Blog Données personnelles

La CNIL rappelle les règles applicables à l’échange de fichiers de contacts ou de donateurs entre associations et fondations

Les associations et fondations constituent des fichiers de donateurs et contacts afin d’organiser leurs opérations de prospection caritative. Elles peuvent également être amenées dans le cadre de leurs activités à transmettre ces fichiers ou à en recevoir, dans le cadre d’échanges avec d’autres organismes à but non-lucratif ou avec des sociétés commerciales. Dans une publication du 20 juin 2022, la CNIL revient sur le régime juridique applicable à ces transmissions. En effet, bien que l’encadrement de la prospection caritative soit moins strict que celui de la prospection à caractère commercial, les organismes concernés restent soumis à certaines contraintes issues du RGPD.

En effet, peu importe que l’entité concernée soit à but non-lucratif, les règles applicables seront toujours déterminées par la finalité de la transmission. Cette logique reste valable en toutes circonstances, que l’organisme concerné soit une association, une fondation ou bien une société commerciale.

En conséquence, dès lors qu’un transfert ou échange de fichiers est réalisé à des fins de prospection commerciale, l’organisme cédant devra informer les personnes et obtenir leur consentement préalablement à toute transmission. En revanche, lorsqu’un transfert ou échange de fichiers vise la réalisation d’opération de prospection caritative, les personnes devront bien être informées préalablement, mais seul le droit d’opposition leur sera présenté.

Concrètement et conformément à l’article 13 du RGPD, c’est au moment de la collecte que l’association ou la fondation devra informer les personnes du sort de leurs données. Elles se voient également proposer la faculté de s’opposer à la fois à l’usage par l’association elle-même de leurs données à des fins de prospection caritatives, mais également à la transmission de ces mêmes données à des partenaires dans le même but. Ce droit d’opposition doit pouvoir s’exercer à tout moment et particulièrement lors des différents contacts avec les personnes.

Une fois le fichier reçu par une association, cette dernière doit faire application des dispositions de l’article 14 du RGPD. Elle informe toute personne concernée par la transmission de fichier, au plus tard lors de la première prise de contact, en indiquant le nom du partenaire ayant procédé au transfert de ses données personnelles. Dès cette première prise de contact également, la personne devra pouvoir s’opposer à toute future sollicitation. Puis, dans le cadre de chaque envoi, cette possibilité devra être renouvelée.