L’essentiel
1. Associations et RGPD : un enjeu central pour la protection des données personnelles
1.1. La France compte plus de 1,3 million d’associations aux profils variés (caritatif, politique, sportif, social, etc.). Ces structures, souvent concentrées sur leurs missions, ne disposent pas toujours de ressources dédiées à la protection des données, alors même qu’elles collectent de nombreuses données personnelles sur leurs adhérents, usagers, bénéficiaires, donateurs, testateurs ou salariés. Le guide de sensibilisation au RGPD pour les associations souligne que les risques d’atteinte à la vie privée peuvent être importants en cas de divulgation d’informations à des tiers.
1.2. Selon un sondage IFOP pour la CNIL réalisé en décembre 2020, 87 % des Français se déclarent plus sensibles qu’auparavant à la protection de leurs données personnelles. Dans ce contexte, le respect du règlement général sur la protection des données (RGPD) et des principes Informatique et Libertés devient un élément clé pour instaurer un environnement de confiance entre les associations et les personnes concernées.
1.3. Le guide de la CNIL a pour objectif d’aider les associations à respecter les règles en matière de protection des données en proposant : (i) une présentation des principales notions de la protection des données, (ii) une présentation des grands principes à respecter, (iii) un plan d’action pour la mise en conformité, et (iv) une foire aux questions adaptée aux problématiques associatives.
2. Obligations des associations au regard du RGPD
2.1. Le RGPD, entré en application le 25 mai 2018, reprend les grands principes de la loi Informatique et Libertés de 1978, mais modifie la logique de conformité. Les associations n’ont plus, sauf exceptions dans le domaine de la santé, à déclarer leurs fichiers à la CNIL avant leur mise en œuvre. Le texte privilégie désormais une logique de responsabilisation des acteurs qui utilisent des données personnelles.
2.2. En contrepartie de la suppression des déclarations préalables, les associations doivent s’assurer que leurs fichiers et services numériques sont en permanence conformes au RGPD. Cela implique de tenir à jour une documentation permettant de démontrer le respect des règles, notamment en : (i) recensant les fichiers (traitements) dans un registre des activités de traitement, (ii) encadrant la sous-traitance, (iii) garantissant la sécurité et la confidentialité des données, (iv) organisant la réponse aux demandes d’exercice des droits des personnes, (v) informant la CNIL et, le cas échéant, les personnes concernées en cas de violation de données, et (vi) réalisant, dans certains cas, des analyses d’impact sur la vie privée (AIPD) pour les fichiers à risques.
2.3. Le guide met en avant le rôle du délégué à la protection des données (DPO / DPD). La désignation d’un DPO n’est pas systématiquement obligatoire pour les associations, mais elle le devient notamment pour celles du secteur social et médico-social qui traitent des données sensibles à grande échelle. Même lorsqu’elle n’est pas imposée, la désignation d’un DPO (interne, externe ou mutualisé) ou d’un référent « protection des données personnelles » est présentée comme un levier pour consolider la relation de confiance et limiter les risques juridiques et d’image.
3. Missions de la CNIL et accompagnement des associations
3.1. La Commission nationale de l’informatique et des libertés (CNIL) est l’autorité de protection des données française. Elle exerce quatre grandes missions : informer et protéger les droits, anticiper et innover, accompagner la conformité et conseiller, contrôler et sanctionner. Elle répond aux demandes des particuliers et des professionnels, mène des actions de communication, met à disposition des outils pédagogiques et assure une veille technologique pour détecter les usages à fort impact sur la vie privée.
3.2. Pour aider les organismes privés et publics, dont les associations, à respecter le RGPD, la CNIL propose une boîte à outils adaptée à leur taille et à leurs besoins. Elle recherche des solutions permettant de concilier les objectifs légitimes des structures avec la protection des droits et libertés des citoyens. Dans le cadre de son pouvoir de contrôle, la CNIL peut vérifier la mise en œuvre concrète de la loi, imposer une mise en demeure ou prononcer des sanctions (amendes, etc.).
4. Notions clés de la protection des données pour les associations
4.1. La donnée personnelle est définie comme toute information se rapportant à une personne physique identifiée ou identifiable. L’identification peut être directe (nom, prénom) ou indirecte (numéro d’adhérent, numéro de téléphone, plaque d’immatriculation, numéro de sécurité sociale, adresse postale ou courriel, voix, photo). Le guide insiste sur le fait que l’identification peut résulter du croisement de plusieurs données, par exemple dans une enquête auprès d’adhérents où l’âge, le sexe, le niveau de pratique sportive et la ville permettent de retrouver une personne. En revanche, des coordonnées purement institutionnelles (adresse d’une association, numéro de standard, courriel générique) ne constituent pas des données personnelles.
4.2. Un traitement de données personnelles (ou fichier) recouvre toute manipulation ou utilisation de données : collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication, diffusion, rapprochement, etc. La notion est très large et inclut aussi bien un système de vidéosurveillance qu’un tableur recensant les actions d’aide aux usagers, un formulaire d’adhésion ou une base de données des usagers. Le guide rappelle que les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions que les fichiers informatisés.
4.3. La finalité est l’objectif poursuivi par un traitement. Elle doit être déterminée, explicite et légitime avant la collecte et l’utilisation des données. Il n’est pas permis de collecter des données sans savoir à l’avance à quoi elles serviront. Les exemples donnés incluent la gestion administrative des licenciés d’une association sportive, la gestion des donateurs d’une association caritative, l’accompagnement social de personnes en difficulté, la tenue d’un annuaire des anciens membres ou la prospection caritative, politique ou commerciale. Le respect de la finalité implique de ne pas réutiliser un fichier pour un autre but, par exemple de ne pas utiliser un fichier de recrutement pour adresser des offres caritatives ou commerciales.
4.4. Les données sensibles concernent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques, les données de santé, la vie sexuelle ou l’orientation sexuelle. Leur utilisation est en principe interdite, sauf exceptions limitativement prévues par l’article 9.2 du RGPD, notamment le consentement explicite de la personne ou la mise en place d’un fichier par une association à but non lucratif poursuivant un objectif politique, philosophique, religieux ou syndical, pour ses membres ou anciens membres, sans communication externe sans accord. Les exemples incluent la collecte d’informations de santé (allergies) pour des sorties extra-scolaires, ou la collecte d’opinions politiques par un parti politique, sous réserve de non-communication à des tiers sans accord.
4.5. Le responsable de traitement est la personne ou l’organisme qui définit les objectifs et les modalités du traitement (données collectées, usages, etc.). Il doit s’assurer que le fichier respecte les règles. Dans une association, il s’agit en pratique du représentant légal (par exemple le président d’une association caritative ou le directeur général d’une structure sportive).
4.6. Le destinataire est la personne ou l’organisme qui reçoit des données personnelles pour une raison déterminée et légitime. Les exemples donnés sont l’organisateur d’un tournoi, la fédération sportive à laquelle un club est rattaché, ou les professionnels de la CRIP (cellule de recueil des informations préoccupantes) lorsqu’une association signale une situation de danger pour un enfant.
4.7. Le tiers autorisé est une autorité publique ou une administration habilitée par un texte (loi, décret, etc.) à recevoir des données personnelles, comme Pôle emploi, les organismes de sécurité sociale, la justice, la police ou la gendarmerie. La communication à ces tiers doit reposer sur un fondement juridique précis.
4.8. Le sous-traitant est une catégorie de destinataire qui traite des données pour le compte du responsable de traitement dans le cadre d’un service ou d’une prestation. Il peut s’agir de prestataires informatiques (hébergement, maintenance) ou d’organismes gérant la paie des salariés de l’association. Le contrat doit préciser les obligations du sous-traitant en matière de données personnelles.
5. Grands principes à respecter par les associations
5.1. Le principe de licéité impose qu’un traitement poursuive un objectif non contraire au droit (par exemple, il ne peut pas viser une discrimination illégale) et repose sur une base légale prévue par le RGPD. Pour les associations, les bases légales les plus fréquentes sont : (i) le consentement libre, spécifique, éclairé et univoque (par exemple pour la prospection électronique auprès de prospects), (ii) l’exécution d’un contrat (fourniture de prestations, gestion administrative des adhérents), (iii) l’accomplissement d’une mission d’intérêt public pour certaines associations de droit privé, (iv) l’intérêt légitime de l’organisme (par exemple la prospection postale auprès des membres), et (v) le respect d’une obligation légale (comme la déclaration sociale nominative pour les salariés).
5.2. Le principe de finalité déterminée et légitime impose de collecter les données pour un objectif précis et de ne pas les réutiliser pour un autre but. L’exemple du centre musical illustre l’interdiction de transmettre les coordonnées des membres, collectées pour l’organisation de cours, à un magasin d’instruments souhaitant envoyer de la publicité, sans consentement préalable des personnes.
5.3. Le principe de pertinence et de minimisation exige de limiter les données aux seules informations nécessaires et ayant un lien direct avec l’objectif poursuivi. Le guide souligne qu’il n’est pas pertinent de demander la situation matrimoniale pour une simple inscription à une activité sportive. Cette logique de minimisation doit guider la conception des formulaires d’adhésion, des questionnaires et des fichiers.
5.4. Le principe de transparence et de respect des droits des personnes impose d’informer clairement les adhérents, usagers, bénévoles ou salariés sur : (i) l’identité et les coordonnées de l’organisme, (ii) la finalité du traitement (gestion des intervenants, des adhérents, élections au conseil d’administration, etc.), (iii) la base légale, (iv) le caractère obligatoire ou facultatif des données et les conséquences d’un refus, (v) les destinataires ou catégories de destinataires (par exemple la fédération sportive), (vi) la durée de conservation, (vii) les droits (accès, rectification, effacement, limitation, etc.), (viii) l’existence de transferts hors UE, (ix) les moyens de contacter le DPO ou le référent, et (x) le droit de plainte auprès de la CNIL. Les informations doivent être présentées de manière concise, claire et adaptée au public (pictogrammes pour les enfants, par exemple).
5.5. Le principe de durée de conservation limitée impose de définir des durées en fonction de la finalité. Le guide distingue la phase de gestion courante et la phase d’archivage intermédiaire, durant laquelle les données ne sont plus nécessaires au quotidien mais présentent encore un intérêt administratif (gestion d’un contentieux, respect d’une obligation légale comme la conservation des bulletins de paie pendant cinq ans). Dans cette phase, l’accès doit être restreint à des personnes spécialement habilitées. À l’issue des durées, les données doivent être supprimées ou anonymisées de manière irréversible.
5.6. Le principe de confidentialité et de sécurité impose que les données ne soient accessibles qu’aux personnes dont les missions le nécessitent. Les associations doivent mettre en place des mesures de sécurité des locaux (fermeture à clé des bureaux, armoires, locaux) et des postes de travail (mots de passe individuels renouvelés régulièrement, antivirus). La confidentialité implique une gestion fine des habilitations informatiques et une vigilance particulière lors des demandes de communication de données par d’autres organismes, en vérifiant la légitimité de la demande, le texte juridique applicable et le périmètre des informations transmises.
6. Premières étapes de la mise en conformité des associations
6.1. La prise en compte du RGPD est présentée comme une opportunité de faire le point sur les données traitées et l’usage des fichiers et services numériques dans l’association. Le respect des règles « informatique et libertés » est une démarche continue qui suppose des actions de formation, l’évolution des procédures et un suivi régulier.
6.2. La première étape consiste à recenser les traitements dans un registre des activités de traitement. Chaque fiche du registre doit préciser : (i) le nom et les coordonnées du responsable de traitement, des éventuels responsables conjoints, du représentant et du DPO, (ii) les objectifs poursuivis (par exemple la gestion des adhérents), (iii) les catégories de personnes et de données, (iv) les personnes habilitées à accéder aux données et les destinataires (services fiscaux, etc.), (v) les durées de conservation (base active, archivage), (vi) les mesures de sécurité (politique de mots de passe, etc.), et (vii) les éventuels transferts hors UE. L’élaboration du registre suppose un dialogue régulier avec les adhérents, salariés et sous-traitants qui manipulent des données.
6.3. La deuxième étape consiste à faire le tri dans les données. Chaque fiche du registre permet de vérifier : (i) la pertinence et la nécessité des données (par exemple, demander une attestation de quotient familial pour un tarif préférentiel est légitime, mais demander le numéro de sécurité sociale ou la carte Vitale ne l’est pas), (ii) la limitation des accès aux seules personnes habilitées (par exemple, les informations de paiement des cotisations ne doivent être accessibles qu’au personnel administratif concerné), et (iii) le respect de la durée de conservation (par exemple, suppression des données des anciens adhérents trois ans après la fin de l’adhésion).
6.4. La troisième étape est de faire preuve de transparence lors de chaque collecte de données, qu’elle soit papier ou numérique (questionnaires, bulletins d’adhésion, bulletins d’abonnement, etc.). Le guide recommande de compléter l’information écrite par une information orale pour s’assurer de la bonne compréhension, en particulier lorsque le public est vulnérable ou peu familier avec les enjeux de la protection des données.
6.5. La quatrième étape consiste à organiser et faciliter l’exercice des droits des personnes. Les adhérents, salariés, prestataires, etc. peuvent : (i) obtenir la confirmation de l’existence d’un traitement, accéder à leurs données et en obtenir une copie, (ii) rectifier les données inexactes ou incomplètes, (iii) demander l’effacement de leurs données dans certains cas (retrait du consentement, etc.), (iv) demander la limitation du traitement (gel temporaire en cas de contestation de l’exactitude), (v) exercer leur droit à la portabilité lorsque les conditions sont réunies (données fournies par la personne, traitement automatisé, fondé sur le consentement ou le contrat, sans porter atteinte aux droits de tiers), et (vi) s’opposer au traitement pour des raisons particulières lorsque la base légale est l’intérêt légitime ou la mission d’intérêt public. L’association doit mettre en place des procédures internes pour traiter ces demandes dans un délai d’un mois, prolongeable jusqu’à trois mois en cas de complexité, avec information de la personne.
6.6. La cinquième étape est de sécuriser les données. Les associations doivent prévenir : (i) l’accès illégitime (atteinte à la confidentialité), (ii) la modification non désirée (atteinte à l’intégrité), et (iii) la disparition des données (atteinte à la disponibilité). Les mesures recommandées incluent des identifiants individuels et mots de passe robustes, des accès distants sécurisés (https), la fermeture à clé des armoires et locaux, la limitation des accès aux serveurs et documents papier, la sensibilisation des membres, l’encadrement de l’usage des smartphones, ordinateurs portables et clés USB, la mise en place de sauvegardes régulières et l’utilisation de protocoles sécurisés pour les formulaires en ligne et le paiement des cotisations.
7. Gestion des violations de données et analyse des risques
7.1. Une violation de données survient lorsque des données personnelles sont, de manière accidentelle ou illicite, détruites, perdues, modifiées ou divulguées (courriels envoyés aux mauvais destinataires, équipement perdu ou volé, publication involontaire sur Internet, etc.). L’association doit documenter chaque incident. Si la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures. Si le risque est jugé élevé, les personnes concernées doivent également être informées.
7.2. Pour évaluer le risque, le guide recommande de prendre en compte : (i) le type de violation (intégrité, disponibilité, confidentialité), (ii) la nature, le caractère sensible et le volume des données, (iii) la facilité d’identification des personnes, (iv) la gravité des conséquences potentielles, (v) les caractéristiques des personnes (mineurs, personnes vulnérables, militaires, etc.), (vi) les caractéristiques de l’association (objet pouvant révéler des informations sensibles), et (vii) le nombre de personnes concernées.
7.3. Dans certains cas, les associations doivent réaliser une analyse d’impact relative à la protection des données (AIPD), notamment lorsque le fichier contient un grand nombre de données sensibles, des données sensibles sur des personnes vulnérables, ou lorsqu’il peut empêcher ces personnes de bénéficier d’un service. L’AIPD comprend : (i) une description détaillée du traitement (aspects techniques et opérationnels), (ii) une évaluation juridique du respect des principes et droits fondamentaux (finalités, données, durées, information, droits), et (iii) une étude des risques sur la sécurité (confidentialité, intégrité, disponibilité) et des mesures techniques et organisationnelles à mettre en place.
8. Questions fréquentes des associations sur le RGPD
8.1. Les communes ne peuvent pas exiger la liste nominative des adhérents d’une association, même subventionnée. Elles peuvent en revanche demander des documents financiers (budget, comptes, documents d’activité) pour contrôler l’utilisation des subventions.
8.2. Une association peut communiquer des renseignements sur ses adhérents à des tiers autorisés si cette communication repose sur un texte juridique. Chaque demande doit être écrite, fondée sur un texte, émaner d’un organisme cité dans ce texte, et respecter le périmètre prévu (nature des données, personnes concernées, type de traitement). La transmission doit être sécurisée et l’association doit conserver des traces de la demande et de la réponse.
8.3. Un membre peut exiger la communication de la liste des adhérents uniquement si les statuts de l’association le prévoient. Les statuts peuvent indiquer que l’adhésion implique l’acceptation de la communication des coordonnées à un autre adhérent, à condition que cette communication ait un lien direct avec l’activité de l’association.
8.4. Une association sportive peut publier en ligne les résultats sportifs des licenciés si les personnes ont été informées de cette publication et si elles peuvent s’y opposer facilement (par exemple via une case à cocher sur le formulaire de participation). De même, la publication de photos de membres sur un site web ou dans une revue suppose l’accord de la personne photographiée (et du représentant légal pour un mineur), pour des usages précis, de préférence par écrit. Une vigilance particulière est requise pour les mineurs.
8.5. Une association peut utiliser les données de ses adhérents pour des campagnes de relance des adhésions pendant un délai de trois ans à compter de la fin de l’adhésion, sous réserve que la personne puisse s’opposer simplement et gratuitement à chaque sollicitation (par exemple via un lien de désinscription). Au-delà de ce délai, l’association doit recueillir à nouveau l’accord de la personne pour continuer à lui adresser des sollicitations, faute de quoi les données doivent être supprimées ou archivées.
8.6. Les associations ne peuvent pas collecter l’extrait de casier judiciaire de leurs salariés ou bénévoles, sauf exceptions prévues par la loi. Le traitement de données relatives aux infractions est en principe interdit pour les organismes de droit privé, et le consentement de la personne ne suffit pas à lever cette interdiction.
8.7. Lors de l’adhésion, les futurs membres doivent être informés des caractéristiques du traitement (finalités, durées de conservation, destinataires, droits, etc.) au moment de la collecte. L’information peut être intégrée dans le formulaire d’adhésion, un livret de présentation ou en bas des formulaires de contact, et doit être adaptée au public (images ludiques, pictogrammes, explications orales).
8.8. Une association peut communiquer à ses membres, par courriel, courrier ou SMS, des informations liées à la vie de l’association (événements, infolettre, etc.) si les personnes ont été informées de cette utilisation au moment de la collecte et si elles peuvent s’y opposer. À chaque envoi, un mécanisme simple et gratuit d’opposition doit être proposé (lien de désinscription, mention claire).
8.9. Une association peut échanger les informations de ses adhérents avec une autre association à des fins de prospection, sous conditions. En matière de prospection caritative, les adhérents doivent avoir été informés de l’utilisation de leurs données à des fins de prospection et de leur possible transmission à des partenaires du secteur associatif, et avoir pu s’y opposer en cochant une case. En matière de prospection commerciale par voie électronique, les règles sont plus strictes : un accord explicite est nécessaire pour être démarché par l’association et pour la transmission à un partenaire.
8.10. Les associations peuvent déposer des cookies ou autres traceurs sur leur site web pour analyser la navigation et les habitudes de consultation. Selon l’objectif du traceur, il peut être nécessaire d’informer l’internaute ou d’obtenir son consentement avant le dépôt ou la lecture, notamment lorsque le site utilise des fonctionnalités de statistiques, des boutons sociaux ou des vidéos provenant de plateformes tierces.
9. Associations et RGPD : sécuriser fichiers d’adhérents, donateurs et bénévoles
9.1. Le titre « Associations et RGPD : sécuriser fichiers d’adhérents, donateurs et bénévoles » résume l’enjeu central du guide : les associations gèrent des fichiers d’adhérents, de donateurs, de bénévoles et d’usagers qui contiennent des données personnelles parfois sensibles. La sécurisation de ces fichiers passe par l’application coordonnée des principes de licéité, de finalité, de minimisation, de transparence, de durée de conservation limitée, de confidentialité et de sécurité.
9.2. L’analyse proposée par le guide montre que la conformité ne se limite pas à des obligations formelles, mais implique une gouvernance des données adaptée au contexte associatif : registre des traitements, tri des données, organisation des droits, sécurisation technique et organisationnelle, gestion des violations et, le cas échéant, analyses d’impact. Cette démarche permet de protéger les droits et libertés des personnes tout en renforçant la confiance dans les activités des associations.
10. Pour en savoir plus
10.1. Les ressources de la CNIL mentionnées dans le guide constituent un prolongement opérationnel pour les associations souhaitant approfondir les notions et mettre en œuvre concrètement le RGPD :
10.2. Notions et acteurs de la protection des données :
– www.cnil.fr
– Les missions de la CNIL
– Statut et organisation de la CNIL
– Le délégué à la protection des données (DPO)
– Donnée sensible (définition)
– Guide « tiers autorisés »
– Travailler avec un sous-traitant
10.3. Principes du RGPD et bases légales :
– Les bases légales
– Définir une finalité
– Vérifier la pertinence des données
– Les durées de conservation des données
10.4. Mise en conformité et registres :
– Le registre des activités de traitement
– Conformité RGPD : comment informer les personnes et assurer la transparence ?
– RGPD : exemples de mentions d’information
– Respecter les droits des personnes
10.5. Sécurité, mots de passe et cybersécurité :
– Mots de passe : recommandations de sécurité minimales
– Les conseils de la CNIL pour un bon mot de passe
– Générer un mot de passe solide
– Guide de sécurité des données personnelles
– Contenus sur la cybersécurité de la CNIL
– www.cybermalveillance.gouv.fr
10.6. Violations de données, cookies et analyses d’impact :
– Les violations de données personnelles
– Notifier une violation de données
– Site web, cookies et autres traceurs
– Comment mettre mon site web en conformité ?
– Ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données
– La prospection commerciale par courrier électronique
– Les mentions d’information listées à l’article 13 du RGPD
GUIDE DE SENSIBILISATION AU RGPD POUR LES ASSOCIATIONS
Type d’acte, par exemple : décret, arrêté, loi, ordonnance, délibération, recommandation, circulaire, instruction, avis, décision, communiqué, rapport, question ministérielle, réponse ministérielle, autre
Guide de sensibilisation
Autorité / organisme : Reprendre l’autorité, le ministère, l’institution, l’organisme, l’autorité administrative indépendante ou autorité ayant rendu ce texte officiel
CNIL
Date du texte sous la forme jour mois année, exemple de sortie : 14 avril 2026
25 mai 2018
Numéro exact du texte sauf si non indiqué
Règlement (UE) 2016/679
Variantes exactes de recherche :
guide de sensibilisation au RGPD pour les associations
GUIDE DE SENSIBILISATION AU RGPD POUR LES ASSOCIATIONS
guide RGPD associations CNIL
Règlement (UE) 2016/679
règlement ue 2016-679
règlement n 2016-679
règlement N° 2016-679
règlement n° 2016-679 du 27 avril 2016
règlement du 27 avril 2016 protection des données
CNIL guide de sensibilisation Règlement (UE) 2016/679
Résumé :
Ce guide de la CNIL explique aux associations leurs obligations en matière de protection des données personnelles au regard du RGPD, en présentant les notions clés (donnée personnelle, traitement, responsable, sous-traitant), les grands principes (licéité, finalité, minimisation, transparence, durée limitée, sécurité) et les premières étapes de mise en conformité (registre, information, droits, sécurité, gestion des violations). Il fournit des exemples concrets adaptés au secteur associatif et renvoie aux articles pertinents du RGPD et de la loi Informatique et Libertés.
RGPD & protection des données
Approfondir ce sujet :