Le Règlement Général sur la Protection des Données (l’« AGV », également connu sous son abréviation anglaise « GDPR ») entrera en vigueur dans toute l’Union européenne le 25 mai 2018.
Le RGPD a un certain nombre de conséquences pour toute organisation qui traite des données personnelles. Les notions de « données personnelles » et de « traitement » sont définies de manière très large, de sorte qu’en fait presque toutes les entités seront tôt ou tard confrontées à ces nouvelles règles.
Les clubs sportifs, les fédérations sportives ou encore les organisateurs de compétitions entrent également dans le champ d’application du RGPD. Étant donné que les clubs et fédérations sportives traitent les données personnelles de nombreuses manières, par exemple par le biais des listes de membres ou de participants, ou via des bases de données pour les abonnements et la vente de billets, une attention particulière est requise. Cette attention est d’autant plus justifiée que les clubs et fédérations sportives travaillent souvent avec des -13 ans, ce qui entraîne des obligations supplémentaires.
Le RGPD s’appuie sur la législation existante en matière de protection de la vie privée, mais la modifie également considérablement. Une sélection des obligations les plus importantes du RGPD :
- Tout club ou fédération sportive qui fait traiter des données personnelles par d’autres sociétés (par exemple certains services informatiques, administration du personnel, certains sous-traitants) est tenu de conclure un accord écrit (dit accord de traitement) conforme au RGPD et qui précise les obligations de ce prestataire de services ou sous-traitant en matière de protection des données.
- Les exigences relatives au consentement valide d’un individu pour traiter ses données personnelles deviennent de plus en plus strictes ;
- Tout club ou fédération sportive qui traite des données personnelles doit tenir un registre interne de ses activités de traitement, disposer d’une politique de confidentialité appropriée et mettre en œuvre des mesures conformes aux principes de protection des données dès la conception (confidentialité dès la conception) et protection des données par défaut (confidentialité par défaut).
- Certains clubs ou fédérations sportives peuvent être amenés à soumettre un ‘Analyse d’impact sur la protection des données‘ pour exécuter (Analyse d’impact sur la protection des données – PIA);
- Certaines organisations peuvent également en exiger un délégué à la protection des données (Délégué à la protection des données) doivent nommer ;
- Dans certaines circonstances, les fuites de données personnelles doivent être signalées à l’autorité compétente (en Belgique, l’Autorité de protection des données) dans un délai de 72 heures.
- Les infractions peuvent être sanctionnées par des amendes (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires global) ;
Comme mentionné, le RGPD entre en vigueur 25 mai 2018. D’ici là, les organisations ont le temps de se conformer au RGPD.
Toutefois, la mise en œuvre de toutes ces obligations nécessite temps et ajustements nécessaires au sein du club sportif, de la fédération sportive ou de l’organisation de compétition.
Nous recommandons donc à tous les clubs sportifs, fédérations et organisateurs de s’attaquer au plus vite à ce problème. Une première étape consiste à analyser quelles données personnelles sont traitées au sein de votre club, fédération ou organisation et quelles obligations cela impliquera pour votre club ou fédération en vertu de la nouvelle législation.
Everest Sport peut guider votre entreprise dans l’élaboration d’une première analyse et dans la poursuite de la mise en œuvre des obligations.