Le fichier de vos adhérents malades est une bombe RGPD : ce que dit vraiment la loi

Une association de malades vit par et pour ses adhérents. Mais ce qui fait sa raison d'être fait aussi son risque le plus lourd : le fichier des membres. Contrairement à un club sportif ou à une amicale de quartier, le simple fait qu'une personne adhère à une association dédiée à une pathologie révèle sa maladie. Adhérer à un collectif de patients atteints de sclérose en plaques, de cancer ou d'une maladie rare, c'est en soi une information médicale.

Le Règlement général sur la protection des données (RGPD) classe les données concernant la santé parmi les « catégories particulières » de l'article 9, celles dont le traitement est par principe interdit, sauf exceptions encadrées. Le consentement explicite de l'adhérent en fait partie, mais il ne dispense jamais de l'obligation de sécuriser ces données.

Or, dans votre fichier, vous ne stockez pas seulement un nom et une cotisation. Vous conservez souvent la pathologie, parfois le stade de la maladie, des témoignages écrits, des échanges de courriels intimes, des comptes rendus de groupes de parole. Chaque ligne est une information qui, divulguée, peut bouleverser la vie d'une personne : refus d'assurance emprunteur, discrimination à l'embauche, atteinte à la vie privée. C'est précisément ce caractère explosif qui place votre association sous une exigence de sécurité renforcée.

On imagine la fuite de données comme l'œuvre d'un pirate masqué. La réalité associative est plus banale, et plus fréquente :

• Le courriel groupé en clair : une convocation à l'assemblée générale envoyée à 300 adhérents avec toutes les adresses visibles en copie. Chaque destinataire découvre l'identité des autres malades. C'est une violation de données caractérisée.
• Le tableur partagé sans protection : un fichier Excel des membres hébergé sur un espace de partage gratuit, accessible par un simple lien transféré de main en main.
• Le bénévole qui part avec une copie : un ancien responsable conserve sur son ordinateur personnel la liste complète des adhérents et de leurs pathologies.
• Le rançongiciel : un courriel piégé, et tout le fichier est chiffré puis exfiltré, avec menace de publication si l'association ne paie pas.
• L'ordinateur volé ou perdu : le portable du trésorier, contenant la base non chiffrée, disparaît lors d'un déplacement.

Dans chacun de ces cas, des données de santé sortent du cercle autorisé. Et la plupart de ces scénarios ne supposent aucune malveillance : juste une négligence ordinaire, celle qui guette toute structure bénévole où la sécurité informatique n'est le métier de personne.

Le risque ne vient pas d'abord des hackers, mais du quotidien : un envoi mal paramétré, un mot de passe partagé, une sauvegarde oubliée sur une clé USB.

Quand une fuite survient, le RGPD impose un calendrier serré. L'association, en tant que responsable de traitement, doit notifier la violation à la CNIL dans les 72 heures dès qu'elle en a connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes — ce qui est rarement le cas avec des données de santé.

Pire : lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, vous devez aussi informer chaque adhérent concerné. Concrètement, vous devez écrire à vos membres pour leur annoncer que leur appartenance à l'association — donc leur maladie — a pu être exposée. C'est une épreuve réputationnelle majeure pour une structure fondée sur la confiance.

Au-delà de la notification, il faut documenter l'incident, en identifier l'origine, colmater la faille, conserver les preuves et préparer la défense en cas de plainte d'un adhérent ou de contrôle. Tout cela suppose des compétences juridiques et techniques qu'une association n'a presque jamais en interne. C'est exactement le rôle d'une assurance cyber : elle mobilise dans l'urgence des experts en gestion de crise, en informatique forensique et en droit des données, qui pilotent la réponse à votre place.

Beaucoup de dirigeants associatifs pensent que les sanctions du RGPD ne visent que les grandes entreprises. C'est une erreur. La CNIL contrôle aussi les associations, et elle est particulièrement attentive aux données de santé. Une association qui aurait laissé un fichier de patients accessible, sans mesures de sécurité élémentaires, s'expose à une mise en demeure, à une sanction publique, et dans les cas graves à une amende administrative.

Au-delà de la sanction administrative, il y a la responsabilité civile. Un adhérent dont la maladie a été divulguée peut réclamer réparation du préjudice subi : préjudice moral, mais aussi préjudice concret s'il démontre, par exemple, qu'une discrimination en a découlé. L'association, et parfois ses dirigeants, peuvent être recherchés.

Le bureau d'une association de malades porte donc une responsabilité lourde, souvent sous-estimée parce qu'il est bénévole et animé des meilleures intentions. Mais le RGPD ne s'intéresse pas à l'intention : il évalue les mesures de sécurité effectivement mises en place. Documenter sa conformité, sécuriser ses fichiers et adosser l'association à une couverture adaptée, c'est protéger l'association, ses dirigeants et, surtout, les personnes vulnérables qu'elle accompagne. La fiche métier association de malades détaille les garanties pertinentes pour votre structure.

Vous n'avez pas besoin de devenir expert en cybersécurité pour réduire drastiquement le risque. Quelques mesures, à la portée de toute association, font la différence :

• Le minimalisme des données : ne collectez que ce qui est strictement nécessaire à votre mission. Moins vous stockez de données médicales, moins la fuite est grave.
• Le chiffrement et les mots de passe robustes : un fichier d'adhérents doit être protégé par mot de passe, et idéalement chiffré. L'ordinateur du trésorier aussi.
• La copie cachée systématique : tout envoi groupé se fait en copie cachée (Cci), jamais en copie visible.
• La gestion des accès : seules les personnes qui en ont besoin accèdent au fichier complet, et l'accès est retiré quand un bénévole quitte ses fonctions.
• Les sauvegardes régulières : une sauvegarde isolée permet de redémarrer après un rançongiciel sans céder au chantage.

Ces réflexes réduisent la probabilité de l'incident. Mais le risque zéro n'existe pas : un courriel piégé ouvert par un bénévole peut suffire. C'est pourquoi la prévention doit être complétée par un filet de sécurité financier et opérationnel. Une assurance cyber transforme une catastrophe potentiellement mortelle pour l'association en un incident géré, encadré et absorbé. Pour une structure dont la matière première est la confiance de personnes malades, c'est un investissement de protection, pas une dépense de confort.