Comment une association doit-elle appliquer le RGPD ?

Les associations sont pleinement concernées

Le RGPD ne distingue pas selon le statut de l'organisme : une association loi 1901, même animée uniquement par des bénévoles, est responsable des traitements qu'elle met en œuvre. C'est l'association, personne morale, qui est responsable, représentée par son président ; les bénévoles qui gèrent les fichiers agissent pour son compte. Les traitements les plus courants sont la gestion des adhésions et des cotisations, l'organisation des activités, la communication avec les membres, la gestion des bénévoles, la collecte de dons et, pour les associations employeuses, la gestion du personnel. La CNIL a publié un guide dédié au secteur associatif.

Les bases légales adaptées

La gestion des adhésions repose sur le contrat d'adhésion, c'est-à-dire les statuts et le bulletin d'adhésion. La tenue des registres obligatoires, la délivrance de reçus fiscaux pour les dons ou les déclarations liées aux salariés reposent sur des obligations légales. La communication sur les activités auprès des membres peut reposer sur l'intérêt légitime de l'association. L'envoi d'appels à dons à des personnes qui ne sont pas membres, la publication de photos individuelles ou le partage de coordonnées avec une fédération ou un partenaire nécessitent souvent le consentement, sauf lorsque la transmission à la fédération découle de l'adhésion elle-même, comme pour la délivrance d'une licence sportive.

Le fichier des adhérents

Le fichier doit se limiter aux données utiles : identité, coordonnées, date d'adhésion, cotisation et, si l'activité l'exige, date de naissance ou certificat médical. Il ne doit pas être communiqué à des tiers, ni utilisé à d'autres fins que la vie associative : un membre du bureau qui utiliserait la liste pour démarcher les adhérents au profit de son activité professionnelle ou d'une campagne électorale commettrait un détournement de finalité. Les membres doivent être informés, par exemple sur le bulletin d'adhésion, de l'utilisation de leurs données et de leurs droits. Les anciens adhérents ne doivent pas rester indéfiniment dans le fichier : une durée de conservation de quelques années après la fin de l'adhésion est généralement suffisante, hors pièces comptables.

Exemple de mention sur un bulletin d'adhésion : « Les informations recueillies sont utilisées par l'association Les Randonneurs de l'Artois pour gérer votre adhésion, vous informer de nos activités et transmettre votre demande de licence à la fédération. Elles sont conservées 3 ans après la fin de votre adhésion. Vous pouvez exercer vos droits auprès de la secrétaire de l'association. »Exemple fictif

Les données sensibles des associations

Certaines associations traitent par nature des données sensibles : appartenance religieuse pour une association cultuelle, opinions politiques pour une association militante, santé pour une association de patients ou d'aide aux personnes handicapées, appartenance syndicale. L'article 9 du RGPD leur permet de traiter ces données concernant leurs membres, anciens membres ou personnes en contact régulier avec elles, dans le cadre de leurs activités légitimes et avec des garanties appropriées, à condition qu'elles ne soient pas communiquées à l'extérieur sans le consentement des personnes. Une sécurité renforcée est alors indispensable.

Les photos et les réseaux sociaux

Publier des photos d'événements sur le site ou la page de l'association est une pratique courante, qui suppose l'accord des personnes reconnaissables, au titre du droit à l'image et du RGPD, surtout pour les photos individuelles ou de petits groupes. Pour les mineurs, l'autorisation des titulaires de l'autorité parentale est nécessaire. Une bonne pratique consiste à recueillir ces autorisations lors de l'adhésion, par une case distincte, et à permettre à chacun de demander le retrait d'une photo. Les groupes de messagerie instantanée qui réunissent les membres doivent être réservés aux échanges utiles et ne pas exposer les numéros de téléphone sans accord.

Les outils et la sécurité

Les associations utilisent souvent des outils gratuits ou des comptes personnels de bénévoles : tableur partagé, messagerie personnelle du trésorier, plateforme de billetterie en ligne. Ces pratiques ne sont pas interdites, mais elles exigent quelques précautions : un compte dédié à l'association plutôt qu'une adresse personnelle, un partage restreint aux membres du bureau, la double authentification, une sauvegarde, et le transfert des accès lors du renouvellement du bureau. Les plateformes de gestion d'adhésions ou de dons sont des sous-traitants dont il faut vérifier les conditions. Le passage de relais entre bureaux successifs est un moment à risque où des fichiers restent souvent sur les ordinateurs d'anciens bénévoles.

Le registre et les autres obligations

Une association doit en principe tenir un registre de ses traitements, la gestion des adhérents n'étant pas un traitement occasionnel. Le modèle simplifié de la CNIL est parfaitement adapté. La désignation d'un délégué à la protection des données n'est obligatoire que pour les grandes associations traitant à grande échelle des données sensibles, comme certaines associations gestionnaires d'établissements médico-sociaux. Pour les associations employeuses, les règles du RGPD en ressources humaines s'appliquent, et les obligations d'information et de sécurité sont les mêmes que pour une TPE ou une PME.

Les associations face au RGPD : quelques chiffres

La France compte environ 1,5 million d'associations actives, dont la grande majorité fonctionne uniquement avec des bénévoles. Presque toutes traitent des données personnelles : fichier des adhérents, coordonnées des bénévoles, liste des donateurs, inscriptions aux activités, photos des événements, lettre d'information. Le RGPD s'applique à elles comme aux entreprises, sans exemption liée au caractère non lucratif ou à la taille. La CNIL a toutefois conscience des moyens limités de ces structures et a publié un guide pratique et un référentiel adaptés, ainsi que des modèles de documents. Les fédérations associatives, sportives ou culturelles relaient ces outils auprès de leurs membres.

Le référentiel de la CNIL pour les associations

La CNIL a adopté un référentiel relatif aux traitements de données personnelles mis en œuvre dans le cadre de la gestion des membres et des donateurs des associations. Il précise les finalités admises, comme la gestion des adhésions, l'organisation des activités, la communication auprès des membres, la gestion des dons et l'émission des reçus fiscaux, la tenue des instances statutaires et la prospection auprès de donateurs potentiels. Il fixe les données pouvant être collectées, les destinataires et les durées de conservation, par exemple trois ans après la fin de l'adhésion pour les données des membres, et rappelle les règles applicables aux données sensibles que certaines associations traitent par nature. Les associations qui s'y conforment disposent d'un cadre sécurisé pour leurs traitements courants.

Les bénévoles et le RGPD

Les bénévoles manipulent souvent des données de l'association sur leurs propres outils : ordinateur personnel, messagerie privée, téléphone, clé USB. Cette pratique, difficile à éviter, crée des risques : données dispersées, absence de sauvegarde, perte d'accès au départ du bénévole, fuite en cas de vol. L'association doit donc fixer des règles simples : utiliser des outils communs gérés par l'association, comme un espace de stockage partagé ou une adresse électronique fonctionnelle, protéger les fichiers par des mots de passe, ne pas conserver de copies personnelles, restituer ou supprimer les données au départ. Une courte charte, signée par les bénévoles qui accèdent aux fichiers, rappelle ces règles et leur obligation de confidentialité.

Les dons et les reçus fiscaux

Les associations qui reçoivent des dons ouvrant droit à réduction d'impôt doivent émettre des reçus fiscaux et conserver les informations correspondantes, ce qui relève d'une obligation légale. La sollicitation des donateurs repose généralement sur l'intérêt légitime pour les courriers postaux et sur le consentement pour les courriels et SMS adressés à des personnes qui ne sont pas encore donatrices. L'échange ou la location de fichiers de donateurs entre associations, pratique courante dans le secteur caritatif, suppose une information préalable des donateurs et la possibilité de s'y opposer, ainsi qu'un consentement pour la prospection électronique par les associations partenaires. La CNIL a rappelé ces règles dans plusieurs contrôles du secteur.

Les associations sportives

Les clubs sportifs traitent des données spécifiques : licences, certificats médicaux ou questionnaires de santé, résultats sportifs, photos et vidéos des compétitions, données des mineurs licenciés. Le certificat médical d'absence de contre-indication contient une donnée de santé, qui doit être conservée de façon sécurisée et accessible seulement aux personnes habilitées ; depuis 2021, pour les mineurs, le certificat est remplacé dans la plupart des cas par un questionnaire de santé rempli avec les parents. La publication des résultats et des classements est admise, car elle fait partie de l'activité sportive, mais la publication de photos d'enfants suppose l'autorisation des parents. Les fédérations sportives délégataires, qui gèrent les licences, sont responsables de leurs propres traitements et partagent des données avec les clubs.

Les associations du secteur social et médico-social

Les associations qui accompagnent des personnes en difficulté, des personnes âgées, des personnes en situation de handicap ou des malades traitent des données particulièrement sensibles : santé, situation sociale, parfois données relatives à des infractions. Elles doivent appliquer les règles renforcées du RGPD, mener une analyse d'impact pour les traitements les plus risqués, comme l'accompagnement social ou médico-social qui figure dans la liste de la CNIL, et respecter le secret professionnel lorsqu'il s'applique à leurs intervenants. Le partage d'informations entre professionnels de l'action sociale est encadré par le Code de l'action sociale et des familles, qui limite les échanges aux informations strictement nécessaires à l'accompagnement. Les logiciels de suivi des bénéficiaires doivent offrir un haut niveau de sécurité.

Les assemblées générales et la vie statutaire

La vie statutaire d'une association implique aussi des traitements : convocations aux assemblées générales, feuilles d'émargement, procurations, procès-verbaux, élection des instances. Les procès-verbaux mentionnent les noms des membres du bureau et des intervenants, ce qui est nécessaire, mais ne doivent pas être publiés en ligne avec des informations personnelles superflues. Les feuilles d'émargement sont conservées pour prouver la régularité des délibérations, pendant une durée raisonnable. Le vote électronique, de plus en plus utilisé, doit garantir la sécurité et la confidentialité du scrutin. La déclaration des dirigeants en préfecture, obligatoire pour les associations déclarées, rend leurs noms publics au Journal officiel pour certaines informations.

Les outils gratuits et les associations

Faute de budget, beaucoup d'associations utilisent des outils gratuits : formulaires en ligne, tableurs partagés, messageries, plateformes de billetterie ou de collecte de dons. Ces outils peuvent convenir, à condition de vérifier leurs conditions d'utilisation et leur politique de protection des données, la localisation des serveurs, l'éventuelle réutilisation des données par le fournisseur et la possibilité d'exporter et de supprimer les données. Plusieurs acteurs de l'économie sociale et solidaire et des collectifs du logiciel libre proposent des alternatives respectueuses de la vie privée, hébergées en Europe, à des conditions adaptées aux associations. Le choix d'un outil est aussi l'occasion d'informer les membres de son usage.

Les mineurs dans les associations

De nombreuses associations accueillent des mineurs : clubs sportifs, écoles de musique, mouvements de jeunesse, accueils de loisirs. Les données des mineurs sont recueillies auprès des représentants légaux, qui donnent les autorisations nécessaires, notamment pour le droit à l'image, les sorties et les soins d'urgence. La fiche sanitaire de liaison, qui contient des informations de santé comme les allergies, les traitements ou les vaccinations, doit être conservée de façon sécurisée, accessible aux seuls encadrants qui en ont besoin, et détruite à la fin de la période d'accueil. Les groupes de messagerie créés pour communiquer avec les jeunes ou leurs parents doivent être utilisés avec prudence, en évitant d'y partager des informations personnelles ou des photos sans autorisation.

Les violations de données dans les associations

Les associations ne sont pas à l'abri des incidents : ordinateur d'un bénévole volé, fichier envoyé à toute la liste de diffusion avec les adresses visibles, compte de messagerie piraté, tableur partagé rendu public par erreur. Elles sont soumises aux mêmes obligations que les entreprises : documenter l'incident, évaluer le risque pour les personnes, notifier la CNIL dans les 72 heures si un risque existe et informer les personnes en cas de risque élevé. L'envoi groupé d'un courriel avec les adresses de tous les adhérents visibles en copie est l'un des incidents les plus fréquents ; il peut constituer une violation, notamment lorsque l'adhésion révèle une information sensible, comme pour une association de patients ou une association d'aide aux victimes. L'usage de la copie cachée ou d'un outil d'envoi évite ce risque.

Désigner un référent au sein du bureau

Même sans obligation de délégué à la protection des données, une association a intérêt à désigner au sein de son bureau ou de son conseil d'administration un référent chargé de suivre les questions de protection des données. Ce référent tient le registre, veille à l'information des membres, centralise les demandes d'exercice des droits, sensibilise les bénévoles et alerte le bureau en cas d'incident. Il peut s'appuyer sur les ressources de la CNIL, de sa fédération et des réseaux associatifs locaux. Lors du renouvellement des instances, la transmission du dossier au nouveau référent assure la continuité de la démarche.

Les associations et les réseaux sociaux

Les associations utilisent largement les réseaux sociaux pour communiquer : page publique, groupe privé pour les membres, publication de photos d'événements. L'association qui administre une page est responsable conjointe, avec la plateforme, des statistiques de fréquentation de cette page, comme l'a jugé la Cour de justice dans l'arrêt Wirtschaftsakademie de 2018. Elle doit donc mentionner ce traitement dans sa politique de confidentialité. Les groupes privés ne doivent pas servir à partager des informations personnelles sur les membres sans leur accord, et les photos ne doivent y être publiées qu'avec l'autorisation des personnes reconnaissables. Le choix entre un groupe sur un réseau social et un outil interne dépend aussi de la sensibilité des échanges.

Les adhérents qui quittent l'association

Lorsqu'un membre ne renouvelle pas son adhésion, ses données ne doivent pas être conservées indéfiniment dans le fichier actif. L'association peut les garder pendant une durée raisonnable pour lui proposer de renouveler son adhésion ou l'inviter à des événements, puis doit les supprimer ou les archiver lorsqu'elles sont nécessaires pour des obligations comptables ou fiscales. Le référentiel de la CNIL fixe un repère de trois ans après la fin de l'adhésion. Un ancien membre peut à tout moment demander à ne plus recevoir de communications et l'effacement de ses données, sous réserve des obligations de conservation.

Les collectivités qui soutiennent les associations

Les associations qui reçoivent des subventions ou gèrent des services pour le compte d'une collectivité, comme un accueil de loisirs ou une activité périscolaire, peuvent être amenées à partager des données avec la collectivité. Ce partage doit être prévu par une convention qui précise les rôles de chacun, responsable, coresponsable ou sous-traitant, les données transmises et leur finalité. Une association qui gère un service public pour le compte d'une commune agit souvent comme sous-traitant de la commune pour les données des usagers.