Oui, le RGPD s'applique aussi aux associations
Le règlement ne distingue pas but lucratif et but non lucratif : dès qu'une structure traite des données personnelles, elle est concernée. Or une association en traite beaucoup : le fichier des adhérents, les dons (avec les reçus fiscaux), les bénévoles et éventuels salariés, la newsletter, les photos d'événements publiées sur le site ou les réseaux, et parfois des données sensibles par nature : une association sportive traite des certificats médicaux, une association cultuelle ou politique révèle par principe les convictions de ses membres (article 9).
La bonne nouvelle : une association a rarement plus de 5 ou 6 traitements. Son registre est l'un des plus rapides à établir — même avec des moyens bénévoles.
Les traitements types d'une association
| Traitement | Données | Base légale | Durée indicative |
|---|---|---|---|
| Fichier des adhérents | Identité, coordonnées, cotisations | Contrat (adhésion) | Durée d'adhésion + 3 ans |
| Dons & reçus fiscaux | Identité, montants | Obligation légale | 6 ans (justificatifs fiscaux) |
| Bénévoles & salariés | Coordonnées, disponibilités, paie | Contrat / obligation légale | Mission + prescriptions (paie : 5 ans) |
| Newsletter & communication | Consentement | 3 ans après le dernier contact | |
| Photos d'événements | Images de personnes identifiables | Consentement (droit à l'image) | Durée de l'autorisation |
Vos 5 obligations prioritaires
- Tenir le registre — 5 fiches suffisent le plus souvent (article 30).
- Protéger le fichier adhérents : pas de tableur qui circule de boîte mail en boîte mail à chaque changement de bureau — un accès partagé, maîtrisé, avec mots de passe individuels.
- Attention aux données sensibles structurelles : sport (santé), culte, politique, syndicat (convictions) — vigilance renforcée et minimisation stricte.
- Cadrer les photos : autorisation écrite (droit à l'image + RGPD), particulièrement pour les mineurs.
- Organiser la transmission : à chaque renouvellement de bureau, les accès passent au suivant et se ferment pour le sortant.
À quoi ressemble le registre d'une association, concrètement
Fiche « Fichier des adhérents » : QUI — le président, le trésorier, le secrétaire (pas tout le CA) ; QUOI — identité, coordonnées, statut de cotisation — pas la profession ni la date de naissance si l'activité ne l'exige pas ; POURQUOI — gérer les adhésions et convoquer l'AG (contrat d'adhésion) ; OÙ — l'outil de gestion associative (ou le tableur unique, protégé et sauvegardé) ; JUSQU'À QUAND — 3 ans après la fin d'adhésion, puis suppression.
Les fiches « Dons », « Bénévoles », « Newsletter » et « Photos » complètent le tableau — souvent en moins d'une heure au total.
Les erreurs qu'on voit le plus souvent
- Le fichier adhérents dans le Google Sheets personnel d'un bénévole parti depuis deux ans.
- Les photos d'enfants publiées sans autorisation écrite des parents.
- La liste de diffusion qui mélange adhérents actuels, anciens et simples sympathisants sans consentement.
- Les certificats médicaux conservés indéfiniment « dans le classeur ».
Faites-le en 30 minutes
Le modèle « association » de la plateforme pose les bonnes questions dans l'ordre, avec des durées déjà jaugées sur les référentiels CNIL. À la clé : un score de conformité, un plan d'actions réaliste pour des bénévoles, et un rapport PDF officiel à présenter en AG ou aux financeurs.