Le RGPD (Règlement général sur la protection des données) est la règle européenne qui encadre l’utilisation des informations personnelles : noms, e-mails, téléphones, adresses, et bien d’autres. Le RGPD pour une TPE ou une association n’a rien de facultatif : il s’applique dès qu’elles tiennent un fichier de clients, d’adhérents ou de bénévoles, ou qu’elles ont un formulaire sur leur site. Pour une petite structure, se mettre en règle demande surtout du bon sens et un peu d’organisation : savoir ce que l’on collecte, pourquoi, combien de temps, et le protéger.
Je ne suis pas juriste. Cet article donne des repères pratiques, tirés de mon travail sur les sites et les outils de mes clients. Pour une situation précise ou une réponse juridique, la référence reste la CNIL, l’autorité française chargée de la protection des données.
Qu’est-ce que le RGPD, en mots simples ?
Le RGPD s’applique dans toute l’Union européenne depuis le 25 mai 2018. Il fixe une idée simple : les informations qui concernent une personne lui appartiennent un peu. Une entreprise ou une association peut les utiliser, mais à condition d’avoir une bonne raison, de le dire clairement, de ne pas en prendre plus que nécessaire, et de les protéger.
Deux mots reviennent sans cesse :
- Une donnée personnelle, c’est toute information qui permet de reconnaître une personne, directement ou non : un nom, une adresse e-mail, un numéro de téléphone, une photo, une adresse, un numéro d’adhérent.
- Un traitement, c’est tout ce que vous faites avec ces informations : les recueillir, les noter dans un tableur, les envoyer, les conserver, les supprimer.
Le RGPD concerne-t-il vraiment une TPE ou une association ?
Oui. Il n’y a pas de taille minimum. Si vous vous reconnaissez dans l’une de ces situations, vous êtes concerné :
- un fichier de clients ou de prospects dans un tableur ou un logiciel de facturation ;
- la liste des adhérents ou des bénévoles de votre association ;
- un formulaire de contact ou de devis sur votre site ;
- une lettre d’information envoyée par e-mail ;
- un agenda de rendez-vous avec les coordonnées des clients ;
- des photos de participants à un atelier ou à un événement ;
- un outil de mesure d’audience sur votre site.
La bonne nouvelle, c’est que les obligations sont proportionnées. Une association de quartier n’a pas les mêmes contraintes qu’une grande entreprise qui traite des millions de dossiers. Mais les principes de base s’appliquent à tous.
Quelles sont les grandes règles du RGPD à respecter ?
| Principe | Ce que ça veut dire | Exemple concret |
|---|---|---|
| Un objectif précis | Vous savez pourquoi vous recueillez chaque information | Le téléphone sert à rappeler pour le devis, pas à démarcher pour autre chose |
| Le strict nécessaire | Vous ne demandez que ce qui est utile | Pas de date de naissance pour une simple demande de contact |
| Une durée limitée | Vous ne gardez pas les informations indéfiniment | Faire le tri des anciens prospects et des anciens adhérents |
| La transparence | Vous dites clairement ce que vous faites des informations | Une phrase sous le formulaire et une politique de confidentialité |
| La sécurité | Vous protégez les informations contre la perte et les accès indus | Des mots de passe solides, des sauvegardes, des accès limités |
| Les droits des personnes | Chacun peut consulter, corriger ou faire supprimer ses informations | Répondre à un adhérent qui veut quitter votre fichier |
Comment se mettre en règle avec le RGPD, étape par étape ?
- Faites la liste de vos fichiers. Pour chacun : quelles informations, pourquoi, qui y a accès, combien de temps vous les gardez. C’est ce qu’on appelle le registre des traitements. La CNIL propose un modèle simple, adapté aux petites structures.
- Faites le tri. Supprimez les informations inutiles ou trop anciennes. Pour les prospects, la CNIL recommande en général de ne pas les garder plus de trois ans après le dernier contact.
- Informez les personnes. Une courte mention sous chaque formulaire, et une page complète sur votre site. Vous pouvez voir un exemple avec ma propre politique de confidentialité.
- Demandez l’accord quand il le faut. Pour envoyer une lettre d’information à des particuliers, il faut leur accord préalable : une case à cocher, jamais cochée d’avance. Les règles sont un peu différentes entre professionnels : vérifiez sur le site de la CNIL.
- Protégez les informations. Mots de passe différents et solides, accès réservés aux personnes qui en ont besoin, sauvegardes régulières, mises à jour des ordinateurs et du site.
- Vérifiez vos prestataires. Votre fournisseur d’e-mails, votre logiciel de facturation, l’hébergeur de votre site traitent aussi vos informations. Leur contrat doit prévoir la protection des données.
- Préparez-vous à répondre aux demandes. Une personne peut vous demander quelles informations vous avez sur elle, ou leur suppression. Vous avez en principe un mois pour répondre.
- Sachez quoi faire en cas de problème. Ordinateur volé, fichier envoyé par erreur, site piraté : si la fuite présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Notez qui prévenir et comment.
Qu’est-ce qui est concerné sur votre site Internet ?
Les formulaires
Chaque formulaire doit demander le minimum et indiquer, juste en dessous, ce que deviennent les informations : qui les reçoit, pourquoi, combien de temps elles sont gardées, et comment exercer ses droits. Un lien vers la politique de confidentialité complète la phrase.
Les cookies et la mesure d’audience
Les cookies sont de petits fichiers déposés dans le navigateur du visiteur, par exemple pour mesurer la fréquentation ou afficher de la publicité. La plupart demandent l’accord du visiteur avant d’être déposés. Le bandeau qui le demande doit permettre de refuser aussi facilement que d’accepter. Certains outils de mesure d’audience, configurés de façon respectueuse, peuvent se passer d’accord : la CNIL en publie les conditions et met à disposition des fournisseurs un outil d’auto-évaluation.
Les contenus venus d’ailleurs
Une vidéo YouTube, une carte Google Maps ou un bouton de réseau social intégré à une page peuvent déposer leurs propres cookies. Une solution simple consiste à ne les charger qu’au moment où le visiteur clique dessus.
La sécurité du site
Un site non mis à jour est une porte ouverte. Le cadenas de confiance (la connexion protégée), des mises à jour régulières, des sauvegardes et des accès bien gérés font partie de la protection des données. C’est exactement le rôle de la maintenance de votre site : le garder à jour, sauvegardé et surveillé.
Une association a-t-elle des règles particulières ?
Les règles sont les mêmes, mais certaines situations sont propres à la vie associative.
- Les fichiers circulent entre bénévoles. La liste des adhérents passe de clé USB en boîte mail personnelle. Mieux vaut un espace partagé unique, avec des accès personnels, qu’on retire quand un bénévole s’en va.
- Les anciens membres restent dans les fichiers. Faites le tri chaque année, au moment du renouvellement des adhésions.
- Les photos d’événements. Demandez l’accord des personnes reconnaissables avant de publier, et plus encore pour les enfants.
- Les informations sensibles. Santé, handicap, situation sociale : ces informations demandent une protection renforcée.
Ce dernier point concerne directement les structures qui accompagnent des personnes fragiles, comme le CLIC de Billom, qui aide les seniors, les personnes en situation de handicap et leurs familles. Pour ce type d’activité, un outil de gestion sur mesure permet de décider précisément qui voit quoi, au lieu de partager un tableur complet entre toute l’équipe.
Quelles erreurs fréquentes éviter ?
- Une case « J’accepte de recevoir la lettre d’information » cochée d’avance.
- Un bandeau de cookies sans bouton « Refuser », ou avec un refus caché.
- Un fichier d’adhérents envoyé en pièce jointe à tout le bureau.
- Un seul mot de passe partagé par toute l’équipe, jamais changé.
- Des CV, des devis refusés ou d’anciens adhérents conservés sans limite.
- L’achat d’un fichier d’adresses e-mail pour démarcher.
- Un formulaire qui demande des informations sans rapport avec la demande.
Où trouver des réponses fiables sur le RGPD ?
Le site de la CNIL est la source de référence. On y trouve des guides pratiques pour les petites entreprises et les associations, des modèles de registre et de mentions, et des fiches sur les cookies, la prospection ou la durée de conservation. La CNIL propose aussi une assistance pour les questions des professionnels.
Pour une question juridique précise, un avocat ou un conseil spécialisé reste le bon interlocuteur. De mon côté, je m’occupe de la partie concrète sur les sites et les outils que je réalise : formulaires sobres, mentions claires, cookies maîtrisés, sécurité et sauvegardes.
En résumé
Le RGPD s’applique à toutes les structures, TPE et associations comprises. Pour une petite structure, l’essentiel tient en quelques gestes : lister vos fichiers, ne garder que l’utile et pas indéfiniment, informer clairement, demander l’accord quand il le faut, protéger les informations et savoir répondre aux demandes. Sur votre site, surveillez les formulaires, les cookies et la sécurité. Et pour toute question juridique, référez-vous à la CNIL.
Une petite structure doit-elle nommer un délégué à la protection des données ?
En général, non. Ce délégué est obligatoire pour les organismes publics et pour les structures dont l’activité principale consiste à traiter beaucoup d’informations sensibles ou à suivre des personnes à grande échelle. La plupart des TPE et des associations n’y sont pas tenues. En cas de doute, vérifiez votre situation sur le site de la CNIL.
Faut-il un bandeau de cookies sur son site ?
Seulement si votre site dépose des cookies qui demandent l’accord du visiteur, par exemple pour la publicité ou certains outils de mesure d’audience. Un site sans ces cookies, ou qui utilise un outil de mesure configuré selon les conditions de la CNIL, peut s’en passer. Dans le doute, faites vérifier quels cookies votre site dépose réellement.
Le RGPD interdit-il d'envoyer une lettre d'information ?
Non. Il demande simplement d’avoir l’accord des personnes, en particulier des particuliers, et de leur permettre de se désinscrire facilement à chaque envoi. Une case à cocher non cochée d’avance sous le formulaire et un lien de désinscription en bas de chaque message suffisent dans la plupart des cas.