Le RGPD encadre strictement la Transmission de fichiers de données personnelles entre associations. Tout d’abord, ces transferts ne peuvent avoir lieu que si les associations ont un lien direct avec la finalité pour laquelle les données ont été collectées initialement. Ensuite, les associations doivent informer les personnes concernées de la transmission de leurs données à une autre association et leur donner la possibilité de s’y opposer. Enfin, les associations doivent mettre en place des mesures de sécurité adéquates pour protéger les données personnelles contre toute utilisation non autorisée ou illégale.
Pour pouvoir transférer des fichiers de données personnelles entre elles, les associations doivent donc respecter les règles suivantes :
- S’assurer que les données personnelles ne sont transférées qu’à des associations ayant un lien direct avec la finalité pour laquelle elles ont été collectées initialement.
- Informer les personnes concernées de la transmission de leurs données à une autre association et leur donner la possibilité de s’y opposer.
- Mettre en place des mesures de sécurité adéquates pour protéger les données personnelles contre toute utilisation non autorisée ou illégale.
En cas de non-respect de ces règles, les associations sont passibles de sanctions pénales et peuvent être poursuivies en justice par les personnes concernées. Il est donc crucial que les associations veillent à respecter scrupuleusement les dispositions du RGPD en matière de transfert de fichiers de données personnelles entre elles.
Qui est concerné par ces règles ?
Pour une réutilisation à des fins de prospection caritative :
Il est obligatoire d’informer les personnes concernées, avant ou au moment de la collecte des données, que ces dernières pourront être cédées ou louées à d’autres associations pour des fins de prospection caritative.
Il est également obligatoire de mentionner les coordonnées de l’association bénéficiaire de la cession ou de la location.
Les personnes concernées doivent avoir la possibilité de s’opposer à cette réutilisation, gratuitement et facilement, lors de la collecte des données ou en tout temps ultérieurement.
Pour une réutilisation à des fins de prospection commerciale :
Il est obligatoire d’obtenir le consentement préalable des personnes concernées avant de céder ou louer leurs données à une société commerciale pour des fins de prospection commerciale.
Les personnes concernées doivent être informées des coordonnées de la société commerciale bénéficiaire de la cession ou de la location de leurs données, ainsi que de la finalité de la prospection commerciale.
Elles doivent également avoir la possibilité de retirer leur consentement à tout moment.
En cas de manquement à ces obligations, l’association ou la société commerciale peut être sanctionnée par la CNIL.
Quelles sont les règles applicables en matière de transmission de fichiers de donateurs/contacts pour de la prospection caritative ?
Pour de la prospection caritative, les associations doivent respecter les règles suivantes :
- elles doivent informer les personnes concernées de leur intention de transmettre les fichiers, en précisant les finalités de la transmission et en leur donnant la possibilité de s’opposer à cette transmission. Cette information peut être donnée en même temps que celle sur la finalité initiale de la collecte des données, ou dans une communication ultérieure ;
- elles doivent mettre en place des mesures de sécurité pour protéger les données personnelles contre toute perte, altération, destruction accidentelle ou illicite, ainsi que contre tout traitement non autorisé. Ces mesures doivent être adaptées en fonction du risque encouru et de la sensibilité des données traitées ;
- elles doivent respecter les droits des personnes concernées, notamment leur droit d’accès, de rectification et d’opposition. Ces droits doivent être exercés gratuitement et facilement, par exemple en mettant en place un formulaire en ligne ou un numéro de téléphone dédié ;
- elles doivent tenir un registre des traitements effectués pour faciliter le suivi et la régularisation des transmissions ;
- elles doivent veiller à ce que les données transmises soient exactes et à jour, et prendre les mesures nécessaires pour éviter que les personnes concernées soient importunées.
En cas de non-respect de ces règles, les associations peuvent être sanctionnées par la CNIL.
Que doit faire l’organisme qui reçoit des fichiers de donateurs/contacts à des fins de prospection caritative ?
Lorsqu’un organisme reçoit des fichiers de donateurs ou de contacts d’une autre association pour des fins de prospection caritative, il doit :
- s’assurer que la transmission de ces fichiers est conforme au RGPD ;
- informer les personnes concernées par la transmission des données, en leur indiquant notamment la finalité de la prospection caritative, ainsi que les droits qu’elles peuvent exercer ;
- mettre en place des mesures pour garantir la sécurité et la confidentialité des données transmises ;
- veiller à ne pas utiliser les données à des fins autres que celles prévues dans la notification.
Il est également recommandé que l’organisme mette en place des procédures pour traiter les réclamations et les demandes d’exercice des droits des personnes concernées (par exemple, le droit d’opposition à la prospection caritative).
Que faire en cas de prospection caritative non souhaitée ?
Si vous recevez de la prospection caritative non souhaitée, vous pouvez demander à l’organisme qui vous contacte de ne plus le faire. Vous pouvez le faire verbalement ou par écrit. Si vous le faites par écrit, il est recommandé de garder une copie de votre demande pour pouvoir l’utiliser en cas de besoin.
Si vous ne souhaitez plus recevoir de prospection caritative de la part de l’organisme en question, vous pouvez également vous inscrire sur la liste d’opposition au démarchage téléphonique (liste Bloctel) en vous rendant sur le site www.bloctel.gouv.fr ou en appelant le service client de Bloctel au 09 70 80 90 30 (appel gratuit depuis un poste fixe).
Si vous constatez que l’organisme qui vous contacte ne respecte pas votre demande de ne plus vous envoyer de prospection caritative, vous pouvez saisir la CNIL. Vous pouvez le faire en ligne sur le site de la CNIL (www.cnil.fr) ou en contactant directement la CNIL par téléphone au 01 53 73 22 22
Vous pouvez vous adresser à l’organisme qui vous a contacté, par exemple en contactant son délégué à la protection des données (ou DPO), pour exercer vos droits d’opposition ou d’accès.
Puis, s’il n’est pas fait suite à votre demande, vous pouvez saisir le service des plaintes de la CNIL.
Pour en savoir plus : Adresser une plainte
