Beaucoup d'associations pensent que le RGPD ne concerne que les entreprises. C'est faux : dès qu'une association tient un fichier d'adhérents — même un simple tableur — elle traite des données personnelles et le règlement s'applique. La bonne nouvelle : pour une association classique, la mise en conformité tient en quelques mesures de bon sens.
Le fichier des adhérents est un « traitement »
Nom, adresse, email, téléphone, date d'adhésion, cotisations versées : tout cela constitue des données personnelles. Les gérer (les collecter, les stocker, les utiliser pour envoyer la convocation à l'AG) constitue un traitement au sens du RGPD. Pas besoin de consentement pour l'essentiel : la gestion des membres repose sur l'exécution du contrat associatif (l'adhésion). En revanche, ce fondement ne couvre que ce qui est nécessaire à la vie associative.
Les cinq obligations qui comptent
1. Tenir un registre des traitements
Un document simple qui liste vos traitements : gestion des adhérents, envoi de la lettre d'information, reçus fiscaux… Pour chacun : finalité, données utilisées, personnes ayant accès, durée de conservation. La CNIL fournit un modèle ; pour une association, deux pages suffisent souvent.
2. Ne collecter que le nécessaire
La date de naissance est-elle utile à votre fonctionnement ? La profession ? Si vous ne savez pas répondre « oui, parce que… », supprimez la colonne. Attention particulière aux données sensibles : santé, religion, opinions. Certaines associations en ont besoin par nature (une association cultuelle, une association de patients) — leur régime est plus strict.
3. Fixer des durées de conservation
La règle : les données d'un adhérent se conservent pendant l'adhésion, puis sont supprimées ou archivées. En pratique :
- adhérent actif : conservation normale ;
- ancien adhérent : jusqu'à 3 ans après le dernier contact (pour la relance) ;
- comptabilité et reçus fiscaux : 10 ans (obligation comptable) ;
- liste d'émargement d'une AG : la durée de contestation possible des délibérations.
4. Informer et respecter les droits
Le bulletin d'adhésion doit dire en une phrase qui traite les données, pourquoi, combien de temps, et comment exercer ses droits. Tout membre peut demander l'accès à ses données, leur rectification ou leur suppression (dans la limite des obligations légales — on ne supprime pas une écriture comptable).
5. Sécuriser le fichier
C'est le point le plus souvent négligé, et le plus concret :
- le tableur Excel envoyé par mail à tout le bureau est le pire scénario : copies incontrôlées, versions divergentes, aucune trace d'accès ;
- un outil de gestion centralisé avec comptes nominatifs et droits par rôle (le trésorier voit les paiements, l'animateur d'antenne voit sa section) règle l'essentiel ;
- les sauvegardes doivent être automatiques et le prestataire hébergé en Europe.
Et la newsletter ? Et les photos ?
Deux cas qui sortent du contrat d'adhésion :
- Lettre d'information à des non-membres : il faut leur consentement (case à cocher, non pré-cochée) et un lien de désinscription dans chaque envoi.
- Photos des membres sur le site : le droit à l'image s'ajoute au RGPD — une autorisation écrite est nécessaire, en particulier pour les mineurs.
Ce qu'il faut retenir
La conformité RGPD d'une association n'est pas une montagne : un registre simple, un fichier minimal et bien rangé, des durées de conservation décidées, une phrase d'information sur le bulletin d'adhésion, et un outil qui trace qui accède à quoi. Le bon outil fait la moitié du travail — le reste est une affaire de discipline collective.
Les outils de gestion d'adhérents que nous construisons intègrent ces exigences dès la conception : droits par rôle, historique des accès, durées de conservation paramétrables. Parlons-en.