Une association loi 1901 qui tient un fichier d’adhérents, reçoit des dons ou organise des activités traite des données personnelles. Le RGPD s’applique à ces opérations même si personne n’est salarié. La conformité ne commence pas par l’achat d’un outil : il faut savoir pourquoi chaque donnée est utilisée, qui y accède, quand elle est effacée et comment une personne peut exercer ses droits. Ce guide suit la vie concrète d’une association. Notre page sur les obligations générales des associations donne le panorama juridique ; ici, nous passons des bulletins d’adhésion aux relances de donateurs, aux fichiers de bénévoles et aux incidents.
La CNIL met à disposition un guide consacré aux associations. Il rappelle que les fichiers papier et les tableurs comptent aussi. Une équipe bénévole peut commencer avec des documents simples, à condition qu’ils décrivent ses pratiques réelles et puissent être tenus à jour. Certaines associations traitent des données de santé, de convictions ou de mineurs : leurs mesures doivent être proportionnées aux risques, et une association de quartier ne se déclare pas automatiquement dispensée ni automatiquement soumise à toutes les formalités conçues pour une grande fédération.
Repérer les traitements avant de remplir un registre
Réunissez la personne chargée des adhésions, la trésorerie, les responsables d’activités et la communication. Pour chacun, demandez où se trouvent les données : formulaire en ligne, carnet papier, tableur, boîte mail, application de billetterie, service de dons ou téléphone personnel. Distinguez les adhérents, les anciens adhérents, les bénévoles, les donateurs, les bénéficiaires et les visiteurs du site. Une même personne peut appartenir à plusieurs catégories, mais les usages de ses données ne deviennent pas interchangeables.
Dans le registre des traitements, créez une fiche par finalité cohérente : adhésions et cotisations, comptabilité et reçus, activités, prospection caritative, bénévolat, photographie et site. Pour chaque fiche, indiquez les personnes, données, base légale, destinataires, durées et mesures de protection. L’exception de l’article 30(5) pour les organisations de moins de 250 personnes a des limites importantes : elle ne couvre pas une activité régulière telle qu’un fichier d’adhérents maintenu toute l’année. Le registre peut rester court si les traitements le sont; il n’existe pas de nombre magique de fiches.
Le registre n’autorise pas un traitement : il permet de voir les décisions à prendre. Si vous découvrez dans le tableur d’adhésion une colonne « pathologie » accessible à tous les entraîneurs, la priorité est de déterminer si cette donnée est nécessaire, sur quelle condition de l’article 9 elle repose et qui doit y accéder. Documentez ensuite le résultat dans le registre. Lorsque l’association envisage l’intérêt légitime, elle doit apprécier la nécessité et les droits des personnes; notre méthode de mise en balance détaille cette étape. La méthode de choix d’une base légale aide à éviter un « consentement » ajouté mécaniquement partout.
Adhésion, cotisations et personnes à informer
L’association peut traiter les informations nécessaires à la relation d’adhésion sur la base de l’article 6(1)(b) lorsque les conditions sont réunies. Les obligations comptables ou fiscales peuvent avoir une autre base. Un bulletin doit expliquer de manière claire le responsable, les finalités, les bases, les destinataires, les durées ou critères, les droits et le contact utile. L’information prévue par les articles 13 et 14 du RGPD ne se résume pas à une case « j’accepte le RGPD ». Le guide du droit à l’information détaille les mentions à adapter.
Ne collectez pas systématiquement date de naissance, profession ou adresse postale si votre activité n’en a pas besoin. Pour un club avec assurance ou catégories d’âge, certains champs peuvent être justifiés ; écrivez cette raison. Si une personne remplit un formulaire pour participer à une seule activité, ne l’ajoutez pas d’office à une liste de donateurs. À chaque nouveau projet, comparez le but annoncé à l’usage envisagé et informez les personnes lorsque le RGPD l’exige.
Données sensibles : une exception étroite
La seule qualité d’association ne transforme pas toutes les données en catégories particulières de l’article 9. L’appartenance à une association politique, religieuse ou syndicale peut révéler une conviction ou une affiliation protégée ; un club de lecture ordinaire n’entre pas automatiquement dans la même analyse. Un certificat médical ou une information de handicap est une donnée de santé même si l’activité de l’association semble banale. Identifiez la catégorie exacte, puis une base de l’article 6 et une condition applicable de l’article 9.
L’article 9(2)(d) prévoit une exception pour certains organismes à but non lucratif poursuivant une finalité politique, philosophique, religieuse ou syndicale. Elle concerne les membres, anciens membres et contacts réguliers, dans le cadre des activités légitimes, avec garanties appropriées; la communication à des tiers exige le consentement de la personne concernée. Ce n’est pas une exemption générale pour toute association, ni un mécanisme qui autorise automatiquement la publication d’une liste de membres. Le texte du RGPD et notre article sur les catégories particulières permettent de vérifier la condition.
Dans une association sportive, évitez de faire circuler les certificats ou informations de blessure dans un groupe de messagerie général. Limitez le document ou l’indication nécessaire à la personne qui organise l’activité, et fixez une durée adaptée. Pour une structure accompagnant des personnes vulnérables, une analyse de risques ou une AIPD peut être nécessaire selon les traitements; la mission sociale ne remplace pas cette évaluation.
Bénévoles, salariés et accès aux fichiers
Les bénévoles deviennent parfois les principaux utilisateurs de données. Attribuez des accès selon la tâche : la trésorerie voit les paiements, l’animateur les inscriptions, la communication seulement les images publiables. Évitez un compte collectif permanent que personne ne peut attribuer à un utilisateur. Préparez l’arrivée et le départ : compte individuel, rappel de confidentialité, suppression d’accès et récupération des fichiers. Un engagement écrit peut aider, mais doit accompagner des consignes comprises et des mesures techniques.
Une association avec salariés traite aussi leurs données RH, qui ne doivent pas être mélangées au fichier des adhérents. Les bénévoles et candidats ont des données propres : disponibilités, qualifications ou coordonnées de contact. Ne réutilisez pas la liste des personnes ayant proposé leur aide pour une campagne de dons sans examiner la nouvelle finalité. La CNIL rappelle dans son guide associatif cette séparation des usages.
Donateurs et prospection : distinguer caritatif et commercial
Le traitement des dons, reçus et obligations comptables est distinct des futures sollicitations. Pour la prospection associative, religieuse, politique ou caritative par courriel, la CNIL indique une information préalable et une possibilité d’opposition. La règle de consentement préalable propre à la prospection commerciale ne doit pas être plaquée sans analyse sur toute collecte de dons. Dans tous les cas, expliquez l’usage de l’adresse et offrez une opposition simple et gratuite, puis respectez-la dans les imports suivants.
La CNIL décrit les conditions de transmission de fichiers de donateurs. Entre associations caritatives, une transmission pour prospection caritative peut être possible si les personnes ont été informées dès la collecte de l’usage et du partage envisagés et ont pu s’y opposer préalablement, simplement et gratuitement. L’organisme destinataire devient responsable de son propre traitement et doit informer la personne, notamment de la source, au plus tard lors du premier contact. La prospection commerciale par le destinataire appelle des règles plus strictes, en particulier pour l’adresse électronique. Une liste de partenaires vague ou ajoutée après coup ne répare pas une information initiale insuffisante.
Conservez la preuve de l’information donnée à chaque collecte, la version du formulaire et les oppositions. Si un ancien fichier ne permet pas de reconstituer ces éléments, n’en déduisez pas que l’absence d’opposition vaut accord. Faites examiner le projet de transmission avant de communiquer les données. Le droit d’opposition reste utilisable après la collecte, et une liste repoussoir limitée peut empêcher de recontacter une personne qui s’y est opposée.
Photos, activités et mineurs
Demandez pourquoi une photo est prise et où elle sera publiée : compte rendu interne, affiche locale, site public ou réseau social. Une autorisation globale donnée à l’adhésion peut ne pas couvrir un usage nouveau et exposant davantage la personne. Pour les enfants, associez les titulaires de l’autorité parentale selon la situation et tenez compte de la parole du mineur. Le seuil français de 15 ans pour certains services de la société de l’information ne constitue pas une règle générale permettant à l’association de publier des photos d’un enfant de cet âge sans autre analyse.
Mettez un circuit simple à disposition : signaler qu’une personne ne souhaite pas être photographiée, transmettre cette information au photographe et à la communication, contrôler avant publication et traiter les demandes de retrait. Si une image a été copiée par des tiers, expliquez ce que l’association contrôle et les limites de son action. La CNIL propose des ressources pour les associations qui aident à présenter ces choix aux bénévoles.
Durées et suppression des copies
Une durée est attachée à une finalité et parfois à une obligation légale, pas au seul type « adhérent ». Après le départ, la liste active peut être mise à jour tandis que des justificatifs comptables restent archivés selon leur règle propre. Une durée indicative reprise dans un article ne dispense pas de vérifier les textes et recommandations applicables au dossier. La méthode de conservation permet de distinguer base active, archive intermédiaire et suppression.
Prévoyez aussi les exports vers les ordinateurs des bénévoles, la liste de diffusion, le service de paiement et les sauvegardes. La suppression d’une ligne dans le tableur principal n’efface pas une pièce jointe envoyée à dix personnes. Définissez qui décide d’effacer, qui exécute et comment l’opération est vérifiée. Une demande d’accès aux données demande aussi de retrouver les informations dans tous les outils. Si un droit à l’effacement est demandé, recherchez les données par finalité et expliquez les éventuelles exceptions légales; le droit à l’effacement n’efface pas automatiquement les pièces que la loi impose de conserver.
Sous-traitants, sécurité et incidents
La sécurité de l’article 32 se décline selon le risque. Pour chaque service de paiement, hébergement, stockage ou envoi, déterminez son rôle. Un prestataire traitant les données pour le compte de l’association doit offrir les garanties et l’accord de l’article 28 du RGPD. Un organisme qui détermine ses propres finalités peut être un responsable distinct : ne qualifiez pas toutes les plateformes du même mot sans lire leur service et leur contrat. Vérifiez accès, sous-traitants ultérieurs, export et effacement en fin de relation.
L’article 32 appelle des mesures adaptées : comptes individuels, authentification, sauvegardes, accès limités et sensibilisation. Un mauvais destinataire en courriel, un ordinateur perdu ou un service piraté exigent une réaction organisée. Notez les faits, les données et les personnes concernées, les mesures de protection et la décision sur la notification. Le délai de 72 heures de l’article 33 concerne la notification à la CNIL lorsqu’une violation présente un risque pour les droits et libertés; un risque élevé peut imposer l’information des personnes selon l’article 34. La procédure de violation approfondit l’analyse.
DPO et pilotage proportionné
La désignation d’un DPO dépend des cas de l’article 37, notamment de traitements de données particulières à grande échelle dans les activités principales ou d’un suivi régulier et systématique à grande échelle. Un petit club n’y entre pas automatiquement, tandis qu’une fédération ou une grande structure de santé peut nécessiter une analyse approfondie. Un DPO partagé peut être envisagé si chaque organisme peut effectivement le joindre. La fonction de DPO reste distincte de celle d’un simple référent bénévole.
FAQ
Une petite association est-elle concernée ?
Oui dès qu’elle effectue un traitement relevant du RGPD, par exemple une gestion structurée des adhérents. Le statut non lucratif n’est pas une exemption. Les mesures concrètes doivent toutefois être adaptées aux données et aux risques.
Faut-il un consentement pour toute adhésion ?
Non. Les données nécessaires à la relation d’adhésion peuvent relever de l’exécution de cette relation. Vérifiez séparément photos publiques, prospection, données sensibles et tout usage facultatif.
Peut-on partager un fichier de donateurs ?
La réponse dépend de la finalité, du caractère caritatif ou commercial de la sollicitation, de l’information initiale, de la possibilité d’opposition et de la base du destinataire. Les conditions publiées par la CNIL doivent être appliquées avant la transmission; le consentement n’est pas la seule configuration imaginable pour une prospection caritative.
La CNIL peut-elle sanctionner une association ?
Oui. Ses pouvoirs de contrôle et de correction s’appliquent aussi aux associations. La procédure simplifiée a un plafond légal spécifique, mais ce plafond ne représente ni une amende automatique ni une prévision du risque d’un organisme donné. Priorisez les obligations selon vos traitements réels et conservez les preuves des décisions.
Conclusion
Le premier livrable utile est une carte honnête des données, des personnes qui y accèdent et des usages annoncés. Elle rend possibles un registre bref, une information claire, des durées distinctes et une réponse aux demandes. Les dons, les photos et les données sensibles exigent ensuite leurs propres décisions; le seul mot « association » ne les tranche pas.