Les samedi 5 et dimanche 6 décembre 2026, de 10h à 18h, l’association Parinux organise le PSL XXL au Carrefour numérique de la Cité des sciences et de l’industrie, à Paris. Pour un trésorier d’association, un élu de CSE ou un secrétaire de mairie qui se pose des questions de logiciel libre et RGPD, ces deux journées offrent l’occasion de voir des outils fonctionner et de poser ses questions à des bénévoles, sans engagement commercial.
Ce qui se passe pendant ce week-end
Le PSL désigne les Premiers Samedis du Libre, rendez-vous mensuel qui se tient habituellement le premier samedi après-midi. Parinux, groupe d’utilisateurs de logiciels libres fondé en 1999, en propose cette fois une version étendue sur deux jours. Au programme : une install-party où des bénévoles aident à installer des systèmes et logiciels libres, des ateliers et conférences, une campagne baptisée déMAILnagement pour quitter les messageries des grandes plateformes, des ateliers d’autohébergement avec Yunohost, et des présentations des CHATONS (collectif d’hébergeurs alternatifs), de la Brique Internet et des fournisseurs d’accès associatifs de la Fédération FDN. Une permanence Wikimédia et des ateliers pour enfants complètent l’ensemble.
Selon sa page de présentation, l’association compte une cinquantaine de membres bénévoles et ses interventions sont gratuites. Le programme détaillé est publié sur le site des Samedis du Libre. L’entrée ne fait l’objet d’aucune condition particulière mentionnée par l’organisateur, mais il vaut mieux consulter ce programme avant de venir pour repérer les ateliers utiles à sa structure.
Logiciel libre et RGPD : ce que le RGPD demande vraiment
Le RGPD n’impose aucune technologie. Il demande de savoir où vont les données, qui y accède, et de pouvoir le justifier. Le choix d’un outil compte surtout à travers trois questions : le prestataire est-il sous-traitant au sens de l’article 28, les données sortent-elles de l’Union européenne, l’organisme garde-t-il la maîtrise de ses fichiers ?
Sur les transferts, la situation actuelle repose en grande partie sur la décision d’adéquation de la Commission pour les entreprises américaines adhérant au Data Privacy Framework. Elle a été validée en première instance par le Tribunal de l’Union en septembre 2025. Une structure qui utilise une messagerie, un stockage en ligne ou un outil de visioconférence d’un grand fournisseur américain s’appuie donc sur un cadre qui peut évoluer. Les deux précédents accords ont été annulés par la Cour de justice. Héberger chez un acteur européen, ou chez soi, réduit cette dépendance sans la supprimer : une solution libre installée chez un hébergeur hors UE pose exactement les mêmes questions.
Le libre apporte un autre bénéfice, moins souvent cité : la réversibilité. Les formats ouverts et l’absence d’enfermement chez un éditeur facilitent la récupération des données à la fin d’un contrat, ce que l’article 28 impose de prévoir.
Les limites à regarder en face
L’autohébergement transfère la responsabilité de la sécurité à la structure elle-même. Un serveur Yunohost installé dans un local associatif, jamais mis à jour, sauvegardé sur un disque posé à côté, présente plus de risques qu’un service hébergé correctement administré. L’article 32 exige un niveau de sécurité adapté au risque, et une petite équipe bénévole doit se demander honnêtement qui appliquera les correctifs dans deux ans.
Pour beaucoup de petites structures, la voie intermédiaire est plus réaliste : un hébergeur du collectif CHATONS ou un prestataire européen qui exploite des logiciels libres, avec un contrat de sous-traitance en bonne et due forme. Le logiciel est libre, l’administration est confiée à quelqu’un dont c’est le métier.
Un CSE manipule des données sensibles sur les salariés : demandes d’aide sociale, situations familiales, parfois des éléments de santé. Une commune traite l’état civil et l’action sociale. Dans ces deux cas, l’analyse des données traitées vient en premier, et le choix de l’outil en découle. Je constate souvent, chez les petites structures que j’accompagne, que l’outil a été adopté parce qu’un bénévole ou un élu le connaissait déjà, sans que personne ne se demande où partaient les fichiers. Reprendre cette question à froid, outil par outil, prend rarement plus d’une demi-journée.
Ce que la structure doit vérifier avant de changer d’outil
- Lister les outils en place (messagerie, stockage, agenda, formulaires, visioconférence) et, pour chacun, le lieu d’hébergement et les éventuels transferts hors UE.
- Vérifier qu’un contrat conforme à l’article 28 existe avec chaque prestataire, qu’il soit libre ou propriétaire.
- Mettre à jour le registre des traitements et l’information des personnes en cas de migration.
- Désigner une personne responsable des mises à jour et des sauvegardes si l’option retenue est l’autohébergement, et tester une restauration.
- Prévoir la sortie : format d’export, délai de restitution, suppression chez l’ancien prestataire.
Passer une journée au PSL XXL avec cette liste en poche permet de poser les bonnes questions aux bénévoles et de repartir avec une idée claire de ce qui est faisable en interne.
Les DPO du réseau DPO FRANCE accompagnent associations, CSE et communes dans le choix et la contractualisation de leurs outils, sans parti pris technologique. DPO SUITE permet de recenser les logiciels, leurs lieux d’hébergement et les sous-traitants, et de suivre les transferts hors UE traitement par traitement.
