RGPD dans une église : données religieuses (art. 9) sans crainte

Oui, votre église doit respecter le RGPD, et la liste des membres est une donnée sensible. Mais ce n’est pas une raison d’avoir peur : le RGPD prévoit expressément les organismes religieux. Si vous ne traitez que des données de membres, d’anciens membres et de personnes en contact régulier, si vous ne les divulguez pas à des tiers sans consentement et si vous avez quelques règles simples, vous êtes sur la bonne voie.

Pourquoi les données d’une église sont particulières

L’article 9, paragraphe 1, du RGPD interdit en principe de traiter des données qui révèlent des convictions religieuses ou philosophiques. Une liste de membres dit, à elle seule, ce que chacun croit. Un sujet de prière peut aussi révéler la santé, qui est une autre catégorie particulière. Ce qui, dans une entreprise, serait une simple base de contacts demande donc, dans une église, davantage de soin.

Les exceptions qui vous concernent

L’article 9, paragraphe 2, prévoit des exceptions. Deux sont centrales :

• Le consentement explicite (point a). La personne dit clairement qu’elle accepte, pour une finalité précise.
• Les organismes à but non lucratif poursuivant une finalité religieuse (point d). Vous pouvez traiter des données dans le cadre de vos activités légitimes et avec des garanties appropriées, si le traitement se rapporte exclusivement à vos membres, anciens membres ou personnes qui ont des contacts réguliers avec vous, et si les données ne sont pas communiquées à des tiers sans le consentement des personnes concernées.

En plus de l’exception de l’article 9, il vous faut une base de l’article 6, comme le consentement ou l’intérêt légitime de l’église.

Quelles données gardez-vous, au juste ?

Faites une liste, même sur une feuille. Le RGPD appelle cela le registre des activités de traitement (article 30). La dispense pour les organisations de moins de 250 salariés ne s’applique pas à ceux qui traitent des catégories particulières de données ; une église doit donc tenir ce registre. Pensez à :

• la fiche du membre (contacts, famille, dates) ;
• les présences, les plannings et la participation aux groupes ;
• les dons et le NIF des donateurs ;
• les sujets de prière et les notes pastorales ;
• les photos et vidéos des cultes ;
• les enfants et les autorisations des parents (allergies, santé).

Sur quelle base vous appuyer, cas par cas

Qui ou quoi	Base la plus adaptée
Membres, anciens membres, contacts réguliers	Article 9, paragraphe 2, point d), avec garanties
Visiteurs qui remplissent une carte une fois	Consentement explicite, simple et distinct
Donateurs (NIF, montants)	Obligation légale d’enregistrement (article 66 de l’EBF)
Sujets de prière avec données de santé	Consentement explicite de celui qui écrit ; visibilité limitée
Enfants	Autorisation de celui qui exerce l’autorité parentale

Pour les enfants, l’âge à partir duquel un mineur peut consentir seul à des services en ligne varie d’un pays à l’autre : l’article 8 du RGPD fixe 16 ans et permet à chaque État membre de l’abaisser jusqu’à 13 ans. Vérifiez auprès de la CNPD ou d’un juriste l’âge en vigueur au Portugal.

Qui voit quoi

Donnez à chacun le minimum nécessaire. La trésorerie n’a pas besoin de voir les sujets de prière. Le responsable d’une cellule n’a pas besoin de voir les dons. Évitez d’exporter la liste complète vers un groupe de messagerie. Revoir les accès deux fois par an suffit.

Que dire aux personnes

Rédigez un avis de confidentialité en langage simple : qui vous êtes, quelles données vous conservez, pourquoi, combien de temps, avec qui vous les partagez (par exemple, avec le fournisseur du logiciel) et à qui s’adresser pour exercer ses droits, comme le droit d’accès (article 15) et le droit à l’effacement (article 17).

Si quelque chose tourne mal

Vous avez perdu un téléphone contenant la liste ? Vous avez envoyé une liste à la mauvaise personne ? C’est une violation de données. La notification à la CNPD se fait au plus tard 72 heures après en avoir pris connaissance, au moyen du formulaire disponible sur le site de la CNPD. Si le risque est élevé, prévenez aussi les personnes. Et consignez toutes les violations en interne, même celles que vous ne notifiez pas.

Si votre communauté a déjà ses propres règles

L’article 91 permet aux églises et communautés religieuses qui appliquaient déjà un ensemble complet de règles de protection des données à la date d’entrée en vigueur du RGPD de continuer à les appliquer, pourvu qu’elles respectent le règlement et soient soumises au contrôle d’une autorité indépendante.

Un plan en huit étapes

1. Dressez la liste des données que vous conservez.
2. Définissez qui peut voir quoi.
3. Choisissez la base de chaque traitement.
4. Rédigez l’avis de confidentialité.
5. Demandez un consentement explicite pour les visiteurs et les données sensibles.
6. Signez un contrat de sous-traitance avec le fournisseur du logiciel (article 28).
7. Convenez de la façon de répondre aux demandes d’accès et d’effacement.
8. Préparez la marche à suivre en cas de violation de données et qui prévient la CNPD.

Et Brado ?

Brado a été conçu avec des accès par rôle (la trésorerie n’a pas à voir les sujets de prière), un journal des consentements et l’export des données de chaque personne. Le RGPD reste la responsabilité de l’église, mais il aide d’avoir des outils qui ne vous poussent pas dans le mauvais sens. Les données restent dans l’UE. Découvrez les offres dans les tarifs et le reste dans la plateforme. Si vous comparez des fournisseurs, servez-vous de la checklist pour choisir un logiciel.

Ces informations sont générales et ne remplacent pas un conseil juridique.