RGPD : un guide pour les organisations syndicales

Le règlement européen sur la protection des données (RGPD) et la loi informatique et libertés définissent des règles s’imposant à tout organisme qui utilise des données personnelles.

Une donnée personnelle est une information se rapportant à une personne physique qui peut être identifiée :

• directement (par exemple un nom et prénom) ;
• ou indirectement (par exemple un numéro d’adhérent, un numéro de téléphone ou de plaque d’immatriculation, une adresse courriel, mais aussi la voix ou l’image).

Toute utilisation de données personnelles constitue un « traitement », quel que soit le procédé utilisé (collecte, enregistrement, conservation, consultation, utilisation, communication, etc.).

La notion est donc particulièrement large, une simple consultation des données étant un « traitement ».

La CNIL donne des exemples de traitements de données personnelles :

• la création d’un fichier de tableur qui regroupe l’ensemble des actions effectuées auprès des adhérents ;
• la diffusion d’un formulaire de collecte de données personnelles sur votre site web.

Autre notion importante à connaitre : la finalité. Il s’agit de la raison d’être, de l’objectif poursuivi par la structure syndicale lorsqu’elle utilise des données personnelles.

La gestion administrative des adhérents et la gestion de la lettre d’information de votre structure syndicale constituent par exemple deux finalités distinctes et deux traitements différents.

Le guide de la CNIL comprend notamment 12 fiches thématiques reprenant les principes « Informatique et Libertés ». Elles sont illustrées d’exemples pratiques issus de situations concrètes rencontrées par les organisations syndicales et proposent des contenus pouvant être directement utilisés dans le cadre de vos activités.

Par exemple, la 1re fiche fait le point sur les finalités pour lesquelles votre structure syndicale peut être amenée à traiter des données personnelles.

Pour être conforme au RGPD, la finalité doit répondre à trois critères. Elle doit être déterminée, explicite et légitime.

Les finalités des traitements mis en place par votre structure syndicale sont multiples. Il peut notamment s’agir de :

• la gestion des adhérents et potentiels adhérents ;
• la gestion des activités organisées et services proposés par le syndicat.

Si vous souhaitez réutiliser des données en votre possession pour une finalité différente de celle initialement prévue, vous devez vous assurer que ce nouvel objectif est compatible avec l’objectif initial et informer la personne concernée avant de le faire.

Autre exemple de fiche : la 3^e fiche vise à vous permettre de vous assurer que votre traitement de données personnelles est admis. Il doit notamment avoir une base légale qui peut être :

• le traitement est nécessaire à l’exécution d’un contrat ;
• le traitement vise à satisfaire un intérêt légitime poursuivi par votre structure syndicale (par exemple la réalisation de statistiques pour étudier la population adhérant à votre structure syndicale) ;
• il existe une obligation légale qui justifie la mise en place du traitement (par exemple pour le suivi budgétaire) ;
• la personne a donné son consentement pour que ces informations soient traitées ; ce consentement doit être libre, explicite, éclairé. Par exemple, il peut s’agir d’une démarche volontaire de s’inscrire à une lettre d’information sur le site de l’organisation syndicale.

A signaler également la fiche 4 qui récapitule les données personnelles qui peuvent être collectées par la structure syndicale.

Il ne faut traiter que les données adéquates, pertinentes et strictement nécessaires à l’objectif poursuivi. Les données personnelles ne doivent pas être collectées « au cas où ». Par exemple, il est possible de collecter des données relatives à la composition familiale de l’adhérent pour déterminer le montant de la cotisation syndicale. La collecte des noms, prénoms et dates de naissance des enfants de l’adhérent n’apparaît en revanche pas nécessaire pour cette finalité.

Il n’est également pas possible de demander des données lors de l’adhésion en anticipation d’un accompagnement juridique futur.

Retrouvez les 12 fiches détaillées et l’ensemble du guide ici :

Vous vous interrogez sur les obligations des CSE relatives au RGPD ? Aidez-vous de notre documentation « CSE ACTIV » et notamment la fiche « Maîtriser les obligations du comité relatives au RGPD ».

CNIL, information du 23 février 2023