Données sensibles d'une association et IA : que dit la CNIL ?

Si votre association accompagne des malades, accueille des personnes en difficulté, réunit des croyants, des militants ou des syndiqués, une partie de ses données est probablement « sensible » au sens du règlement général sur la protection des données (RGPD). Dans ce cas, la réponse est simple : ces données ne vont pas dans un outil d'IA grand public. Ce qui suit explique pourquoi, et ce que l'IA peut quand même faire pour vous.

Ce qu'est une donnée sensible

Le guide de la CNIL pour les associations liste les données sensibles : l'origine raciale ou ethnique supposée, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques et biométriques, les données de santé, la vie sexuelle et l'orientation sexuelle.

Leur utilisation est interdite par principe, sauf exceptions prévues à l'article 9.2 du RGPD. La CNIL en cite deux qui concernent directement les associations :

• le consentement explicite de la personne ;
• ou quatre conditions réunies : le fichier est tenu par une association ou un autre organisme à but non lucratif ; l'association poursuit un objectif politique, philosophique, religieux ou syndical ; le fichier ne concerne que les membres, anciens membres ou personnes en contact régulier avec elle pour ses finalités ; les données ne sont pas communiquées en dehors de l'association sans l'accord des personnes.

La CNIL donne un exemple concret : une association qui organise des sorties extra-scolaires peut recueillir des informations sur la santé des enfants, comme une allergie, après accord du représentant légal.

Pourquoi c'est un problème avec l'IA

Le mot important de la seconde exception, c'est « pas communiquées en dehors ». Coller une fiche d'adhérent, un compte rendu d'accompagnement social ou une liste de participants à un groupe de parole dans un service d'IA en ligne, c'est transmettre ces données à un prestataire extérieur.

La CNIL recommande, sur un service grand public, de ne jamais partager d'informations confidentielles comme des données personnelles. Elle signale aussi que certains fournisseurs peuvent réutiliser les données saisies, et que pour des données personnelles ou sensibles, un déploiement sur vos propres serveurs est plus sûr. Si l'outil est hébergé chez un prestataire, un contrat de sous-traitance doit préciser les responsabilités et les accès, et les transferts hors de l'Union européenne doivent être encadrés.

Enfin, la CNIL rappelle que l'organisme engage en général sa responsabilité quand son personnel utilise mal un outil. Dans une association, cela vaut pour les salariés comme pour les bénévoles qui utilisent l'IA de leur propre initiative.

Ce que l'IA peut faire sans toucher aux données sensibles

Les vérifications à faire

1. Inscrivez le fichier au registre des traitements, comme le demande la CNIL : objectif, catégories de données, personnes habilitées, durée de conservation, mesures de sécurité.
2. Limitez l'accès aux seules personnes qui en ont besoin. La CNIL donne l'exemple des informations de cotisation, qui n'ont pas à être visibles par tous les encadrants.
3. Fixez une durée de conservation. Pour les anciens adhérents, la CNIL indique trois ans après la fin de l'adhésion pour les relances.
4. Posez la question de l'analyse d'impact (AIPD) : la CNIL la juge nécessaire dans certains cas, notamment un grand nombre de données sensibles ou des données sensibles de personnes vulnérables.
5. Écrivez une règle simple pour l'IA : « aucune donnée d'adhérent ni de personne accompagnée dans un outil en ligne non validé par le bureau ».

Pour le fichier des adhérents en général, la page de Collabor IA sur le RGPD et le fichier des adhérents complète celle-ci. En cas de doute sur votre situation, la CNIL publie ses ressources sur cnil.fr ; une association du secteur social ou médico-social qui traite des données sensibles à grande échelle devra a priori désigner un délégué à la protection des données.