RGPD association : le guide pratique

Le RGPD s'applique à votre association

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement (un nom) ou indirectement (un numéro d'adhérent, une adresse électronique, une photo). Tout maniement de ces données, y compris une simple consultation, est un traitement. Le guide de sensibilisation au RGPD pour les associations de la CNIL cite en exemple le formulaire d'adhésion, le tableur qui regroupe les actions menées pour aider des usagers ou la base de données des usagers, et rappelle que les fichiers papier sont concernés dans les mêmes conditions.

Depuis le 25 mai 2018, les associations n'ont plus à déclarer leurs fichiers à la CNIL, sauf exceptions dans le domaine de la santé. En contrepartie, elles doivent pouvoir démontrer à tout moment qu'elles respectent les règles : recenser leurs traitements dans un registre, encadrer leurs sous-traitants, sécuriser les données, organiser la réponse aux demandes des personnes, signaler les violations et, pour certains fichiers à risque, mener une analyse d'impact.

Qui est responsable de traitement ?

Le responsable de traitement est l'organisme qui décide pourquoi et comment les données sont utilisées : ici, l'association. Le guide de la CNIL précise qu'il est en général incarné par son représentant légal, par exemple la présidence ou la direction générale. C'est l'association qui doit s'assurer que ses fichiers respectent les règles, y compris lorsqu'elle confie leur gestion à un logiciel ou à un prestataire.

Une finalité et une base légale par fichier

Chaque fichier poursuit un objectif, sa finalité, fixé avant la collecte : la gestion administrative des adhérents, celle des donateurs, l'accompagnement et le suivi social de personnes en difficulté. Les données ne peuvent pas servir ensuite à autre chose : le guide de la CNIL interdit par exemple de réutiliser le fichier des candidatures à un poste de bénévole pour solliciter les candidats.

Le traitement doit en outre reposer sur l'une des six bases légales de l'article 6 du RGPD. Celles qu'une association retient le plus souvent, selon le guide de la CNIL :

• l'exécution du contrat : l'adhésion est un contrat entre l'association et son membre ; les prestations prévues et leur gestion administrative en relèvent ;
• l'obligation légale : un texte impose le traitement, par exemple la déclaration sociale nominative des salariés ;
• l'intérêt légitime de l'association, par exemple la prospection par voie postale auprès de ses membres ;
• le consentement, libre, spécifique, éclairé et univoque, par exemple pour la prospection par voie électronique de personnes qui ne sont pas membres. L'article 7 précise qu'il se retire à tout moment, aussi simplement qu'il a été donné ;
• plus rarement, la mission d'intérêt public, réservée aux associations chargées d'une telle mission ou dotées de prérogatives de puissance publique.

Dernier principe : la minimisation. Ne collectez que les données qui ont un lien direct avec la finalité et lui sont nécessaires. La situation matrimoniale n'a pas sa place dans une inscription à une activité sportive, ni le numéro de sécurité sociale dans une inscription à une activité de loisirs.

Le registre des activités de traitement

L'article 30 du RGPD impose au responsable de traitement de tenir un registre de ses activités de traitement. Le guide de la CNIL conseille d'y créer une fiche par finalité (gestion des adhérents, des dons, des bénévoles, de la paie, de l'accompagnement) qui indique :

• le nom et les coordonnées du responsable de traitement et, s'il existe, du délégué à la protection des données ;
• la ou les finalités du fichier ;
• les catégories de personnes concernées et de données ;
• qui y a accès en interne et à qui les données sont communiquées (une fédération, les services des impôts) ;
• les durées de conservation, en base active et en archive ;
• les mesures de sécurité ;
• les éventuels transferts hors de l'Union européenne.

La nuance des petites structures

L'article 30, paragraphe 5, prévoit que ces obligations ne s'appliquent pas à une organisation comptant moins de 250 employés, sauf si le traitement « est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10 ».

La gestion des adhérents ou le suivi des personnes accompagnées revient chaque jour : elle n'a rien d'occasionnel. La page de la CNIL consacrée au registre le dit : la dérogation est limitée à des cas très particuliers de traitements, et dans le doute la CNIL recommande d'inscrire le traitement au registre. Elle propose un modèle de registre simplifié au format tableur. Le registre est mis à la disposition de la CNIL sur demande (article 30, paragraphe 4) : tenez-le à jour et datez chaque fiche.

Informer les personnes

Les articles 13 et 14 du RGPD listent ce que la personne doit savoir. Le guide de la CNIL le résume ainsi : l'identité et les coordonnées de l'association, l'objectif du fichier, sa base légale, le caractère obligatoire ou non des réponses et les conséquences d'un refus, les destinataires, la durée de conservation, les droits de la personne, l'éventuel transfert hors de l'Union européenne, le moyen de joindre le délégué ou le référent « protection des données » et le droit de saisir la CNIL.

• Données recueillies auprès de la personne (bulletin d'adhésion, entretien d'accueil) : l'information se donne au moment de la collecte (article 13).
• Données reçues d'un tiers (une fiche de prescription transmise par un partenaire, par exemple) : dans un délai raisonnable ne dépassant pas un mois, et au plus tard lors du premier contact avec la personne ou de la première communication à un autre destinataire (article 14, paragraphe 3).

L'information est gratuite (article 12, paragraphe 5), concise et adaptée au public. Pour éviter un formulaire illisible, le guide admet une mention courte en bas du bulletin (identité de l'association, objectif, droits) qui renvoie à une information complète sur votre site, et recommande d'y ajouter une explication orale. Avec des personnes accompagnées, cette explication orale lors du premier entretien compte souvent plus que le texte. La CNIL publie des exemples de mentions d'information.

Les droits et les délais de réponse

Toute personne dont l'association traite les données peut, selon les articles 15 à 22 du RGPD :

• accéder à ses données et en obtenir une copie (article 15) ;
• faire rectifier des données inexactes ou incomplètes (article 16) ;
• obtenir leur effacement, par exemple quand elles ne sont plus nécessaires ou qu'elle retire le consentement sur lequel reposait le traitement (article 17). L'effacement cède devant une obligation légale de conservation (article 17, paragraphe 3) : c'est le cas des pièces comptables d'une cotisation ou d'un don ;
• demander la limitation du traitement, le temps par exemple de vérifier une donnée qu'elle conteste (article 18) ;
• récupérer ses données (portabilité), lorsque le traitement est automatisé et repose sur son consentement ou sur un contrat (article 20) ;
• s'opposer au traitement pour des raisons tenant à sa situation particulière lorsqu'il repose sur l'intérêt légitime ou une mission d'intérêt public, et à tout moment, sans avoir à se justifier, à la prospection (article 21).

L'article 12, paragraphe 3, fixe le délai : la réponse est apportée dans les meilleurs délais et au plus tard un mois après la réception de la demande. Le délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'informer la personne de cette prolongation et de ses motifs dans le premier mois. Le guide de la CNIL conseille un point d'entrée identifié (formulaire, adresse dédiée) et une procédure interne pour qu'aucune demande ne se perde dans une boîte partagée.

Les durées de conservation

Les données ne se gardent que le temps nécessaire à la finalité. Le guide de la CNIL distingue deux temps : la base active, pour la gestion courante, puis l'archivage intermédiaire, pour les données qui ne servent plus au quotidien mais présentent encore un intérêt administratif (un contentieux possible) ou doivent être gardées en vertu d'une obligation légale. En archivage intermédiaire, seules des personnes spécialement habilitées y accèdent, ponctuellement. Au terme, les données sont supprimées, ou anonymisées de façon que la personne ne soit plus du tout identifiable.

Quelques repères publiés par la CNIL :

• Anciens adhérents : le guide pour les associations recommande de supprimer leurs données trois ans après la fin de l'adhésion. Le détail est dans notre guide de la gestion des adhérents d'une association.
• Personnes accompagnées : le référentiel des durées de conservation dans le secteur social et médico-social (version 1.0 du 14 septembre 2023) retient, pour les données de l'accueil, de l'hébergement et de l'accompagnement social et médico-social des personnes en difficulté, deux ans à compter du dernier contact avec la personne suivie, sauf texte contraire. Sa fiche pratique précise qu'il s'agit d'une durée recommandée, sans caractère obligatoire : vous pouvez vous en écarter en justifiant votre choix.
• Durées imposées par un texte : le même référentiel cite les dossiers des personnes accueillies en centre d'hébergement et de réinsertion sociale (CHRS), conservés deux années civiles après la sortie (article R. 314-157 du code de l'action sociale et des familles), et le contrat à durée déterminée conclu avec un atelier chantier d'insertion, gardé le temps de la relation de travail puis en archive, en cas de contentieux, pendant la prescription de cinq ans.
• Salariés : le guide pour les associations rappelle que les bulletins de paie se conservent cinq ans.

La fiche pratique recommande de repérer régulièrement les dossiers arrivés à échéance et, si possible, de prévoir une purge automatique dans le logiciel. Les durées propres à la comptabilité sont dans notre guide de la comptabilité d'une association loi 1901.

La sécurité des données

L'article 32 du RGPD demande des mesures adaptées au risque, parmi lesquelles le chiffrement, la confidentialité et la disponibilité des systèmes, la capacité à rétablir l'accès aux données après un incident et des tests réguliers de l'efficacité des mesures. Pour une association, le guide de la CNIL les traduit en gestes simples :

• un identifiant propre et un mot de passe personnel pour chaque salarié et chaque bénévole, jamais de compte partagé ;
• des profils d'habilitation : chacun n'accède qu'aux données dont sa mission a besoin. Le guide cite les paiements des cotisations, visibles du seul personnel administratif qui les suit ;
• des comptes fermés au départ de la personne ;
• un accès chiffré (https) au logiciel et au site, des postes verrouillés automatiquement et à jour, des armoires fermées à clé pour le papier ;
• des sauvegardes régulières et une procédure de récupération des données en cas d'incident.

Sur les mots de passe, la recommandation de la CNIL issue de sa délibération du 21 juillet 2022 donne des exemples de force suffisante pour un mot de passe utilisé seul : 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, 14 caractères sans caractère spécial, ou une phrase de passe d'au moins sept mots. Les mots de passe ne doivent jamais être stockés en clair. Le renouvellement périodique n'est plus recommandé pour les comptes ordinaires, seulement pour les comptes d'administration, et la double authentification offre davantage de sécurité qu'un mot de passe seul. Pour aller plus loin, la CNIL publie un guide de la sécurité des données personnelles.

Les sous-traitants et le contrat de l'article 28

Un sous-traitant traite des données pour le compte de l'association : l'hébergeur, l'éditeur du logiciel de gestion, le prestataire de paie, l'outil d'envoi des courriels. L'article 28 impose de ne faire appel qu'à des sous-traitants qui présentent des garanties suffisantes, et d'encadrer la relation par un contrat écrit, y compris sous forme électronique. Ce contrat oblige notamment le sous-traitant à :

• n'agir que sur instruction documentée de l'association ;
• garantir la confidentialité des personnes qui traitent les données ;
• prendre les mesures de sécurité de l'article 32 ;
• ne recourir à un autre sous-traitant qu'aux conditions prévues ;
• aider l'association à répondre aux demandes d'exercice des droits et à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact ;
• supprimer ou renvoyer les données au terme de la prestation ;
• mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits.

Demandez à chaque prestataire où sont traitées les données : un transfert hors de l'Union européenne doit figurer au registre et dans l'information des personnes, avec la garantie juridique qui l'encadre.

Données sensibles, personnes accompagnées et AIPD

Les données sensibles de l'article 9

L'article 9, paragraphe 1, interdit en principe de traiter les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que les données génétiques, biométriques, concernant la santé ou la vie et l'orientation sexuelles. Le paragraphe 2 prévoit des exceptions limitatives, dont le guide de la CNIL retient deux pour les associations :

• le consentement explicite de la personne : une association qui organise des sorties pour des enfants peut recueillir leurs allergies avec l'accord du représentant légal ;
• le fichier d'une association à but politique, philosophique, religieux ou syndical, limité à ses membres, anciens membres et contacts réguliers, et non communiqué à l'extérieur sans leur accord.

Les données relatives aux condamnations pénales et aux infractions relèvent de l'article 10 : le guide de la CNIL précise qu'une association ne peut pas collecter l'extrait de casier judiciaire de ses salariés ou bénévoles, et que le consentement de la personne ne lève pas cette interdiction.

Le cas des personnes accompagnées

Dans une association d'insertion, d'accueil ou d'action sociale, le dossier d'une personne réunit souvent des informations sur sa santé, un handicap, ses ressources, son logement ou sa situation familiale. La situation sociale ne figure pas en tant que telle dans la liste de l'article 9, mais la liste de la CNIL citée plus bas retient, pour l'accompagnement social, la collecte de données sensibles et le critère des personnes dites « vulnérables », ce qui alourdit le niveau de protection attendu. Deux règles pratiques : écrivez dans les comptes rendus d'entretien ce qui sert l'accompagnement, et seulement cela ; réservez l'accès au dossier aux professionnels qui suivent la personne. Pour un financeur, le guide de la CNIL note qu'un dossier anonymisé suffit en principe (voir notre guide du dossier de subvention d'une association).

Quand une analyse d'impact (AIPD) est-elle requise ?

L'article 35 impose une analyse d'impact relative à la protection des données, avant le traitement, lorsqu'il est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, en particulier pour le traitement à grande échelle de données sensibles. Il charge l'autorité de contrôle de publier la liste des traitements qui l'exigent. La liste de la CNIL vise les « traitements ayant pour finalité l'accompagnement social ou médico-social des personnes » et cite en exemple le « traitement mis en œuvre par un établissement ou une association dans le cadre de la prise en charge de personnes en insertion ou réinsertion sociale et professionnelle ». Une association d'insertion qui tient des dossiers individuels est donc en principe concernée. Pour une structure d'insertion par l'activité économique, ce que le code du travail attend du dossier de chaque salarié en insertion est détaillé dans notre guide du suivi des parcours d'insertion en IAE.

Le guide de la CNIL décrit l'AIPD en trois parties : une description détaillée du traitement ; l'évaluation juridique de ses caractéristiques (objectifs, données, durées, information et droits des personnes) ; l'étude des risques sur la sécurité des données et des mesures qui les réduisent. La page « Analyse d'impact » de la CNIL renvoie à sa méthode et à ses outils.

Le délégué à la protection des données

L'article 37 rend la désignation d'un délégué à la protection des données (DPD, ou DPO) obligatoire dans trois cas :

• le traitement est effectué par une autorité publique ou un organisme public ;
• les activités de base exigent un suivi régulier et systématique à grande échelle des personnes ;
• les activités de base consistent en un traitement à grande échelle de données sensibles ou de données relatives aux condamnations et infractions.

La plupart des associations ne sont dans aucun de ces cas. Le guide de la CNIL fait toutefois une exception explicite : une association du secteur social et médico-social « devra à priori désigner un DPO dans la mesure où elle traite des données sensibles à grande échelle ». Le délégué peut être interne, externe ou mutualisé entre plusieurs structures, et la CNIL permet de désigner une personne physique ou morale, en ligne. Même sans obligation, le guide recommande de confier à une personne la mission de veiller au respect des règles.

Les violations de données

Une violation de données est la destruction, la perte, l'altération ou la divulgation, accidentelle ou illicite, de données personnelles : un courriel envoyé aux mauvais destinataires, un ordinateur perdu ou volé, une liste publiée par erreur.

• Documenter toujours : l'article 33, paragraphe 5, impose de consigner toute violation, ses effets et les mesures prises, même sans notification.
• Notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes (article 33, paragraphe 1). La notification se fait en ligne sur le site de la CNIL.
• Informer les personnes dans les meilleurs délais si le risque est élevé (article 34).

Pour apprécier le risque, le guide de la CNIL retient notamment le type de violation, la nature, la sensibilité et le volume des données, la facilité d'identifier les personnes, la gravité des conséquences, le nombre de personnes et leurs caractéristiques (mineurs, personnes vulnérables). Votre sous-traitant, lui, doit vous notifier toute violation dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2) : vérifiez le délai écrit dans son contrat.

Infolettre, relances et prospection

Le guide de la CNIL répond aux questions que se posent les associations :

• Informer ses membres par courriel, courrier ou SMS (événements, infolettre) est possible s'ils en ont été informés à la collecte et peuvent s'y opposer, simplement et gratuitement, à chaque envoi : un lien de désinscription en bas de chaque message.
• Relancer les adhésions chaque année est admis pendant trois ans après la fin de l'adhésion, avec la même possibilité d'opposition. Passé ce délai, l'association demande à la personne si elle souhaite continuer à être sollicitée ; sans réponse, elle cesse et supprime ou archive les données.
• Échanger son fichier avec une autre association à des fins de prospection caritative suppose que les adhérents aient été informés, à la collecte, de cet usage et de la transmission possible à des partenaires, et aient pu s'y opposer d'avance, par exemple par une case à cocher.
• La prospection commerciale par voie électronique exige l'accord explicite des personnes, donné au moment de la collecte de leur adresse, pour être démarchées comme pour la transmission à un partenaire. La CNIL détaille ces règles sur sa page consacrée à la prospection commerciale par courrier électronique.
• Sur votre site, les outils tiers (statistiques, boutons sociaux, vidéos intégrées) supposent en principe le consentement des visiteurs avant le dépôt de traceurs.

Dans tous les cas, l'opposition à la prospection est absolue : une fois exprimée, les données ne sont plus traitées à cette fin (article 21, paragraphes 2 et 3).

Ce que Pilot-Asso fait pour vous

Pilot-Asso est un logiciel de gestion d'association. Il ne rend pas votre association conforme à lui seul : elle reste responsable de traitement, et c'est à elle de tenir son registre, d'informer les personnes, de fixer ses durées et de répondre aux demandes. L'outil lui en donne les moyens :

• un contrat de sous-traitance au sens de l'article 28, que la direction de l'association accepte en ligne ; l'acceptation enregistre la personne, la version et l'empreinte du texte exact, et l'espace reste fermé tant que la version en vigueur n'est pas acceptée. L'éditeur s'y engage notamment à notifier toute violation à la direction de l'association dans un délai de 48 heures au plus ;
• un centre de conformité où l'association référence et date son registre des traitements et l'avis de son délégué à la protection des données sur l'analyse d'impact. Tant que ce dernier statut n'est pas passé à « Acquis » par la direction, geste noté au journal, le module de suivi des personnes accompagnées reste fermé ;
• un journal des connexions et des gestes sensibles propre à chaque association ; chaque consultation et chaque export d'un dossier de personne accompagnée y est noté ;
• pour les droits : l'export « droit d'accès » du dossier d'une personne accompagnée en PDF et l'export des données d'un adhérent, la rectification du dossier, l'effacement réel du dossier d'une personne accompagnée, et pour un adhérent la suppression s'il n'a jamais payé, l'anonymisation sinon, les montants restant en comptabilité ;
• si vous lui ouvrez son espace personnel, la personne accompagnée y voit qui a consulté son dossier et les accords qu'elle a donnés, qu'elle peut retirer, et peut demander une copie, une rectification ou un effacement : la demande crée une tâche chez son référent, rien n'est modifié automatiquement ;
• un rappel dans l'échéancier 30 jours avant la fin de la durée de conservation d'un dossier clos (deux ans après la clôture par défaut, valeur affichée comme provisoire tant que l'avis de votre délégué n'est pas enregistré) ;
• l'accord d'un adhérent pour recevoir les communications de l'association, décoché par défaut et horodaté ;
• la double authentification exigée pour chaque compte, des mots de passe conservés sous forme d'empreinte, un compte bloqué temporairement après cinq essais manqués, des accès par rôle refusés par défaut, et les pièces justificatives chiffrées (AES-256-GCM) avant stockage ;
• la base de données, les fichiers et les fonctions de calcul situés dans l'Union européenne, à Francfort (le réseau de diffusion par lequel les pages transitent est, lui, mondial) ;
• une sauvegarde complète de la base une fois par jour, lancée depuis le poste de travail de l'éditeur, chiffrée (AES-256) et conservée 30 jours dans un stockage séparé situé dans l'Union européenne ; chaque sauvegarde est restaurée à titre d'essai dans une base temporaire pour vérifier qu'elle est exploitable.

Ce que l'outil ne fait pas : il ne rédige ni votre registre, ni vos mentions d'information, ni votre analyse d'impact ; il ne désigne pas de délégué, ne notifie rien à la CNIL, n'efface aucun dossier sans un geste de votre part et n'envoie pas d'infolettre. Le statut « Acquis » de votre centre de conformité reflète ce que vous y déclarez, pas une vérification par l'éditeur.

Pour voir ces écrans sans rien saisir de réel, visitez la démonstration : une association fictive, remplie de données fictives.

Questions fréquentes

Sources

Textes consultés le 24 octobre 2026 :

• Règlement (UE) 2016/679 du 27 avril 2016, règlement général sur la protection des données (EUR-Lex)
• RGPD, chapitre II : principes, articles 5 à 11 (cnil.fr)
• RGPD, chapitre III : droits de la personne concernée, articles 12 à 23 (cnil.fr)
• RGPD, chapitre IV : responsable du traitement et sous-traitant, articles 24 à 43 (cnil.fr)
• Guide de sensibilisation au RGPD pour les associations (CNIL)
• Le registre des activités de traitement (cnil.fr)
• Conformité RGPD : comment informer les personnes et assurer la transparence ? (cnil.fr)
• Référentiel : les durées de conservation dans le secteur social et médico-social, version 1.0 du 14 septembre 2023 (CNIL)
• Secteur social et médico-social : comment gérer les durées de conservation ? (cnil.fr)
• Mots de passe : des recommandations de sécurité minimales (cnil.fr)
• Guide de la sécurité des données personnelles (CNIL)
• Analyse d'impact relative à la protection des données (cnil.fr)
• Liste des types d'opérations de traitement pour lesquelles une AIPD est requise (CNIL)
• Désigner un délégué à la protection des données (cnil.fr)
• Les violations de données personnelles (cnil.fr)
• Notifier une violation de données personnelles (cnil.fr)
• La prospection commerciale par courrier électronique (cnil.fr)