Le fichier des adhérents sur l’ordinateur du trésorier, la liste des bénévoles dans un groupe de messagerie, les coordonnées des donateurs dans un tableur partagé, les photos de la fête annuelle publiées sur Facebook… Comme presque toutes les associations, la vôtre traite des données personnelles. Et le Règlement général sur la protection des données (RGPD) s’applique à elle, qu’elle compte 15 ou 1 500 membres.
Rassurez-vous : la conformité d’une association n’a rien d’une usine à gaz. Ce guide vous donne les 7 obligations essentielles, les erreurs que nous rencontrons le plus souvent sur le terrain, et un plan d’action réaliste pour un bureau composé de bénévoles.
L’essentiel en 30 secondes
- Toute association qui gère des données sur des personnes (adhérents, bénévoles, donateurs, salariés, bénéficiaires) est concernée.
- Les fondations : un registre, une information claire, des données limitées au nécessaire, des durées de conservation et une sécurité de base.
- Une fuite de données présentant un risque doit être notifiée à la CNIL sous 72 heures.
- La sécurité est devenue la priorité de contrôle de la CNIL : la double authentification et les sauvegardes ne sont plus optionnelles.
Pourquoi le sujet est devenu sérieux, même pour les petites structures
Dans son rapport annuel 2025, publié en mai 2026, la CNIL indique avoir reçu 6 167 notifications de violations de données, un niveau record en hausse d’environ 9,5 % sur un an, dont la moitié liée à un piratage. Elle résume la situation en trois constats : personne n’est épargné, les violations sont de plus en plus massives, et elles impliquent souvent des prestataires.
La même année, la CNIL a prononcé 83 sanctions et annoncé que la cybersécurité serait au cœur de ses contrôles. Une petite association n’est évidemment pas la cible prioritaire des grosses amendes, mais une fuite de son fichier d’adhérents peut avoir des conséquences très concrètes : hameçonnage ciblé de ses membres, perte de confiance des donateurs, mise en cause de la responsabilité du président.
Les 7 obligations essentielles
1. Tenir un registre des traitements
Le registre recense chaque usage de données personnelles : gestion des adhésions, organisation des activités, newsletter, collecte de dons, gestion des bénévoles, paie si vous avez des salariés. Pour chacun, on note les données collectées, la finalité, les personnes qui y ont accès, les éventuels prestataires (logiciel d’adhésion, plateforme de dons, hébergeur) et la durée de conservation.
Un tableur suffit, et la CNIL propose un modèle simplifié. L’important est qu’il existe, qu’il soit à jour et qu’il soit transmis lors des changements de bureau.
| Traitement | Données | Base légale | Conservation (exemple) |
|---|---|---|---|
| Gestion des adhérents | Identité, coordonnées, cotisation | Contrat d’adhésion | Durée de l’adhésion + quelques années |
| Newsletter grand public | Adresse e-mail | Consentement | Jusqu’au désabonnement |
| Dons et reçus fiscaux | Identité, adresse, montant | Obligation légale | Durée fixée par les règles fiscales |
| Photos d’événements | Image des personnes | Consentement | Selon l’usage prévu |
2. Ne collecter que le nécessaire
C’est le principe de minimisation. Pour une adhésion classique, le nom, les coordonnées et le suivi de cotisation suffisent. La date de naissance se justifie pour une activité sportive soumise à des catégories d’âge ; la profession, rarement. Les données de santé (certificat médical, allergies pour un séjour) sont des données sensibles : elles doivent être limitées au strict nécessaire et particulièrement protégées.
3. Informer clairement les personnes
Chaque formulaire, papier ou en ligne, doit dire qui collecte, pour quoi faire, combien de temps, qui y a accès et comment exercer ses droits. Une mention de quelques lignes sur le bulletin d’adhésion, renvoyant vers une politique de confidentialité sur le site, est la solution la plus simple.
4. Choisir la bonne base légale
Gérer les adhérents repose sur le lien contractuel avec eux. En revanche, envoyer une lettre d’information à des non-membres, publier des photos où l’on reconnaît des personnes, ou transmettre des coordonnées à un partenaire suppose en général un consentement libre, explicite et réversible. Pour les mineurs, l’accord des parents est indispensable pour le droit à l’image.
5. Fixer et appliquer des durées de conservation
Garder « au cas où » les données d’anciens adhérents depuis quinze ans est l’erreur la plus fréquente. Fixez une règle simple et planifiez une purge annuelle, par exemple à l’assemblée générale. Ce qui doit être conservé pour des raisons comptables ou fiscales peut être archivé à part, avec un accès restreint.
6. Sécuriser les données
C’est souvent le point faible. Ce que nous observons régulièrement : fichiers envoyés en pièce jointe à tout le bureau, ordinateur personnel sans mot de passe, boîte mail partagée dont tout le monde connaît le mot de passe, anciens membres du bureau qui ont toujours accès au drive. Les mesures de base :
- un espace de stockage partagé unique, avec des accès nominatifs ;
- des mots de passe robustes et la double authentification sur la messagerie et le stockage ;
- des sauvegardes régulières, dont une copie hors ligne ;
- le retrait des accès à chaque changement de bureau ;
- le chiffrement des ordinateurs portables qui contiennent des fichiers d’adhérents.
7. Respecter les droits des personnes
Accès, rectification, effacement, opposition : toute personne peut exercer ses droits. Désignez un interlocuteur (souvent le secrétaire), prévoyez une adresse de contact et répondez dans le délai d’un mois.
En cas de fuite de données
Ordinateur volé, messagerie piratée, fichier envoyé au mauvais destinataire, prestataire attaqué : il s’agit d’une violation de données. Il faut :
- contenir l’incident (changer les mots de passe, couper les accès) ;
- évaluer le risque pour les personnes ;
- notifier la CNIL sous 72 heures si un risque existe ;
- informer les personnes concernées si le risque est élevé ;
- consigner l’incident dans un registre interne, même s’il n’est pas notifié.
Plan d’action en 30 jours pour un bureau de bénévoles
- Semaine 1 : lister les fichiers existants et qui y a accès. Désigner un référent RGPD.
- Semaine 2 : rédiger le registre et les mentions d’information. Mettre à jour le bulletin d’adhésion et le site.
- Semaine 3 : centraliser les fichiers, retirer les accès obsolètes, activer la double authentification, mettre en place les sauvegardes.
- Semaine 4 : fixer les durées de conservation, faire une première purge, rédiger une fiche « que faire en cas de fuite ».
Les erreurs les plus fréquentes
- Mettre tous les adhérents en copie visible d’un e-mail collectif (utilisez la copie cachée ou un outil de diffusion).
- Publier la liste des membres avec leurs coordonnées sur le site.
- Utiliser des formulaires en ligne sans mention d’information.
- Transmettre le fichier à un sponsor ou un partenaire sans accord.
- Laisser un ancien trésorier repartir avec une copie du fichier sur sa clé USB.
Questions fréquentes
Une association doit-elle nommer un délégué à la protection des données (DPO) ?
Dans la grande majorité des cas, non. C’est obligatoire pour les organismes publics et pour certaines activités (suivi régulier à grande échelle, traitement de données sensibles en grande quantité). Désigner un référent interne reste une très bonne pratique.
Peut-on utiliser WhatsApp pour communiquer avec les bénévoles ?
C’est possible, mais les numéros sont visibles de tous les membres du groupe. Informez les participants, limitez les groupes aux personnes concernées et évitez d’y faire circuler des données sensibles.
Faut-il le consentement pour publier des photos d’une manifestation ?
Dès qu’une personne est identifiable et que la photo n’est pas une simple vue d’ensemble d’un événement public, il est préférable de recueillir son accord, et c’est indispensable pour les mineurs.
Les logiciels de gestion d’adhérents sont-ils conformes ?
Ils peuvent l’être, mais l’association reste responsable. Vérifiez le contrat (clauses de sous-traitance), la localisation des données et les options de sécurité, notamment la double authentification.
Combien coûte une mise en conformité ?
Pour une petite association, l’essentiel peut être fait en interne avec un peu d’accompagnement. Notre accompagnement RGPD est conçu pour des structures sans service juridique.
Sources
- CNIL, rapport annuel 2025 (mai 2026) et bilan des sanctions 2025.
- CNIL, guide de sensibilisation au RGPD pour les associations.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
