Association : partager la liste des adhérents

Le trésorier, un bénévole et un adhérent demandent « la liste des membres ». Derrière cette formulation identique se trouvent des besoins différents : suivre les cotisations, préparer un atelier ou contacter d’autres membres. La bonne réponse commence par le but de la demande, avant le choix du fichier à envoyer.

Une adhésion ne rend pas les coordonnées publiques

Le fichier relève des règles ordinaires de finalité, de licéité et de minimisation : Art. 5(1)(b), 5(1)(c) et 6(1) du RGPD. Le caractère associatif de l’organisme ne crée pas une permission générale de communication. Source : RGPD, chapitre II.

La CNIL indique qu’un membre peut exiger communication de la liste lorsque les statuts prévoient cette possibilité, avec un lien direct entre la communication et l’activité associative. Cette clause n’autorise pas toute réutilisation, ni la remise de toutes les informations contenues dans le logiciel. Source : guide CNIL des associations, page 20.

Distinguez ce droit statutaire d’un annuaire facultatif, d’un accès accordé pour une mission et d’une publication ouverte. Le guide RGPD des associations présente le cadre général ; la procédure ci-dessous sert à décider pour une demande précise.

Préparer plusieurs vues du fichier

Ce tableau n’accorde pas une autorisation automatique. Il oblige à formuler la mission et à enlever les colonnes sans rapport. Une liste pour l’accueil d’un atelier n’a pas à révéler les impayés, les motifs d’exonération ou les commentaires de la direction.

Examiner les demandes de financeurs

Une subvention ne donne pas à une collectivité un droit général à la liste nominative des adhérents. La CNIL rappelle cette limite tout en distinguant les pièces permettant le contrôle de l’utilisation des fonds. Source : CNIL, demande d’une collectivité subventionnant une association.

Demandez au financeur quel résultat il cherche à vérifier. Un effectif par activité peut suffire. Attention aux groupes très petits : l’absence de noms ne garantit pas l’anonymat. Notre guide sur les tableaux portant sur de petits effectifs propose une grille de contrôle des recoupements.

Si une demande invoque un texte particulier, vérifiez ce texte, la qualité du demandeur et les données qu’il permet réellement d’obtenir. Un intitulé de formulaire ou une case « obligatoire » ne remplace pas cette analyse.

Repérer les affiliations sensibles

Selon l’objet de l’association, le simple fait d’apparaître dans la liste peut révéler des convictions religieuses, politiques ou d’autres informations relevant de l’Art. 9(1). La diffusion peut donc être sensible même si le fichier ne contient que des noms.

L’Art. 9(2)(d) prévoit une exception encadrée pour certains organismes sans but lucratif et certaines personnes liées à leur activité. Il exige notamment que les données ne soient pas communiquées à l’extérieur sans le consentement des personnes. Cette exception vise les objectifs politiques, philosophiques, religieux ou syndicaux, dans le cadre d’activités légitimes et avec des garanties appropriées ; elle ne concerne pas indistinctement toutes les associations. Source : RGPD, Art. 9(2)(d).

Garder la maîtrise de chaque remise

Inscrivez la demande, son objectif, la décision, les colonnes communiquées et le destinataire dans une courte fiche. Utilisez une vue restreinte ou un accès nominatif si un fichier téléchargeable n’est pas indispensable. Organisez la gestion des exports bureautiques lorsque le destinataire doit travailler hors de l’application.

La personne quittant le bureau ou terminant une mission ne doit pas conserver un accès courant au fichier. Prévoyez dès la remise la date ou l’événement de fermeture, et un interlocuteur pour les demandes de rectification.

Un rattachement à une fédération ne règle pas, à lui seul, la circulation des listes. Formalisez les échanges entre association et fédération selon leurs finalités et les informations nécessaires à chaque organisme.

Qualifier la demande avant de préparer l’export

Une fiche courte peut éviter les transmissions faites par habitude. Elle décrit l’opération, pas seulement le nom du demandeur. « Pour l’association » reste trop vague : il faut préciser s’il s’agit d’appeler les participants, de vérifier un règlement ou de proposer une rencontre entre membres.

Voici une structure proposée, à adapter au fonctionnement de l’organisme :

La base légale doit correspondre à l’opération réelle. L’exécution d’un contrat, au sens de l’Art. 6(1)(b), suppose que le traitement soit nécessaire à ce contrat. L’intérêt légitime de l’Art. 6(1)(f) demande notamment d’examiner la nécessité et les droits des personnes. Inscrire l’une de ces expressions dans un tableau ne suffit pas à justifier un partage.

Un annuaire facultatif de mise en relation peut être organisé avec un choix spécifique des membres, si les conditions du consentement sont réunies. Il faut alors permettre un refus sans priver la personne d’une activité pour laquelle cet annuaire n’est pas nécessaire, préciser les coordonnées rendues visibles et organiser le retrait. Ce fonctionnement volontaire ne remplace pas l’analyse d’une demande fondée sur les statuts.

De même, le droit d’accès prévu par l’Art. 15 concerne les données de la personne qui l’exerce. Il ne donne pas, par lui-même, un droit à recevoir le fichier complet des autres adhérents. L’Art. 15(4) impose de tenir compte de leurs droits et libertés lors de la remise d’une copie. Source : RGPD, chapitre III.

Traiter une sortie sans distribuer le fichier d’adhésion

Le dossier suivant est entièrement fictif. L’association Les Sentiers compte trois cents adhérents. Douze personnes sont inscrites à une sortie. La bénévole chargée de l’accueil demande une liste pour confirmer les présences et prévenir d’un changement de rendez-vous. Le trésorier utilise parallèlement le fichier général pour suivre les cotisations.

La présidente doit décider de deux accès distincts. Pour l’accueil, elle retient les noms des douze inscrits et le contact nécessaire à l’organisation. Les coordonnées des autres adhérents, les montants des cotisations et les motifs d’exonération ne répondent pas à cette mission. Le trésorier conserve sa propre vue, avec les informations nécessaires à son travail financier, sans que cette vue soit copiée dans le dossier de sortie.

La fiche peut ainsi porter : « Sortie du 10 octobre ; douze inscrits ; accueil et information pratique ; accès réservé à la bénévole désignée ; fermeture après le traitement des suites d’organisation ; coordonnées exclues du bilan remis aux partenaires. » Cette rédaction reste une proposition de travail : elle ne fournit pas à elle seule la base légale ni une durée valable pour toutes les sorties.

Si une personne a demandé un aménagement lié à sa santé, la consigne nécessaire à l’organisation doit être examinée séparément. Il ne faut pas reprendre automatiquement le diagnostic dans la liste d’accueil. Les données de santé relèvent aussi de l’Art. 9 ; une consigne reformulée peut encore révéler une information sensible et ne devient pas librement partageable par un simple changement de vocabulaire.

La bénévole demande ensuite à joindre à sa liste les coordonnées d’anciens participants pour leur proposer une autre activité. Ce besoin n’appartient pas au périmètre initial. L’association doit examiner cette nouvelle utilisation, les personnes concernées et l’information requise avant de compléter le fichier. Une habilitation obtenue pour l’accueil n’est pas une permission durable de constituer son propre carnet associatif.

Vérifier ce que le destinataire peut réellement récupérer

Une vue à l’écran peut sembler limitée alors que le bouton de téléchargement produit un fichier plus large. Avant la remise, contrôlez le résultat disponible pour le profil concerné : nombre de lignes, colonnes, onglets et pièces jointes. Pour un tableur, des colonnes masquées ne constituent pas un retrait des données ; préparez un document contenant uniquement ce qui doit être communiqué.

Cette vérification doit aussi porter sur les accès indirects. Un lien partagé peut ouvrir un dossier parent, et une copie envoyée par courriel peut être transférée. Choisissez le moyen de remise en fonction du besoin et des risques, conformément à l’Art. 32(1), puis expliquez au destinataire les limites de son usage. Source : RGPD, chapitre IV.

Dans le dossier fictif des Sentiers, la fermeture de l’accès de la bénévole ne supprime pas automatiquement un fichier qu’elle aurait téléchargé. La consigne de fin de mission couvre donc les copies de travail devenues inutiles, tout en laissant l’association conserver les pièces nécessaires à ses propres finalités justifiées. Aucune suppression globale de la comptabilité n’est déduite de la fin de la sortie.

Enfin, conservez une trace proportionnée de la décision : date, périmètre, destinataire et suite donnée. Il n’est pas nécessaire d’archiver indéfiniment une deuxième liste complète pour prouver qu’une remise limitée a eu lieu. En cas de changement de bénévole, refaites le point sur les habilitations plutôt que de transmettre simplement l’ancien mot de passe.

Ce qu’il faut retenir

• Décidez à partir de la mission, du cadre statutaire et des règles applicables.
• Préparez une version limitée plutôt qu’un fichier unique pour tous.
• Vérifiez particulièrement les affiliations sensibles et les demandes de financeurs.

FAQ

Tous les membres du bureau peuvent-ils tout consulter ?

Leur fonction ne justifie pas automatiquement l’accès à toutes les colonnes. Les habilitations doivent correspondre aux tâches réelles.

Les statuts peuvent-ils organiser un annuaire interne ?

Ils peuvent prévoir une communication liée à l’activité associative. Il faut aussi définir les données, les destinataires, les usages permis et l’information des personnes.

Un tableau sans noms peut-il être envoyé librement ?

Pas nécessairement : de petits effectifs ou des informations rares peuvent permettre d’identifier une personne. Examinez les possibilités de recoupement.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.