RGPD dans l’église : ce qu’il faut vraiment faire

Pour les églises au Portugal. Votre église doit respecter le RGPD, même si elle est petite, car une liste de membres révèle des convictions religieuses, et l’article 9 du règlement y voit une catégorie particulière de données. La bonne nouvelle, c’est que l’essentiel se résume à sept actions concrètes, détaillées ci-dessous. Ce texte donne des informations générales et ne remplace pas un conseil juridique.

Ce que le RGPD demande à une église, en deux idées

Première idée : traiter des données qui révèlent des convictions religieuses est en principe interdit (article 9, paragraphe 1), sauf si une exception s’applique. Seconde idée : le règlement prévoit une exception pensée pour vous. Un organisme à but non lucratif poursuivant une finalité religieuse peut traiter les données de ses membres, de ses anciens membres et des personnes qui ont des contacts réguliers avec lui, avec des garanties appropriées, à condition de ne pas les communiquer à des tiers sans le consentement des personnes (article 9, paragraphe 2, point d).

L’article 91 ajoute que les églises qui appliquaient déjà un ensemble complet de règles de protection des données à l’entrée en vigueur du RGPD peuvent les conserver, si elles les mettent en conformité avec le règlement.

Tout le reste est affaire de méthode. Voici un ordre de travail.

Les sept actions essentielles

1. Faites l’inventaire des données

Écrivez ce que vous conservez, pour quoi, qui le voit, où cela se trouve et jusqu’à quand. Un tableau simple suffit. Le RGPD l’appelle registre des activités de traitement (article 30), et la dispense prévue pour les organisations de moins de 250 salariés ne vaut pas pour celles qui traitent des catégories particulières de données.

Donnée	Pourquoi	Qui la voit	Où elle se trouve	Jusqu’à quand
Fiche du membre	Contacter et accompagner	Secrétariat, pasteurs	Système de l’église	Tant qu’il est membre
Dons et NIF	Reçus et déclaration au fisc	Trésorerie	Système de l’église	Délai légal
Sujets de prière	Prier et accompagner	Équipe de suivi	Système de l’église	Jusqu’à la réponse
Photos du culte	Communication	Communication	Dossier partagé	À définir

Si la colonne “où cela se trouve” compte cinq endroits différents, vous venez de découvrir le premier problème.

2. Limitez qui voit quoi

La trésorerie n’a pas besoin de voir les sujets de prière. Le responsable d’une cellule (groupe de maison) n’a pas besoin de voir les dons. Donnez à chacun le minimum pour faire son travail et évitez d’envoyer la liste complète dans un groupe de messagerie. Revoyez les accès deux fois par an, ou chaque fois que quelqu’un entre dans une équipe ou la quitte.

3. Choisissez la bonne base pour chaque groupe de personnes

Il n’y a pas une base unique pour tout le monde. En règle générale :

• Membres, anciens membres et contacts réguliers : l’exception de l’article 9, paragraphe 2, point d), avec des garanties.
• Visiteurs : consentement explicite, simple et distinct, pour une finalité claire (par exemple, les contacter après leur visite).
• Donateurs : l’obligation légale de conserver le registre de ceux qui donnent, pour le reçu et pour la déclaration au fisc. Voyez le guide du Modelo 25, la déclaration annuelle que les entités portugaises présentent à l’administration fiscale avec les dons reçus.
• Données de santé dans les sujets de prière : consentement explicite de la personne qui écrit, avec une visibilité limitée.

Le guide sur le RGPD dans une église détaille chaque cas et les conditions de chaque exception.

4. Informez les personnes

Rédigez une information sur la vie privée en langage simple. Dites qui vous êtes, quelles données vous conservez, pour quoi, pendant combien de temps, avec qui vous les partagez (par exemple, avec le fournisseur du logiciel de gestion) et à qui s’adresser pour exercer ses droits. Une page suffit. Placez-la sur la carte de visiteur, sur le site et dans l’appli.

5. Choisissez vos prestataires avec soin

Le logiciel de gestion, le service de messagerie et le stockage de fichiers traitent des données pour votre compte. L’article 28 exige un contrat qui définisse ce qu’ils peuvent en faire. Avant de signer, demandez où les données sont hébergées, qui d’autre y a accès et si vous pouvez tout exporter quand vous voudrez partir. Le guide pour choisir un logiciel de gestion d’église contient ces questions et d’autres.

6. Traitez les enfants avec plus de soin

Fiches d’enfants, autorisations, allergies et photos demandent l’autorisation de ceux qui ont l’autorité parentale. Ne recueillez que ce dont le ministère des enfants a besoin, et ne donnez l’accès qu’à ceux qui travaillent avec les enfants.

7. Préparez la réponse à une violation de données

Un téléphone perdu avec la liste, un fichier envoyé à la mauvaise personne, un compte partagé consulté par quelqu’un qui n’aurait pas dû : tout cela peut constituer une violation de données. S’il y a un risque pour les personnes, la notification à la CNPD se fait dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Si le risque est élevé, prévenez aussi les personnes concernées. Consignez toutes les violations par écrit, même celles que vous ne notifiez pas.

Décidez dès aujourd’hui qui fait quoi. Dans une urgence, ce n’est pas le moment de découvrir la règle.

Ai-je besoin d’un délégué à la protection des données ?

Le délégué à la protection des données (en anglais, DPO) est obligatoire lorsque les activités principales consistent à traiter des catégories particulières de données à grande échelle (article 37, paragraphe 1, point c). Le règlement ne dit pas combien de personnes représentent une “grande échelle”. Dans une petite église locale, ce ne sera en général pas le cas. Dans une dénomination de plusieurs milliers de personnes, la conversation est différente.

Même quand ce n’est pas obligatoire, il vaut la peine de désigner une personne responsable en interne. Quelqu’un qui sait où se trouve l’inventaire, qui reçoit les demandes des personnes et qui sait qui appeler en cas de violation. Si vous vous demandez si vous avez besoin d’un délégué, la CNPD propose une page d’orientation sur le sujet.

Ce que vous n’avez pas besoin de faire

Certaines craintes poussent les églises à en faire trop, ou à ne rien faire.

• Demander le consentement de tous les membres pour la liste interne. Pour les membres, les anciens membres et les contacts réguliers, le règlement admet l’exception de l’article 9, paragraphe 2, point d), avec des garanties.
• Tout effacer par précaution. Certaines données doivent être conservées selon la loi, comme le registre des donateurs. Effacer ce que vous devriez garder est aussi un problème.
• Acheter une solution coûteuse. Ce qui protège vos membres, ce sont des règles claires, des accès limités et leur application. Un outil aide, mais ne les remplace pas.

Quand demander de l’aide

Faites appel à un juriste, au délégué à la protection des données de votre dénomination s’il y en a un, ou à la CNPD lorsque :

• vous avez des doutes sur la base légale d’un nouveau traitement ;
• vous allez partager des données avec la dénomination, avec une autre église ou avec une entité extérieure ;
• vous traitez des données de santé, des données d’enfants ou des images vidéo à grande échelle ;
• une violation a fait courir un risque aux personnes.

Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros pour les infractions les plus graves (article 83, paragraphe 5). L’article 83, paragraphe 2, demande de prendre en compte, entre autres facteurs, la gravité de l’infraction et les mesures prises pour atténuer le dommage. Montrer que l’on a pris soin des choses vaut mieux que d’espérer que personne ne remarque.

Comment Brado aide

Le RGPD reste la responsabilité de l’église, mais un bon outil aide à le respecter. Brado donne un accès selon le rôle, conserve les consentements, permet d’exporter les données d’une personne lorsqu’elle les demande et propose un mur de prière avec des sujets anonymes. Les données restent dans l’Union européenne. Sur la page sécurité, nous disons ce que nous faisons et ce qu’il reste à faire.

Si vous organisez la liste des membres, l’article comment gérer les membres de l’église sans tableur montre le chemin. Retrouvez le reste sur la page de la plateforme.

Ces informations sont générales et ne remplacent pas un conseil juridique.