Votre base d'arbres généalogiques piratée : le risque RGPD que personne ne voit venir
Vos arbres en ligne contiennent actes, filiations, données sensibles. Une fuite expose l'association à la CNIL et aux plaintes d'adhérents.
- Une association de généalogie traite des données personnelles massives (état civil, filiations, parfois données de santé héréditaires) et reste pleinement soumise au RGPD, même sans but lucratif.
- Le risque n'est pas théorique : un site adhérents mal sécurisé, un CMS non mis à jour ou une base exportée sur un drive partagé suffisent à provoquer une fuite et l'obligation de notifier la CNIL sous 72 heures.
- Au-delà de la sanction administrative, des adhérents ou des tiers cités dans les arbres peuvent réclamer réparation pour atteinte à leur vie privée.
- Une assurance cyber prend en charge la gestion de crise, la notification, l'expertise forensique et les recours, là où aucune RC classique ne joue.
Pourquoi une asso de généalogie est une vraie cible RGPD
On imagine la généalogie comme un loisir d'archives poussiéreuses, sans rapport avec la cybersécurité. C'est une erreur de perspective. Une association de généalogie est, en réalité, un gros traitement de données personnelles permanent. Les arbres saisis par vos adhérents contiennent des noms, prénoms, dates et lieux de naissance, mariage et décès, des professions, des adresses, des photographies, parfois des informations sur la religion, les origines ethniques ou des maladies héréditaires de personnes encore vivantes. Or ces dernières catégories relèvent des données sensibles de l'article 9 du RGPD, dont le traitement est en principe interdit sauf base légale renforcée.
Le statut associatif loi 1901 ne change rien : le RGPD s'applique à tout organisme qui traite des données, qu'il soit commercial, public ou bénévole. Le Règlement (UE) 2016/679 et la loi Informatique et Libertés modifiée vous imposent les mêmes obligations qu'à une entreprise : information des personnes, base légale, durée de conservation, sécurité, et surtout réaction en cas de violation.
La difficulté propre à votre activité, c'est que vous traitez aussi des données de tiers qui n'ont jamais adhéré à l'association et n'ont jamais consenti : le cousin germain encore vivant qu'un adhérent a inscrit dans son arbre, l'enfant né hors mariage, la personne adoptée. Ces personnes peuvent exercer un droit d'opposition, un droit à l'effacement, et porter plainte à la CNIL si elles découvrent que des informations les concernant circulent sur votre plateforme.
Les portes d'entrée d'une fuite, concrètement
Les violations de données dans le tissu associatif ne viennent presque jamais d'un pirate génial. Elles viennent de configurations négligées, faute de moyens techniques. Voici les vecteurs les plus fréquents.
Le site adhérents sous CMS non maintenu. Beaucoup d'associations tournent sur un WordPress, un Joomla ou un logiciel de généalogie en ligne (type Geneweb, webtrees) installé il y a des années par un bénévole parti depuis. Les extensions ne sont plus mises à jour, une faille connue est exploitée par un robot, et la base entière est aspirée. C'est le scénario numéro un.
La base exportée "pour travailler tranquille". Un membre du bureau exporte le fichier des adhérents ou un GEDCOM complet sur un drive personnel, un mail, une clé USB. Le compte est piraté ou la clé perdue dans le train : la fuite est constituée.
Les identifiants partagés et faibles. Un seul mot de passe "genealogie2024" pour le compte administrateur, partagé entre cinq bénévoles par mail. Une seule de ces boîtes compromise et tout le back-office est ouvert.
Le formulaire d'adhésion en clair. Coordonnées bancaires, RIB, copies de pièces d'identité reçues par mail non chiffré et stockées dans une boîte partagée pendant des années.
Dans tous ces cas, l'association se retrouve, du jour au lendemain, dans l'obligation légale de réagir vite et bien — ce pour quoi un bureau bénévole n'est jamais outillé.
Les 72 heures qui suivent la découverte
Dès que vous avez connaissance d'une violation de données à caractère personnel, l'article 33 du RGPD vous impose de la notifier à la CNIL dans les 72 heures, sauf si elle est peu susceptible d'engendrer un risque pour les personnes. Et si le risque est élevé, l'article 34 vous oblige en plus à informer individuellement chaque personne concernée. Pour une base de plusieurs milliers d'arbres, cela peut représenter des milliers de courriers ou d'e-mails.
Concrètement, l'enchaînement ressemble à ceci :
Heure 0 — Un adhérent vous signale que ses données apparaissent sur un forum, ou votre hébergeur vous alerte d'une intrusion.
Heure 0 à 24 — Il faut qualifier la violation : quelles données, combien de personnes, données sensibles ou non, fuite avérée ou simple suspicion.
Heure 24 à 72 — Notification CNIL via le téléservice, avec description de la nature de la violation et des mesures prises.
Jour 3 à 15 — Information des personnes concernées si le risque est élevé, gestion des questions et des plaintes, communication maîtrisée.
Semaines suivantes — Expertise technique pour comprendre la faille, la corriger, et démontrer à la CNIL votre diligence.
Sans accompagnement, un bureau bénévole improvise, communique mal, oublie la notification, ou au contraire panique et alerte tout le monde sans nécessité. Chacune de ces erreurs aggrave la situation aux yeux du régulateur et des adhérents.
Ce que l'assurance cyber prend réellement en charge
Aucune RC classique ne couvre une crise de données. La cyber-assurance a précisément été conçue pour cet enchaînement. Pour une association de généalogie, elle intervient sur plusieurs fronts.
- L'assistance d'urgence : une cellule de crise joignable qui mobilise des experts juridiques et techniques dès la première heure, pour qualifier la violation et piloter la réponse.
- L'expertise forensique : un prestataire identifie l'origine de l'intrusion, mesure l'étendue des données exfiltrées et produit le rapport technique attendu par la CNIL.
- La gestion de la notification : aide à la rédaction de la notification CNIL et des messages aux personnes concernées, dans les délais légaux.
- La prise en charge des recours de tiers : si un adhérent ou une personne citée dans un arbre réclame des dommages et intérêts pour atteinte à sa vie privée, la garantie couvre les frais de défense et les indemnisations éventuelles.
- Les frais de restauration du site et des données, et l'accompagnement en communication de crise pour préserver la réputation de l'association.
Les sanctions administratives de la CNIL elles-mêmes ne sont pas assurables (elles sont par nature personnelles et dissuasives), mais l'essentiel du coût d'une crise se loge dans tout ce qui les entoure : l'expertise, la gestion, la défense et les réparations civiles. C'est précisément ce que la cyber-assurance absorbe.
Cinq gestes qui réduisent le risque avant même le sinistre
Une assurance ne remplace pas l'hygiène numérique de base, et un assureur regarde favorablement une association qui peut démontrer sa diligence.
- Mettez à jour vos logiciels. CMS, extensions de généalogie en ligne, plugins : une mise à jour mensuelle ferme l'immense majorité des portes d'entrée automatiques.
- Cessez de partager les mots de passe. Un compte nominatif par bénévole, un gestionnaire de mots de passe, et la double authentification sur le compte administrateur.
- Cartographiez vos données. Tenez un registre des traitements (obligatoire) qui liste où sont les données : site, fichier adhérents, drive, sauvegardes. On ne protège bien que ce que l'on a recensé.
- Distinguez vivants et défunts. Beaucoup de logiciels permettent de masquer automatiquement les informations des personnes vivantes dans les arbres publiés. C'est le réflexe RGPD le plus efficace en généalogie.
- Sauvegardez hors ligne. Une sauvegarde régulière, déconnectée du réseau, vous permet de repartir vite après un piratage ou un rançongiciel, sans perdre des années de travail collectif.
Ces gestes, combinés à une couverture cyber adaptée à votre volume d'adhérents, transforment un risque potentiellement existentiel pour l'association en un incident maîtrisé.
Questions fréquentes
Oui, totalement. Le RGPD s'applique à tout traitement de données personnelles, indépendamment du caractère lucratif ou non de l'organisme. Une association de généalogie qui gère un fichier d'adhérents et des arbres en ligne est responsable de traitement au même titre qu'une entreprise, avec les mêmes obligations de sécurité, d'information et de notification en cas de violation.
Pas sans précaution. Les informations sur les personnes vivantes restent des données personnelles protégées. La bonne pratique consiste à masquer automatiquement les données des vivants dans les publications et à permettre à toute personne d'exercer son droit d'opposition ou d'effacement. Publier sans filtre expose l'association à des plaintes et à une éventuelle sanction CNIL.
Sur le plan administratif, un avertissement, une mise en demeure, voire une amende de la CNIL si la négligence est caractérisée. Sur le plan civil, des recours d'adhérents ou de tiers pour atteinte à la vie privée. S'ajoutent les coûts de gestion de crise, d'expertise technique et de notification, qui constituent souvent l'essentiel de la facture et que la cyber-assurance prend en charge.
L'hébergeur est généralement sous-traitant au sens du RGPD : il a des obligations de sécurité, mais l'association reste le responsable de traitement vis-à-vis des personnes et de la CNIL. La répartition des responsabilités dépend du contrat. Dans la pratique, c'est l'association qui doit notifier et assumer la relation avec les adhérents, d'où l'intérêt d'une couverture propre.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Association de généalogie — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Association de généalogie →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.