RGPD et association : une méthode pour le bureau

Une association conserve les coordonnées de ses adhérents, organise des événements et confie des listes à ses bénévoles. Le RGPD s’applique à ces fichiers même sans but lucratif. L’objectif est de donner au bureau une organisation qui reste utilisable lorsque ses membres changent.

Commencer par les fichiers et les usages

Recensez les adhésions, cotisations, bénévoles, dons, activités, communications et éventuels salariés. Une activité peut être gérée dans plusieurs outils : tableur, messagerie, logiciel associatif et classeur papier. Le registre décrit le traitement, sans oublier ses copies.

Les Art. 2(1), 3(1) et 30 du RGPD définissent le champ et les obligations pertinentes. Un fichier numérique de membres géré dans le cadre d’une association établie en France est concerné. L’exception de registre pour certains organismes de moins de 250 personnes est limitée par l’Art. 30(5), notamment lorsque le traitement n’est pas occasionnel ou comporte des données sensibles.

Le guide CNIL destiné aux associations constitue une ressource de départ. Pour chaque activité, notez le but, les personnes, les données, les destinataires, les durées, les outils et les mesures de sécurité. Il n’existe pas de nombre réglementaire de fiches à produire.

Choisir le fondement sans tout soumettre au consentement

La gestion nécessaire d’une adhésion contractuelle peut relever de l’Art. 6(1)(b). Une obligation précise de conservation ou de transmission peut relever de l’Art. 6(1)(c). L’intérêt légitime de l’Art. 6(1)(f) exige nécessité et mise en balance avec les droits des personnes. Le consentement de l’Art. 6(1)(a) doit respecter l’Art. 7 et rester libre.

Une association peut révéler des opinions politiques, des convictions ou des informations de santé. L’Art. 9(2)(d) prévoit une exception encadrée pour certains organismes sans but lucratif à finalité politique, philosophique, religieuse ou syndicale : elle ne couvre pas toutes les associations et ne permet pas librement de communiquer les données à l’extérieur. Les autres exceptions doivent être identifiées selon l’activité.

Informer et répondre aux personnes

Au moment de la collecte, fournissez l’information de l’Art. 13(1)/(2) : identité de l’association, finalités, bases légales, destinataires, durées ou critères, droits et modalités d’exercice, ainsi que les autres mentions applicables. Si les données proviennent d’un tiers, examinez l’Art. 14.

Une première mention courte peut renvoyer à une information complète accessible. Elle ne doit pas annoncer « trois ans pour tout » ni promettre l’effacement de pièces devant être conservées. N’ajoutez pas une case « j’accepte la politique de confidentialité » pour remplacer l’information : informer et recueillir un consentement sont deux opérations différentes.

Désignez une personne qui reçoit les demandes, retrouve les données et suit le délai de l’Art. 12(3). Notre guide de réponse au droit d’accès précise le contenu attendu et les précautions avant transmission.

Séparer communications associatives et prospection commerciale

Une convocation nécessaire à la vie statutaire, un appel caritatif et une offre commerciale ne relèvent pas automatiquement du même régime. Le statut associatif de l’expéditeur ne suffit pas : examinez l’objet du message, le destinataire et le canal.

La CNIL distingue la prospection caritative et la prospection commerciale lors des transmissions de fichiers. Dans le cadre caritatif décrit par cette fiche, l’information et l’opposition jouent un rôle central ; la réutilisation commerciale des adresses électroniques appelle des conditions plus strictes. Il serait donc inexact d’affirmer que tout courriel à un non-membre exige, dans tous les cas, son consentement préalable.

Avant une diffusion extérieure, distinguez les usages des destinataires. Les fiches sur le partage d’une liste d’adhérents et sur la prospection des adhérents par un partenaire proposent deux grilles différentes pour qualifier la demande et les informations à transmettre.

Sécuriser les outils et le renouvellement du bureau

L’Art. 32(1) impose des mesures adaptées aux risques. En pratique, créez des comptes individuels pour les responsables, limitez les partages de dossiers, vérifiez les liens publics, protégez les appareils et prévoyez des sauvegardes récupérables. Une adresse personnelle détenue par un ancien trésorier ne doit pas rester le seul moyen d’accéder à la comptabilité.

Au changement de bureau, organisez la remise des documents utiles, des comptes et des demandes en cours ; fermez les habilitations devenues inutiles. Demandez aux anciens titulaires de traiter leurs copies selon les règles de conservation applicables.

Le logiciel qui traite pour le compte de l’association est soumis à l’Art. 28(3). Les services de paiement, plateformes et partenaires peuvent aussi agir pour des finalités propres : leurs rôles se vérifient, ils ne sont pas tous automatiquement sous-traitants. Dans un réseau, précisez les échanges avec la fédération.

Décider des durées par finalité

Séparez le fichier des membres actifs, les pièces comptables ou fiscales, les preuves utiles et la communication. Les repères de trois ans présents dans certains guides ne constituent pas une durée universelle pour tous les dossiers. Une obligation légale doit être appliquée aux documents qu’elle vise ; une conservation probatoire doit être limitée au besoin et au délai pertinent.

Pour les dons, identifiez les obligations fiscales effectivement applicables et les pièces nécessaires à leur justification. Le terme d’un prélèvement ne suffit pas toujours à décider du sort d’un mandat et de sa preuve. Inversement, la conservation d’un justificatif ne permet pas de maintenir tous les usages commerciaux du contact.

Prévoyez une revue périodique des fichiers clos et de leurs copies. Les archives publiques, lorsqu’elles existent en raison des missions exercées, suivent aussi le Code du patrimoine.

Attribuer les responsabilités au bureau

Le bureau peut désigner un référent opérationnel, sans l’appeler DPO s’il n’exerce pas ce rôle. Vérifiez séparément les critères de l’Art. 37(1), notamment les activités de base comportant un suivi ou des données sensibles à grande échelle. Une association n’est ni automatiquement dispensée, ni automatiquement tenue de désigner un DPO.

Gardez une liste courte d’actions avec responsable et échéance : information à corriger, partage à fermer, contrat à vérifier, fichiers à purger et procédure de droits à tester sur un dossier fictif. L’Art. 5(2) demande de pouvoir démontrer le respect des principes, pas d’accumuler des documents inutilisés.

Ce qu’il faut retenir

• Le statut non lucratif ne dispense pas du RGPD.
• Documentez les finalités et les bases légales avant de demander un consentement.
• Limitez les accès selon les missions et préparez les changements de bureau.
• Distinguez communication, dons, obligations documentaires et données anciennes.

FAQ

Une association de dix membres doit-elle tenir un registre ?

La petite taille ne suffit pas à être dispensée. Une gestion régulière des membres entre notamment dans les limites de l’exception de l’Art. 30(5).

Toute newsletter à un non-membre exige-t-elle un consentement ?

Il faut qualifier son contenu et son régime. Une sollicitation caritative et une offre commerciale ne suivent pas nécessairement les mêmes règles.

Faut-il supprimer toutes les données trois ans après le départ ?

Les durées dépendent des finalités et des textes applicables. Les données courantes devenues inutiles et les pièces conservées pour une obligation ou une preuve doivent être traitées séparément.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.