RGPD en MJC et centre social : le guide pratique pour se mettre en conformité sans tout bloquer

Le fichier adhérents que personne n'a jamais vraiment sécurisé

Dans beaucoup de structures, le fichier des adhérents vit dans un tableur partagé, hérité de la direction précédente, enrichi année après année : nom, adresse, numéro de téléphone des parents, parfois une colonne « allergies » ou « PAI » ajoutée dans l'urgence avant un séjour. Personne n'a vraiment décidé de collecter ces données dans ces conditions - c'est simplement devenu l'outil du quotidien. Le problème, c'est que ce tableur est souvent accessible à toute l'équipe, parfois envoyé par mail à un animateur vacataire la veille d'un accueil, et conservé sans limite de durée depuis la création de l'association.

Ce n'est pas un cas isolé. C'est, concrètement, la situation de départ de la plupart des MJC et centres sociaux qui n'ont jamais eu de temps à consacrer au sujet - pas par négligence, mais parce que la réglementation RGPD paraît pensée pour des entreprises, pas pour une petite équipe qui gère déjà l'encadrement, les activités et le lien avec les familles.

Le RGPD s'applique à vous, même avec 50 adhérents

Le Règlement général sur la protection des données s'applique à toute structure qui traite des données personnelles, sans seuil minimum : une association de 50 adhérents est concernée au même titre qu'une entreprise (CNIL - Guide RGPD pour les associations). La bonne nouvelle, c'est que l'ancienne obligation de déclaration préalable à la CNIL a disparu avec l'entrée en application du RGPD en mai 2018 : il n'y a plus de dossier à déposer avant de créer un fichier. En contrepartie, la structure devient responsable de traitement et doit pouvoir démontrer, à tout moment, qu'elle respecte les grands principes du règlement - c'est ce qu'on appelle le principe de responsabilité (« accountability »).

Pour une structure socio-culturelle, cela recouvre très concrètement : le fichier des adhérents et de leurs familles, les listes de présence et d'inscription aux activités, les fiches sanitaires et PAI, les dossiers de demande de subvention qui contiennent des données nominatives, et les éventuels fichiers de prospection (newsletter, réseaux sociaux).

Des données souvent plus sensibles qu'il n'y paraît

Le RGPD distingue les données personnelles courantes (nom, adresse, téléphone) des données dites « sensibles », qui bénéficient d'une protection renforcée - et les données de santé en font partie. Une association qui organise des sorties ou des accueils de loisirs peut collecter des informations de santé (allergies, traitements, PAI), mais uniquement dans les cas prévus par l'article 9 du RGPD : consentement explicite du responsable légal, fichier réservé aux seuls membres de l'association, ou obligation réglementaire - la fiche sanitaire de liaison est ainsi exigée pour les accueils collectifs de mineurs. Dans tous les cas, ces données ne doivent pas être communiquées en dehors de la structure sans l'accord des familles.

S'ajoute à cela le fait que les publics accueillis en ACM sont, par définition, mineurs : le RGPD demande une vigilance renforcée sur les données des enfants (considérant 38), ce qui implique de ne collecter que le strict nécessaire, de limiter la durée de conservation et de rédiger une information claire et compréhensible pour les familles.

Comment faire : 5 étapes pour se mettre en conformité

Pas besoin d'un service juridique ni d'un DPO à temps plein. La CNIL propose des outils pensés pour les petites structures, associations comprises. Voici l'ordre de traitement le plus efficace.

1. Faire l'inventaire dans un registre des traitements. C'est le document de référence imposé par l'article 30 du RGPD, et le point de départ de toute mise en conformité. La CNIL met à disposition un modèle de registre simplifié, gratuit, au format tableur, pensé pour les petites structures (CNIL - Le registre des activités de traitement). Une ligne par fichier (adhérents, fiches sanitaires, newsletter…) avec sa finalité, sa durée de conservation et les personnes qui y ont accès suffit pour démarrer.

2. Revoir le bulletin d'adhésion et les fiches d'inscription. L'article 13 du RGPD impose d'informer les familles au moment de la collecte : qui est responsable du traitement, pourquoi ces données sont demandées, combien de temps elles sont conservées, et comment exercer ses droits (accès, rectification, suppression). Quelques lignes ajoutées au bas du bulletin suffisent ; les cases pré-cochées pour un consentement (photo, newsletter) sont à proscrire.

3. Fixer une durée de conservation, et s'y tenir. La CNIL recommande de conserver les données d'un adhérent pendant la durée de l'adhésion, puis trois ans maximum après la fin de l'adhésion, avant suppression ou anonymisation. Les fiches sanitaires et PAI n'ont pas vocation à être gardées aussi longtemps : elles se conservent le temps de l'activité ou du séjour concerné, puis se détruisent. Les pièces comptables (cotisations, reçus) suivent leurs propres délais légaux, en archive à accès restreint. Un tri annuel dans le fichier adhérents, calé sur la rentrée de septembre, évite l'accumulation.

4. Restreindre l'accès aux données sensibles. Les fiches sanitaires et PAI ne doivent être consultables que par les personnes qui encadrent réellement l'enfant concerné, pas par toute l'équipe. En pratique : un accès limité dans l'outil de gestion, pas d'envoi par mail en clair, des mots de passe différents pour chaque service.

5. Prévoir la procédure en cas de demande ou d'incident. Une famille peut demander à tout moment l'accès à ses données ou leur suppression, et la structure doit lui répondre dans un délai d'un mois (article 12 du RGPD) : avoir un circuit de traitement simple (qui répond, comment) évite l'improvisation. En cas de perte ou de vol d'un fichier, la structure doit identifier rapidement ce qui a été exposé, notifier la CNIL sous 72 heures si la fuite présente un risque pour les personnes, et prévenir les familles concernées si ce risque est élevé. Chaque incident est consigné dans un registre interne, même lorsqu'il n'est pas notifié.

Étape	Document ou action	Fréquence
Registre des traitements	Modèle CNIL simplifié	Mise à jour 1x/an
Mention d'information	Bulletin d'adhésion	À chaque révision du formulaire
Tri des données	Adhérents : 3 ans après la fin de l'adhésion ; fiches sanitaires : fin de l'activité	Annuel (rentrée de septembre)
Accès aux données sensibles	Limité aux encadrants concernés	En continu
Procédure incident/demande	Réponse sous 1 mois, notification CNIL sous 72 h	Prête en amont

Ce que le RGPD ne vous demande pas

Deux idées reçues entretiennent l'inquiétude autour du sujet. D'abord, il n'y a plus de déclaration préalable à faire auprès de la CNIL pour un fichier courant : ce régime a disparu en 2018. Ensuite, la nomination d'un délégué à la protection des données (DPO) n'est obligatoire que pour les organismes publics et pour les structures dont l'activité principale consiste à traiter des données sensibles à grande échelle, ou à suivre des personnes de façon régulière et systématique à grande échelle. La plupart des MJC et centres sociaux associatifs n'y sont donc pas tenus. Deux nuances toutefois : un centre social municipal relève du DPO de sa commune, et une structure importante du secteur social qui traite beaucoup de données de santé doit se poser la question - la CNIL estime qu'elle devra a priori en désigner un. Le RGPD, pour une structure socio-culturelle, relève davantage de bonnes pratiques documentées que d'un arsenal juridique lourd.

À retenir

• Le RGPD s'applique dès le premier adhérent, sans seuil minimum, mais sans obligation de déclaration préalable à la CNIL depuis 2018.
• Les fiches sanitaires et PAI contiennent des données de santé, à protéger avec un accès restreint aux seuls encadrants concernés.
• Un registre des traitements à jour (modèle CNIL gratuit) est le document de référence à présenter en cas de contrôle.
• Les données des adhérents se conservent pendant l'adhésion, puis trois ans maximum après sa fin ; les fiches sanitaires, seulement le temps de l'activité.
• Un DPO n'est obligatoire que pour les organismes publics ou les structures dont l'activité principale est le traitement de données sensibles à grande échelle - pas pour la plupart des structures socio-culturelles associatives.
• En cas de fuite de données présentant un risque, la CNIL doit être notifiée sous 72 heures ; une demande d'accès ou de suppression appelle une réponse sous un mois.

Centraliser les fiches d'inscription, les bilans d'activité et les évaluations dans un outil structuré plutôt que dans des tableurs dispersés est aussi une manière concrète de reprendre la main sur ces données. C'est tout l'objet d'AnimDash : si le sujet vous concerne, l'inscription gratuite permet d'en tester les bases sans engagement.