Un planning d'association contient des données personnelles dès qu'il mentionne un nom, un numéro de téléphone ou des disponibilités : le RGPD s'applique donc, même pour une petite structure de bénévoles. Concrètement, il s'agit de ne collecter que le nécessaire, d'informer les personnes, de limiter la durée de conservation, de protéger l'accès et de tenir un registre simple des traitements.
Ce guide donne des repères pratiques, sans valeur de conseil juridique. Pour toute situation sensible, appuyez-vous sur les ressources de la CNIL (cnil.fr), notamment son guide de sensibilisation au RGPD pour les associations.
Quelles données un planning contient-il ?
| Donnée | Exemple | Sensibilité |
|---|---|---|
| Identité | Nom, prénom | Donnée personnelle ordinaire |
| Coordonnées | Téléphone, e-mail | Donnée personnelle ordinaire |
| Disponibilités | « libre le mardi et le jeudi soir » | Ordinaire, mais peut révéler la vie privée |
| Motifs d'absence | « rendez-vous médical », « enterrement » | Peut révéler des informations de santé ou familiales |
| Élèves ou publics accueillis | Prénom, âge, groupe | Données de mineurs : vigilance accrue |
Les motifs d'absence sont le point de vigilance. Un message libre du type « je ne peux pas, je suis à l'hôpital » contient une donnée de santé, que le RGPD (article 9) encadre strictement. La règle pratique : ne demandez jamais le motif, et n'inscrivez dans le planning que « indisponible ».
Les sept bonnes pratiques
1. Collecter le minimum
Le RGPD pose le principe de minimisation (article 5) : seules les données adéquates, pertinentes et limitées à ce qui est nécessaire. Pour un planning, il faut un prénom ou un nom, un moyen de contact, des disponibilités. Pas de date de naissance, pas d'adresse personnelle, pas de motif.
2. Savoir pourquoi vous collectez (la finalité et la base légale)
Chaque traitement a une finalité claire : « organiser les séances et prévenir les intervenants ». Pour une association qui planifie ses bénévoles ou ses salariés, la base légale est le plus souvent l'intérêt légitime de la structure ou l'exécution du contrat, plutôt que le consentement. À noter par écrit.
3. Informer les personnes
L'article 13 du RGPD demande d'informer les personnes concernées : qui collecte, pour quoi, combien de temps, à qui sont transmises les données, quels sont leurs droits. En pratique, une mention de quelques lignes sur le formulaire de disponibilités ou dans le message d'invitation suffit : une phrase simple vaut mieux qu'un texte juridique que personne ne lit.
4. Fixer une durée de conservation
Le RGPD interdit de conserver les données indéfiniment (limitation de la conservation, article 5). La CNIL rappelle que les données personnelles ne peuvent être conservées indéfiniment. Il n'existe pas de durée unique : c'est à vous de la définir et de la justifier. Un repère raisonnable est de supprimer ou d'anonymiser les plannings nominatifs de la saison écoulée à la rentrée suivante, sauf obligation de conservation (obligations comptables ou sociales pour un salarié, par exemple). Vérifiez ce qui s'applique à votre cas.
5. Protéger l'accès
L'article 32 impose des mesures de sécurité adaptées. Pour un planning : accès limité aux personnes qui en ont besoin, mots de passe distincts, pas de partage de fichier par lien ouvert à tout internet, pas de capture d'écran envoyée à un groupe large. Distinguez la consultation (tout le monde voit les horaires) de la gestion (quelques personnes seulement modifient).
6. Tenir un registre
Selon la CNIL, l'obligation de tenir un registre des activités de traitement concerne tous les organismes, publics comme privés, quelle que soit leur taille. Une exception existe pour les structures de moins de 250 personnes, mais la CNIL la décrit comme très limitée : elle ne s'applique pas aux traitements non occasionnels, comme la gestion des salariés ou des adhérents. En cas de doute, la CNIL recommande de tout inscrire. Le registre est écrit (papier ou fichier) et la CNIL propose un modèle simplifié adapté aux associations et petites structures. Pour un planning, une ligne suffit : finalité, personnes concernées, données, destinataires, durée de conservation, mesures de sécurité.
7. Répondre aux demandes de droits
Toute personne peut demander l'accès à ses données, leur rectification ou leur effacement (articles 15 à 17). Le délai de réponse est en principe d'un mois (article 12). Désignez qui reçoit ces demandes : souvent la présidence, ou un référent.
Le cas du groupe WhatsApp
C'est la pratique la plus courante, et celle qui soulève le plus de questions. Dans un groupe, tous les membres voient en général les numéros de téléphone des autres. Quelques précautions :
- N'ajoutez une personne qu'avec son accord.
- Réservez le groupe aux annonces utiles à tous, pas à des informations individuelles (absences, motifs, évaluations).
- Ne publiez pas de documents contenant des données sensibles.
- Prévoyez une alternative pour qui ne souhaite pas donner son numéro (e-mail, lien personnel).
- Gardez à l'esprit que WhatsApp est un service tiers, dont vous ne maîtrisez pas la conservation.
Voir aussi le guide sur la diffusion d'un planning pour d'autres canaux.
Que regarder dans un outil de planning
Avant d'adopter un logiciel, posez quatre questions au fournisseur : où sont hébergées les données, qui y a accès, comment supprimer une personne ou une saison, et quel contrat encadre le traitement (le fournisseur est alors un sous-traitant au sens de l'article 28). Chez Accord, chacun donne ses disponibilités par un lien sans compte, ce qui évite de créer un compte et un mot de passe pour chaque bénévole ; les conditions de traitement sont décrites dans la politique de confidentialité. Un outil ne vous dispense pas de vos propres obligations de responsable du traitement.
Que faire en cas de fuite
Un fichier de planning envoyé à la mauvaise liste, un lien transmis à un tiers : c'est une violation de données. Le RGPD (article 33) prévoit en principe une notification à la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes. Même sans notification, documentez l'incident et corrigez.
Questions fréquentes
Une petite association doit-elle respecter le RGPD ?
Oui. Le RGPD s'applique à tout organisme qui traite des données personnelles, quelle que soit sa taille. Un planning avec des noms et des numéros de téléphone en est un exemple. Les obligations restent proportionnées : un registre simple, une information claire, une conservation limitée.
Faut-il désigner un délégué à la protection des données (DPO) ?
Pas systématiquement. L'article 37 du RGPD ne l'impose que dans certains cas (autorité publique, suivi régulier à grande échelle, traitement à grande échelle de données sensibles). Une petite association n'y est généralement pas tenue, mais il est utile de nommer un référent.
Peut-on utiliser WhatsApp pour le planning des bénévoles ?
Rien ne l'interdit, mais il faut en connaître les limites : numéros visibles des membres, service tiers, absence de maîtrise de la conservation. Évitez d'y faire circuler des données sensibles et laissez une alternative aux personnes réticentes.
Combien de temps conserver un ancien planning ?
Le RGPD n'impose pas de durée unique : vous devez la fixer en fonction de votre besoin et la justifier. Beaucoup de structures suppriment les plannings nominatifs à la fin de la saison suivante, sauf obligation légale de conservation. Notez votre choix dans le registre.
Peut-on demander le motif d'une absence ?
Mieux vaut ne pas le demander. Un motif peut révéler des informations de santé ou de vie privée, sans nécessité pour organiser le planning. « Indisponible » suffit.