CLUB DE TENNIS PROTÉGER LES COMPTES
ET LE FICHIER DES ADHÉRENTS

Commencez par une liste, proposée ici par la rédaction comme point de départ. Pour chaque outil, notez qui y a accès, avec quel compte, et à quelle adresse arrivent les messages de réinitialisation :

• la messagerie du club et les listes de diffusion ;
• le site et son espace d'administration ;
• le logiciel de réservation des courts ;
• le fichier des adhérents, qu'il soit en ligne ou sur un ordinateur ;
• la banque en ligne et l'outil d'encaissement des cotisations ;
• les réseaux sociaux et la fiche d'établissement sur Google, dont nous parlons dans notre article sur la visibilité d'un club sur Google et Maps.

Cette liste rejoint ce que la CNIL demande aux associations dans son guide de sensibilisation au RGPD : recenser les fichiers qui contiennent des données personnelles et savoir qui y a accès.

La CNIL décrit comme bonne pratique un identifiant propre pour chaque salarié et chaque bénévole, avec un mot de passe personnel et robuste. Elle ajoute que les comptes sont clos à la fin de la mission. Un compte partagé par tout le bureau, avec un mot de passe qui circule par message, va à l'encontre de ces deux règles.

Cybermalveillance.gouv.fr précise ce qu'est un mot de passe solide : au minimum 12 caractères mêlant minuscules, majuscules, chiffres et caractères spéciaux, différent pour chaque service. Le dispositif recommande un gestionnaire de mots de passe et, quand le service le permet, la double authentification. Il insiste sur la messagerie : c'est elle qui reçoit les liens de réinitialisation des autres comptes, et un pirate qui la contrôle pourrait prendre la main sur tous les autres.

Le guide de la CNIL prend un exemple qui parle à tout club sportif : les informations sur le paiement des cotisations ne doivent être accessibles qu'aux personnes chargées de leur suivi, pas à l'ensemble des adhérents, ni même à l'ensemble des personnes qui encadrent les entraînements. L'association définit des profils d'habilitation selon les tâches de chacun.

Cybermalveillance.gouv.fr appelle cela la règle du privilège minimum : chaque utilisateur n'a que les permissions dont il a besoin. Concrètement, l'enseignant consulte le planning des courts sans voir l'état des cotisations, et le responsable des équipes accède aux licenciés de son groupe, pas au fichier complet.

Les deux sources se rejoignent sur la sauvegarde. Cybermalveillance.gouv.fr rappelle qu'une sauvegarde régulière protège en cas de panne, de perte, de vol ou de piratage. La CNIL invite à vérifier que des procédures de sauvegarde et de récupération existent.

Garder ne veut pas dire tout conserver. Le guide de la CNIL indique qu'une association ne peut pas conserver sans limite les données de ses anciens adhérents et qu'elle doit les supprimer trois ans après la fin de leur adhésion. Le changement de saison est un bon moment pour faire ce tri.

Quand un trésorier ou un secrétaire quitte le bureau, cette liste, proposée par la rédaction, évite les oublis :

• fermer ses comptes personnels sur chaque outil, ou les transférer au successeur ;
• changer les mots de passe des comptes qui ne peuvent pas être individualisés ;
• vérifier que l'adresse et le téléphone de récupération appartiennent au club, pas à l'ancien membre ;
• récupérer les fichiers restés sur un ordinateur ou une clé personnels, puis les faire supprimer ;
• mettre à jour l'inventaire des accès et le transmettre au nouveau bureau.

Un coach indépendant qui conserve les coordonnées de ses élèves applique les mêmes principes à son échelle ; nous l'évoquons dans notre article sur l'organisation d'un coach indépendant.

Ces règles couvrent l'essentiel pour une association. Pour suivre plus largement les sujets d'infrastructure, de sécurité et d'outils qui relèvent de l'informatique d'entreprise, le site de veille Delta Technologies publie des analyses destinées aux professionnels.

• Lister chaque outil, ses utilisateurs et son adresse de récupération.
• Un identifiant et un mot de passe robuste par personne, 12 caractères au minimum.
• Double authentification partout où elle existe, en priorité sur la messagerie.
• Des droits limités à ce dont chacun a besoin.
• Des sauvegardes régulières, et la suppression des données des anciens adhérents après trois ans.
• Une passation écrite à chaque changement de bureau.