Informatique, liberté et ... données sensibles

Que faire si votre association traite de problématiques "sensibles", à caractère religieux, politique, ou médical ?
Et si vous disposez d'un fichier de contacts, comment faire en regard de la Loi Informatique et Libertés ?
Voici quelques indications utiles concernant, notamment, les exemptions de déclaration :


Les fichiers des membres et correspondants (sympathisants, donateurs, bénévoles, etc.) des églises ou groupements à caractère religieux, philosophique, politique ou syndical n'ont pas à être déclarés à la CNIL sous réserve que le traitement des données :
- correspond à l'objet de l'organisme ;
(Exemple : une association cultuelle ne peut enregistrer les opinions philosophiques, politiques ou syndicales de ses membres.)
- ne concerne que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;
- ne porte que sur des données non communiquées à des tiers, à moins que les personnes concernées n'y consentent expressément.

Et voici des informations concernant les membres et donateurs des associations Loi de 1901 (je n'ai pas réussi à trouver des informations concernant les associations alsaciennes et ne dépendant pas de cette loi...) :

Sont dispensés de déclaration les traitements de données à caractère personnel relatifs à la gestion des membres et des donateurs des associations à but non lucratif régies par la loi du 1er juillet 1901 comportant des données sur des personnes physiques qui répondent à certaines conditions. Entre autre :

Les traitements doivent avoir pour seules finalités :

- l'enregistrement et la mise à jour des informations individuelles nécessaires à la gestion administrative des membres et donateurs, en particulier la gestion des cotisations, conformément aux dispositions statutaires qui régissent les intéressés ;
- d'établir, pour répondre à des besoins de gestion, des états statistiques ou des listes de membres, notamment en vue d'adresser bulletins, convocations, journaux. Lorsque ces listes sont sélectives, les critères retenus doivent être objectifs et se fonder uniquement sur des caractéristiques qui correspondent à l'objet statutaire de l'association.
- d'établir des annuaires de membres, y compris lorsque ces annuaires sont mis à la disposition du public sur le réseau internet.

Les données traitées pour la réalisation des finalités décrites ci-dessus sont :

- identité : nom, prénoms, sexe, date de naissance, adresse, numéros de téléphone (fixe et mobile) et de télécopie, adresse de courrier électronique ;
- identité bancaire pour la gestion des dons ;
- vie associative : état des cotisations, position vis à vis de l'association, informations strictement liés à l'objet statutaire de l'association (voyez aussi le paragraphe suivant) ;
- données de connexion (date, heure, adresse Internet Protocole de l'ordinateur du visiteur, page consultée) à des seules fins statistiques d'estimation de la fréquentation du site.

Ne peuvent bénéficier de l'exonération les traitements comportant les données suivantes :

- les données qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci (article 8 de la loi du 6 janvier 1978 modifiée);
- les données concernant les infractions, condamnations ou mesures de sûreté (article 9 de la loi du 6 janvier 1978 modifiée);
- les données relatives aux difficultés sociales et économiques des personnes ;
- le numéro d'inscription au répertoire d'identification des personnes (n° INSEE ou n° de sécurité sociale).

Les traitements comportant les données listées ci-dessus font l'objet de formalités déclaratives préalables.

Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires des données :

a) les personnes statutairement responsables de la gestion de l'association ;
b) les services chargés de l'administration et de la gestion des membres ;
c) éventuellement les organismes gérant les systèmes d'assurance et de prévoyance, applicables aux activités de l'association.

Les données à caractère personnel ne peuvent être conservées après la démission ou la radiation, sauf accord exprès de l'intéressé.

S'agissant des donateurs, elles ne doivent pas être conservées au delà de deux sollicitations restées infructueuses.

Lorsque les données figurent dans un annuaire appelé à être diffusé...

... les adhérents doivent en être préalablement informés et doivent être mis en mesure de s'opposer à ce que tout ou partie des données les concernant soient publiées. Le droit d'opposition doit s'exprimer par un moyen simple tel que l'apposition d'une case à cocher.

Lorsque les données sont utilisées à des fins de prospection...

... les personnes concernées sont informées qu'elles peuvent s'y opposer sans frais et sans justification.

L'envoi de prospection commerciale par voie électronique...

... est subordonné au recueil du consentement préalable des personnes concernées. Dans ces hypothèses, les personnes doivent avoir été invitées, au moment de la collecte de leurs données, à consentir de manière simple et dénuée d'ambiguïté à une utilisation de leurs données à des fins commerciales.

Si les données à caractère personnel ont été collectées via un formulaire, le droit d'opposition ou le recueil du consentement préalable doivent, selon les cas, s'exprimer par un moyen simple tel que l'apposition d'une case à cocher.