Listes des familles d'accueil : le fichier transfrontalier que vous sous-estimez
Vous échangez les listes des familles avec la ville jumelée. Ce fichier transfrontalier, parfois sur des mineurs, est sensible.
- Constituer la liste des familles d'accueil et des correspondants, avec coordonnées, composition du foyer et parfois données sur des mineurs, fait de votre association un responsable de traitement au sens du RGPD.
- Transmettre ce fichier à la ville ou au comité partenaire à l'étranger constitue une communication de données à un tiers, qui suppose une base légale, l'information des personnes et des précautions de sécurité.
- Une fuite ou un piratage de ce fichier — coordonnées de familles, données de mineurs hébergés — vous expose à une notification CNIL, à des réclamations et à des frais de gestion de crise hors de portée d'un budget associatif.
- Une assurance cyber prend en charge la gestion d'une violation de données et ses frais, là où la RC Pro et la multirisque s'arrêtent.
Le cœur du jumelage repose sur un fichier sensible
L'âme d'un jumelage, ce sont les rencontres entre habitants : familles qui s'accueillent mutuellement, correspondants scolaires, échanges de jeunes. Pour organiser ces rencontres, l'association tient des listes. Et ces listes contiennent bien plus qu'on ne le croit : noms, adresses, téléphones, adresses e-mail, composition du foyer, langues parlées, parfois habitudes alimentaires ou de santé pour adapter l'accueil, et — point crucial — souvent des informations sur des mineurs dans le cadre des échanges de jeunes.
Du point de vue de la loi, ces listes constituent un traitement de données à caractère personnel, et l'association qui les constitue est responsable de traitement au sens du Règlement Général sur la Protection des Données (RGPD). Le statut associatif et bénévole n'exonère d'aucune obligation : le RGPD s'applique dès qu'il y a traitement de données de personnes physiques, sans seuil de taille ni distinction de but lucratif.
Ce point est largement sous-estimé dans le milieu du jumelage. Beaucoup de comités voient leurs listes comme un outil pratique, un simple carnet d'adresses élargi. Or il s'agit d'un fichier de données personnelles, dont la collecte, la conservation et surtout la transmission sont encadrées par la loi. Et la spécificité du jumelage — la dimension transfrontalière — en fait un cas particulièrement délicat.
Transmettre la liste à la ville partenaire : une communication encadrée
C'est le geste le plus naturel du jumelage, et le plus risqué juridiquement : envoyer au comité ou à la ville partenaire la liste des familles françaises prêtes à accueillir, ou recevoir d'elle la liste de ses familles. Ce simple échange est, en droit, une communication de données personnelles à un tiers.
Cette communication suppose plusieurs conditions, trop souvent négligées dans l'enthousiasme de l'organisation :
- Une base légale. Transmettre les coordonnées d'une famille à un tiers nécessite un fondement : le plus souvent le consentement de la personne, qui doit savoir que ses données seront communiquées à un partenaire étranger.
- L'information des personnes. Chaque famille, chaque correspondant doit être informé que ses données seront partagées avec le comité partenaire, dans quel but et avec qui.
- Des précautions de sécurité. Envoyer un fichier de familles, a fortiori avec des données de mineurs, par un canal non sécurisé multiplie le risque de fuite.
Le consentement d'une famille à accueillir n'est pas un consentement à voir ses coordonnées transmises à l'étranger. Ce sont deux choses distinctes, et confondre les deux est l'angle mort le plus répandu du jumelage.
La présence de données de mineurs dans les échanges de jeunes élève encore le niveau d'exigence : les données des enfants bénéficient d'une protection renforcée, et leur traitement appelle une vigilance particulière sur le consentement des responsables légaux et la sécurité.
Le vrai danger : la fuite du fichier des familles
Au-delà de la conformité formelle, le risque le plus concret et le plus coûteux est la violation de données : votre fichier de familles d'accueil et de correspondants se retrouve exposé. Une boîte mail piratée, un ordinateur volé, un fichier partagé par erreur, un tableur stocké sans protection sur un service en ligne — les portes d'entrée sont nombreuses dans une structure bénévole où la sécurité informatique n'est la mission de personne.
Imaginez les conséquences. Les coordonnées de dizaines de familles, la composition de leurs foyers, parfois des informations sur leurs enfants, circulent hors de votre contrôle. L'association fait alors face à une cascade d'obligations et de risques :
| Après une violation | Ce que la situation impose |
|---|---|
| Notification à la CNIL | Dans les 72 h si risque pour les personnes (art. 33 RGPD) |
| Information des familles concernées | Si risque élevé pour leurs droits (art. 34 RGPD) |
| Gestion de crise | Sécurisation, analyse de la faille, communication |
| Réclamations | Familles inquiètes, atteinte à la confiance, à la réputation |
| Frais d'expertise | Intervention informatique, accompagnement juridique |
Pour un comité de jumelage dont le budget annuel est modeste, gérer seul un tel incident est hors de portée. Les frais d'expertise informatique, de notification, d'accompagnement juridique et de communication peuvent dépasser largement la trésorerie de l'association, et l'atteinte à la confiance des familles peut tarir le vivier d'accueil pour des années.
Se mettre en conformité sans être un expert
La bonne nouvelle : la conformité d'un comité de jumelage n'a rien d'insurmontable. Il s'agit d'appliquer quelques principes proportionnés à l'activité.
- Ne collectez que l'utile. Vous avez besoin des coordonnées et de la composition du foyer pour organiser l'accueil ; évitez de stocker des informations qui ne servent pas la rencontre.
- Informez et recueillez le consentement au partage. Dites clairement à chaque famille et correspondant que ses données seront transmises au comité partenaire à l'étranger, dans quel but, et obtenez son accord. Pour les mineurs, recueillez le consentement des responsables légaux.
- Sécurisez le fichier. Mot de passe, accès limité aux seuls responsables, fichier non laissé en clair sur un service en ligne ouvert. Privilégiez un canal sécurisé pour la transmission à la ville partenaire.
- Fixez une durée de conservation. Ne gardez pas indéfiniment les listes d'anciens échanges : définissez une durée et purgez.
- Sachez réagir en cas de fuite. Identifiez à l'avance qui contacter et quoi faire : les 72 heures de la CNIL passent vite.
Ces réflexes réduisent à la fois le risque de violation et l'exposition de l'association en cas de contrôle. Ils constituent la première ligne de protection ; l'assurance est la seconde.
Pourquoi la cyber est la couverture qui manque souvent
Une association de jumelage bien organisée dispose en général d'une RC et d'une multirisque pour ses locaux et son activité. Mais ces contrats ne sont pas conçus pour gérer une violation de données. Une fuite du fichier des familles n'est ni un dommage corporel, ni un dégât matériel : c'est un incident de sécurité informatique, avec ses obligations propres et ses frais spécifiques.
C'est précisément le terrain de l'assurance cyber. Adaptée à une structure associative qui manipule des données de familles et de mineurs, elle prend en charge :
- La gestion de crise après une violation : expertise informatique pour identifier et colmater la faille, sécurisation des données restantes.
- Les frais de notification à la CNIL et l'information des familles concernées, avec l'accompagnement juridique pour les formuler correctement.
- La défense et la réponse aux réclamations des personnes dont les données ont été exposées.
- L'accompagnement réputationnel, déterminant pour une association qui vit de la confiance des familles et du bouche-à-oreille local.
Pour un comité de jumelage, la couverture pertinente n'est donc pas « RC ou cyber » mais « RC et cyber » : l'une couvre les dommages de l'activité, l'autre l'incident de données. Manipuler et transmettre à l'étranger un fichier de familles et de jeunes sans couverture cyber, c'est laisser à découvert un risque devenu central. Pour visualiser comment ces protections s'articulent avec l'ensemble des risques de votre activité, consultez notre page assurance association de jumelage.
Questions fréquentes
Oui, sans exception liée à la taille ou au but non lucratif. Le RGPD s'applique dès qu'il y a traitement de données personnelles de personnes physiques. Constituer la liste des familles d'accueil et des correspondants, avec coordonnées et composition du foyer, fait de votre association un responsable de traitement, soumis aux obligations de la loi, y compris pour la transmission de ces données à l'étranger.
Seulement dans un cadre encadré. Transmettre des coordonnées à un comité partenaire étranger est une communication de données à un tiers, qui suppose une base légale (le plus souvent le consentement), l'information des personnes concernées et des précautions de sécurité. Chaque famille doit savoir que ses données seront partagées avec le partenaire, dans quel but. Pour les mineurs, le consentement des responsables légaux est requis.
Si la fuite présente un risque pour les personnes, vous devez notifier la violation à la CNIL dans les 72 heures (article 33 du RGPD) et, en cas de risque élevé, informer les familles concernées (article 34). Il faut aussi sécuriser le système, analyser la faille et gérer la communication. Une assurance cyber prend en charge ces démarches et leurs frais, souvent hors de portée d'un budget associatif.
Non, pas dans son périmètre classique. La multirisque couvre les locaux et l'activité, la RC couvre les dommages causés aux tiers, mais une violation de données est un incident de sécurité informatique distinct. Sa gestion — notification CNIL, expertise, défense, communication — relève de l'assurance cyber. Pour une association qui manipule un fichier de familles et de mineurs, cette couverture est complémentaire et souvent absente.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Association de jumelage — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Association de jumelage →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.