien plus que la seule collecte de données personnelles. Mais comme les associations suisses sont surtout concernées par leur présence en ligne (sites web, réseaux sociaux, etc.), cette aide de travail se limite à ce sujet.

1. Utilisation de données personnelles

L’utilisation et le traitement de données personnelles, par ex. via des formulaires de contact, sont autorisés conformément à l’art. 6, al. 1 RGPD dans les cas suivants :

si la personne y a consenti (possible uniquement pour les personnes de plus de 16 ans ; protection des enfants).
si les données personnelles sont nécessaires à l’exécution d’un contrat.
s’il existe une obligation légale (par ex. obligation de conservation de documents commerciaux).
s’il existe un intérêt légitime.

Dans les trois premiers cas (consentement, contrat, obligation légale), la légitimité est assez claire. Cela devient problématique lorsqu’il s’agit de mettre en balance l’intérêt légitime.

2. Déclaration de protection des données

Tous les sites web d’organisations devraient expliquer aux utilisateurs/trices, au moyen d’un avis de protection des données rédigé dans une langue claire et facile à comprendre, qui traite leurs données, à quelle fin, comment et où. La déclaration de protection des données doit aussi signaler l’utilisation de services externes tels que Facebook et Google, dans la mesure où ceux-ci collectent des données personnelles lors du clic sur le site web. Pour rédiger l’avis de protection des données, l’un des liens du chapitre 5 peut être utile.

3. Cookies

Si des cookies sont utilisés sur le site web, une mention à ce sujet est absolument nécessaire. Beaucoup des systèmes de gestion de contenu utilisés aujourd’hui placent par défaut des cookies afin d’« identifier » l’utilisateur. C’est pourquoi l’utilisation générale d’une bannière de cookies est recommandée. Celle-ci devrait être bien visible lors de la première ouverture du site web. La bannière de cookies ne doit pas être intégrée de manière à masquer des mentions obligatoires comme par ex. le lien vers les mentions légales ou vers la déclaration de protection des données.

4. Google Analytics

L’utilisation de services d’analyse web devrait être documentée dans la déclaration de protection des données du site web (vaut déjà pour la législation existante Loi suisse sur la protection des données, art. 13 LPD). La possibilité d’un retrait du consentement doit aussi y être indiquée. Comme les adresses IP sont considérées comme des données personnelles, il faut veiller à ce que le code du programme Google ne saisisse les adresses IP que sous une forme abrégée (fonction d’anonymisation). Adressez-vous pour cela à l’exploitant/e de votre site web.

5. Éléments de réseaux sociaux

Lors de l’utilisation des réseaux sociaux, il faut s’assurer qu’aucune donnée des visiteuses et visiteurs du site web ne soit collectée sans leur consentement. Il convient d’informer, dans sa propre déclaration de protection des données, de l’utilisation d’offres de réseaux sociaux et du type de plugin social utilisé (p. ex. bouton Like, bouton Share, etc.). En même temps, il faut signaler les possibilités de révocation.

3. Comment le comité doit-il procéder ?

Prenez contact avec l’exploitant/e de votre site web et discutez des adaptations nécessaires.

Révisez la déclaration de protection des données sur le site web de votre association et informez-en vos membres (p. ex. dans la newsletter, lors de la prochaine assemblée des membres).

Vérifiez l’utilisation interne des données (Quelles données sont collectées ? D’où viennent les données ? Où sont-elles enregistrées ? Qui y a accès ?) et documentez le déroulement de la collecte et du traitement des données. Appuyez-vous pour cela sur le mémento du Préposé fédéral à la protection des données.

En cas de doute, contactez un/e spécialiste juridique ou le Préposé fédéral à la protection des données (Formulaire de contact).

Vous trouverez des informations complémentaires, des liens et des exemples de textes dans l’Aide pratique du centre spécialisé vitamin B.

S’abonner à la newsletter

Pour être toujours au courant, abonnez-vous à nos newsletters gratuites. La newsletter Kampagenda paraît chaque semaine, les newsletters thématiques de manière irrégulière.