Toutes les associations qui collectent des données personnelles (adhérents, donateurs, contacts) sont concernées par le RGPD. La bonne nouvelle : pour la grande majorité d'entre elles, la conformité tient en 5 étapes réalisables en quelques heures.
Pourquoi le RGPD vous concerne
Dès que votre association collecte :
- Coordonnées d'adhérents (nom, email, téléphone)
- Coordonnées de donateurs ou bénévoles
- Données financières (RIB pour cotisations)
- Photos de membres
- Données de santé (dans certaines associations)
vous traitez des données personnelles au sens du RGPD. Sanction maximale : 20 millions d'euros ou 4% du budget annuel.
Étape 1 — Faire l'inventaire
Listez tous les traitements de données dans votre association. Pour chacun :
- Quelle donnée (nom, mail, téléphone) ?
- Pour quelle finalité (gestion adhérents, communication) ?
- Quelle base légale (consentement, contrat, intérêt légitime) ?
- Combien de temps conservée ?
- Avec qui partagée (logiciel, prestataire, partenaire) ?
Cet inventaire devient votre registre des traitements.
Étape 2 — Tenir le registre des traitements
Le registre est obligatoire dès le premier traitement de données. Format libre (Excel, Word, logiciel dédié). Il doit contenir :
- La finalité de chaque traitement
- Les catégories de données
- Les catégories de personnes concernées
- Les destinataires des données
- La durée de conservation
- Les mesures de sécurité
À conserver et tenir à jour. La CNIL peut demander à le voir lors d'un contrôle.
Étape 3 — Informer les personnes
Lors de chaque collecte, vous devez informer la personne :
- Qui collecte (votre association)
- Pourquoi (finalité)
- Combien de temps conservé
- Quels droits (accès, rectification, suppression, portabilité, opposition)
- Comment les exercer
L'information se fait via une mention sur le formulaire d'adhésion ou sur votre site, et via une politique de confidentialité complète.
Restez conforme sans y penser
Registres tenus automatiquement, traçabilité des décisions, RGPD natif, archivage horodaté. Avec Assokit, votre conformité est construite par défaut, pas rattrapée en catastrophe.
Étape 4 — Sécuriser les données
Quelques mesures simples mais essentielles :
- Mots de passe forts sur tous les comptes
- Sauvegarde régulière des bases de données
- Accès limité aux personnes concernées (pas tout le monde sur tout)
- Chiffrement pour les données sensibles
- Suppression sécurisée des données obsolètes
Si vous utilisez un logiciel SaaS, vérifiez qu'il est hébergé en France ou en UE et propose les fonctionnalités RGPD (export, suppression).
Étape 5 — Gérer les demandes des personnes
Toute personne peut demander :
- Accès à ses données
- Rectification d'erreurs
- Suppression (« droit à l'oubli »)
- Portabilité vers un autre service
- Opposition au traitement
Vous devez répondre sous 1 mois maximum (3 mois si demande complexe). Tenez un registre des demandes reçues et de vos réponses.
Faut-il un DPO ?
Le DPO (Délégué à la Protection des Données) est obligatoire si :
- Traitement à grande échelle de données sensibles
- Surveillance systématique de personnes (vidéo, géoloc)
- Activités principales centrées sur le traitement de données
Pour 95% des associations, ce n'est pas obligatoire. Mais désigner un référent interne est une bonne pratique.
Cas particuliers
Photos d'événements
Avant de publier une photo identifiant une personne, recueillez son consentement écrit. Pour les événements ouverts au public, une affichette informative au lieu d'événement peut suffire.
Newsletter et communication
Toute newsletter nécessite un opt-in (consentement explicite). Pas de cases pré-cochées. Lien de désinscription dans chaque envoi.
Toutes vos pièces au même endroit, retrouvables en 2 clics
Statuts, PV, contrats, justificatifs : centralisés et sécurisés, hébergés en France. En cas de contrôle ou de passation, tout est prêt.
Vidéosurveillance
Caméras dans le local : déclaration à la CNIL + affichage informatif + délai de conservation < 30 jours.
FAQ
Une asso de 10 membres doit-elle faire tout ça ? Le minimum : tenir un registre des traitements, informer les membres, sécuriser les données. Le DPO et certaines formalités complexes ne sont pas requis.
Que faire en cas de fuite de données ? Notifier la CNIL sous 72 heures et informer les personnes concernées si la fuite leur cause un risque élevé. Modèle de notification disponible sur cnil.fr.
Le RGPD s'applique-t-il aux fichiers papier ? Oui, dès qu'ils sont structurés (fichier d'adhérents en classeur, par exemple). Mais les obligations sont moins strictes que pour les fichiers numériques.
🧩 Les outils Assokit sur ce sujet
Gérez votre association sans paperasse
Assokit réunit adhérents, cotisations, facturation, comptabilité analytique, projets et communication — l'outil tout-en-un pensé pour les associations loi 1901.