RGPD et association loi 1901 : guide de conformité

L'association, en tant que personne morale, est le responsable de traitement. C'est elle qui décide pourquoi et comment les données sont utilisées. Selon la CNIL, ce rôle est « en général incarné par le représentant légal de la structure », c'est-à-dire le plus souvent le président.

Le président n'agit pas seul pour autant. Le bureau arbitre les choix (outils, durées, diffusion des coordonnées) et peut confier le suivi quotidien à un référent, bénévole ou salarié. Consignez cette répartition dans un compte rendu de réunion : elle documente l'organisation retenue en cas de contrôle.

Faut-il désigner un délégué à la protection des données ?

Rarement. L'article 37 du RGPD rend la désignation d'un DPO obligatoire pour les organismes publics, pour ceux dont les activités de base exigent un suivi régulier et systématique à grande échelle, et pour ceux qui traitent à grande échelle des données sensibles ou pénales.

Une association gestionnaire d'établissements sociaux ou médico-sociaux peut donc être concernée. Un club sportif ou une association culturelle l'est en principe rarement.

Le recensement est la première étape du RGPD dans une association. Listez les fichiers existants : chaque catégorie de personnes correspond à un traitement distinct, avec sa finalité, sa base légale et sa durée de conservation.

Pour les salariés, reportez-vous à notre guide RGPD et ressources humaines.

Le registre est-il obligatoire pour une association ?

En pratique, oui. L'article 30, paragraphe 5, du RGPD dispense de registre des traitements les organisations de moins de 250 employés, sauf si le traitement n'est pas occasionnel, présente un risque pour les personnes ou porte sur des données sensibles ou pénales. La gestion des adhérents est un traitement permanent : la dispense ne s'applique donc pas à ce fichier.

Une fiche par traitement suffit : finalité, catégories de personnes et de données, destinataires, durée de conservation, mesures de sécurité. Notre guide sur la durée de conservation des données aide à fixer les délais de chaque fichier.

Le traitement des données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, santé, vie ou orientation sexuelle, données génétiques ou biométriques) est interdit par principe. C'est l'un des points où le RGPD en association diffère le plus de celui d'une entreprise.

L'article 9, paragraphe 2, point d), du RGPD prévoit en effet une exception pour les fondations, associations et autres organismes à but non lucratif poursuivant une finalité politique, philosophique, religieuse ou syndicale. Trois conditions doivent être réunies :

• le traitement s'inscrit dans les activités légitimes de l'organisme, avec des garanties appropriées ;
• il concerne uniquement les membres, les anciens membres ou les personnes en contact régulier avec l'organisme en lien avec ses finalités ;
• les données ne sont pas communiquées à l'extérieur sans le consentement des personnes.

Les autres associations (sportives, culturelles, de loisirs) ne bénéficient pas de cette exception. Si elles recueillent une information de santé, par exemple une allergie avant une sortie ou un besoin d'aménagement lié à un handicap, elles doivent s'appuyer sur une autre exception de l'article 9, comme le consentement explicite de la personne, et réserver l'accès aux seules personnes qui en ont besoin.

Notre article sur les catégories particulières de données détaille chacune d'elles.

Oui, à deux conditions selon le guide de la CNIL. Les statuts de l'association doivent prévoir cette possibilité, et la communication doit avoir un lien direct avec l'activité de l'association. À défaut, les coordonnées d'un adhérent ne se transmettent pas aux autres membres.

Les données des donateurs servent à deux usages qu'il faut distinguer : la gestion des dons (encaissement, reçus fiscaux) et la sollicitation de nouveaux dons. C'est souvent le volet le plus négligé d'une démarche RGPD association, alors que les règles de conservation et de prospection n'y sont pas les mêmes.

Gestion des dons et reçus fiscaux

Les informations nécessaires à l'émission des reçus fiscaux et à leur justification se conservent pendant la durée imposée par le droit fiscal, en archivage séparé, accessible aux seules personnes habilitées. Ce délai ne se fixe pas librement : vérifiez-le auprès de votre expert-comptable ou de l'administration fiscale.

Solliciter les donateurs : quelles règles ?

Pour la prospection caritative, la CNIL admet le courrier, le téléphone et la voie électronique si les personnes ont été informées lors de la collecte et ont pu s'opposer simplement et gratuitement. Un message caritatif non commercial échappe ainsi au consentement préalable exigé pour les courriels publicitaires.

Échanger un fichier de donateurs avec une autre association est possible, selon la fiche de la CNIL sur la transmission de fichiers de donateurs, si les personnes en ont été informées dès la collecte et ont pu s'y opposer. L'association destinataire doit les informer au plus tard lors du premier contact, en indiquant la source des données.

Plateforme d'adhésion et de paiement, logiciel de gestion, outil d'emailing, hébergeur du site : chacun de ces prestataires traite des données pour le compte de l'association. Il est son sous-traitant au sens du RGPD.

L'article 28 du RGPD impose un contrat qui précise notamment l'objet et la durée du traitement, les instructions de l'association, la confidentialité, la sécurité et le sort des données en fin de contrat. Vérifiez que les conditions de l'outil contiennent ces clauses, souvent regroupées dans un accord de traitement des données (DPA).

Dernier volet du RGPD dans une association, la mise en conformité se résume en six étapes :

1. 1Désigner — Le bureau désigne un référent et consigne cette décision au compte rendu.
2. 2Recenser — Lister les fichiers des adhérents, bénévoles, donateurs et salariés dans le registre.
3. 3Trier — Supprimer les champs inutiles et les données conservées au-delà de la durée retenue.
4. 4Informer — Ajouter une mention d'information aux bulletins d'adhésion, formulaires de don et au site.
5. 5Encadrer — Vérifier les contrats des prestataires et les règles de diffusion de l'annuaire.
6. 6Sécuriser — Prévoir des accès individuels et limités, fermés au départ de chaque bénévole.

À retenir

• L'association est responsable de traitement, incarnée par son président.
• Le fichier des adhérents étant permanent, tenez un registre même avec moins de 250 salariés.
• Article 9 §2 d) : réservé aux organismes à finalité politique, philosophique, religieuse ou syndicale.
• Annuaire des membres : prévu par les statuts et lié à l'activité.
• Appels aux dons : information préalable et droit d'opposition.