Le RGPD pour les associations : le guide pratique

L'essentiel en 30 secondes

• Toute association qui collecte, stocke ou utilise des données personnelles (adhérents, donateurs, bénévoles, usagers, inscrits à la newsletter) est responsable de traitement et doit respecter le RGPD, même petite et même sans salarié.
• Les obligations clés : tenir un registre des activités de traitement, choisir une base légale pour chaque finalité, ne collecter que le nécessaire, informer les personnes, respecter leurs droits, fixer des durées de conservation et sécuriser les données.
• Les règles de prospection varient selon le message : un appel aux dons peut reposer sur l'intérêt légitime (avec information et droit d'opposition simple et gratuit), alors qu'une prospection commerciale par e-mail auprès de particuliers requiert en principe le consentement préalable. Le statut associatif ne suffit pas à écarter ces règles.
• Un délégué à la protection des données (DPO) n'est obligatoire que dans des cas précis (pas selon la seule taille) ; désigner un référent interne reste recommandé.
• En cas de violation de données susceptible d'engendrer un risque, notifiez la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance.

Votre association est concernée, même petite

La CNIL est claire : dès qu'une association collecte, stocke ou utilise des données personnelles pour ses propres besoins, elle est responsable de traitement et doit respecter le RGPD, applicable depuis le 25 mai 2018. Peu importe sa taille ou l'absence de salariés.

Si votre association traite des données pour le compte d'un autre organisme, elle agit alors comme sous-traitante et doit respecter les obligations propres à ce rôle.

Concrètement, sont concernés tous vos fichiers : liste des adhérents, registre des donateurs, coordonnées des bénévoles, inscrits à la lettre d'information, usagers de vos activités, et même les éventuels salariés.

Le registre des activités de traitement

C'est le document central de votre mise en conformité, et il est obligatoire. La CNIL précise qu'il concerne tous les organismes, publics comme privés, quelle que soit leur taille. La dérogation prévue pour les structures de moins de 250 salariés est limitée aux traitements occasionnels, non susceptibles de présenter un risque pour les personnes et ne portant pas sur des données sensibles ou pénales ; en cas de doute, inscrivez le traitement au registre.

Le principe : vous créez une fiche par finalité (gestion des adhérents, gestion des dons, communication, etc.). Chaque fiche décrit notamment :

• les coordonnées de l'organisme et, le cas échéant, de son représentant et du délégué à la protection des données (DPO) lorsqu'il est désigné ;
• les finalités (à quoi sert le fichier) ;
• les catégories de personnes concernées et les catégories de données collectées ;
• les destinataires des données, y compris les sous-traitants ;
• les éventuels transferts de données hors UE ;
• les durées de conservation prévues ;
• les grandes lignes des mesures de sécurité.

La CNIL met à disposition un modèle de registre simplifié, pensé notamment pour les petites structures comme les associations. Le registre peut être tenu sur papier ou au format électronique, et doit être mis à jour à chaque évolution de vos traitements.

Base légale, minimisation et durées

Choisir une base légale. Chaque traitement doit reposer sur l'une des bases prévues par le RGPD. Pour une association, les plus courantes sont :

1. le consentement de la personne (requis en principe pour la prospection commerciale par e-mail auprès des particuliers, sauf exceptions) ;
2. le contrat (ou les mesures précontractuelles), par exemple la gestion de l'adhésion ;
3. l'obligation légale (par exemple certaines obligations liées aux salariés) ;
4. l'intérêt légitime de l'association, sous réserve de respecter les droits des personnes.

Deux autres bases existent (mission d'intérêt public, sauvegarde des intérêts vitaux) mais sont rares dans le quotidien associatif. Raisonnez par finalité, pas par fichier : un même fichier peut servir plusieurs objectifs reposant sur des bases différentes. Pour une même finalité, retenez la base la plus appropriée, sans en cumuler plusieurs artificiellement.

Minimiser. Ne collectez que les données réellement nécessaires à votre objectif. Une case « profession » ou « date de naissance » ne se justifie que si elle sert vraiment à l'activité.

Limiter la durée. Les données ne doivent pas être conservées indéfiniment. Fixez une durée par finalité et appliquez-la. Par exemple, les données d'anciens membres sont supprimées à l'issue d'une durée déterminée et justifiée après la fin de l'adhésion. Un archivage intermédiaire n'est pas un moyen de tout conserver indéfiniment : il doit être nécessaire et justifié (obligation légale, contentieux…), avec une durée définie et des accès restreints.

Informer les personnes et recueillir le consentement

Au moment où vous collectez des données (bulletin d'adhésion papier, formulaire en ligne, inscription à un événement), vous devez informer clairement les personnes : l'identité et les coordonnées de l'association (responsable de traitement), les finalités et la base légale, les destinataires, la durée de conservation, leurs droits et la façon de les exercer, ainsi que le droit d'introduire une réclamation auprès de la CNIL. En cas de collecte indirecte (données non recueillies auprès de la personne elle-même), les modalités et délais d'information diffèrent.

Les règles de prospection dépendent du type de message :

• Communication sur la vie associative (informer vos membres de la vie de l'association) : le consentement n'est pas systématiquement nécessaire ; la base légale dépend du contenu, de l'objectif et de la relation avec la personne.
• Prospection caritative (notamment les appels aux dons) : elle peut reposer sur l'intérêt légitime, à condition d'en respecter les conditions, d'informer les personnes et de permettre une opposition simple et gratuite dès la collecte puis à chaque sollicitation.
• Prospection commerciale par e-mail auprès de particuliers : le consentement préalable est en principe requis (case à cocher non pré-cochée), sauf exceptions prévues par les textes. Le statut associatif de l'expéditeur ne suffit pas à écarter ces règles.

Pour les messages de prospection, prévoyez toujours un moyen simple et gratuit de se désinscrire ou de s'opposer.

Droits des personnes, sécurité et sous-traitants

Les droits. Toute personne fichée peut demander l'accès à ses données, leur rectification, leur effacement, s'opposer à certains traitements (notamment la prospection) et, lorsque le traitement repose sur le consentement, le retirer à tout moment. L'effacement et l'opposition ne s'appliquent toutefois pas sans condition à tous les traitements. Répondez dans le délai d'un mois ; ce délai peut être prolongé de deux mois si la demande est complexe ou nombreuse, à condition d'en informer la personne dans le premier mois. Organisez-vous : désignez un contact, sachez retrouver les données d'une personne, tracez les demandes.

La sécurité. Adaptez les mesures aux risques : mots de passe robustes, accès limités aux seules personnes qui en ont besoin, verrouillage des locaux et des fichiers, sauvegardes, prudence sur les clés USB et les envois groupés (utilisez la copie cachée pour les e-mails collectifs).

Les prestataires. Un prestataire qui reçoit des données n'est pas automatiquement sous-traitant : il faut qualifier son rôle (sous-traitant, responsable autonome, ou responsable conjoint). Le contrat de l'article 28 concerne le prestataire qui traite les données pour le compte de l'association et sur ses instructions (hébergeur, outil de gestion d'adhérents, e-mailing…) : il encadre ses obligations (sécurité, confidentialité, suppression en fin de contrat). Vérifiez aussi où sont hébergées les données.

Le DPO. La désignation d'un délégué à la protection des données ne dépend pas de la seule taille. Elle est obligatoire pour : les autorités et organismes publics ; les organismes dont les activités de base impliquent un suivi régulier et systématique à grande échelle des personnes ; ou le traitement à grande échelle de données sensibles ou pénales (par exemple certaines associations médico-sociales). Hors ces cas, la désignation est facultative, mais désigner un référent interne — à distinguer d'un DPO formellement désigné — reste recommandé.

L'analyse d'impact (AIPD). Avant un traitement susceptible d'engendrer un risque élevé pour les personnes (par exemple un traitement à grande échelle de données sensibles, ou un suivi systématique), vérifiez si une analyse d'impact relative à la protection des données (AIPD) est nécessaire, et réalisez-la avant de démarrer le traitement. La CNIL publie la liste des cas concernés et met à disposition un outil pour la mener.

Données sensibles et violations de données

Les données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données de santé, vie ou orientation sexuelle, données génétiques ou données biométriques utilisées pour identifier une personne de manière unique) sont par principe interdites de traitement. Un traitement n'est possible que s'il repose à la fois sur une base légale (article 6) et sur une exception applicable de l'article 9 (par exemple le consentement explicite). L'exception propre à certaines associations ne vaut que pour des finalités politiques, philosophiques, religieuses ou syndicales, dans des conditions strictes — elle n'autorise pas librement ces traitements. Dans tous les cas, précautions renforcées.

En cas de violation de données (vol d'ordinateur, piratage, fichier d'adhérents envoyé par erreur, etc.) : lorsqu'elle est susceptible d'engendrer un risque pour les personnes, vous devez la notifier à la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. Passé ce délai, notifiez malgré tout, en expliquant le retard. Si le risque est élevé, informez aussi les personnes concernées. Si votre association agit comme sous-traitante, elle doit d'abord alerter le responsable de traitement dans les meilleurs délais. Même sans notification, consignez toute violation dans un registre interne.

Un accompagnement par un DPO externe ou un logiciel de conformité peut vous aider à structurer tout cela. Pensez aussi à choisir des outils respectueux du RGPD : voir notre guide Logiciel de gestion d'association.

Checklist RGPD de l'association

• ☐ Recenser tous vos fichiers de données personnelles
• ☐ Tenir à jour un registre des activités de traitement (modèle CNIL)
• ☐ Attribuer une base légale à chaque finalité
• ☐ Ne collecter que les données nécessaires (minimisation)
• ☐ Fixer et appliquer une durée de conservation par finalité
• ☐ Informer les personnes au moment de la collecte (dont base légale, destinataires, droit de réclamation CNIL)
• ☐ Choisir la base adaptée à chaque message (vie associative / appel aux dons = intérêt légitime possible / prospection commerciale par e-mail auprès des particuliers = consentement en principe, sous réserve des exceptions) et permettre une opposition simple et gratuite
• ☐ Prévoir une procédure pour les demandes d'accès, rectification, effacement, opposition et retrait du consentement (réponse sous 1 mois, prolongeable de 2 mois)
• ☐ Mettre en place des mesures de sécurité adaptées
• ☐ Qualifier le rôle de chaque prestataire et encadrer par un contrat art. 28 ceux qui traitent des données pour votre compte
• ☐ Vérifier si une analyse d'impact (AIPD) est nécessaire avant tout traitement à risque élevé
• ☐ Savoir réagir à une violation (notification CNIL dans les meilleurs délais, si possible sous 72 h)