Guide sectoriel

RGPD pour associations : guide complet et audit gratuit 2026

Les associations loi 1901, même de petite taille, sont pleinement soumises au RGPD dès qu'elles traitent des données personnelles : membres, adhérents, donateurs, bénévoles, bénéficiaires, salariés. La CNIL a publié un guide spécifique pour les associations (2018, mis à jour 2023) reconnaissant la spécificité du secteur tout en confirmant les obligations. Les obligations principales : registre des traitements simplifié (modèle CNIL disponible), information des membres, gestion des cotisations et dons (CRM type AssoConnect, HelloAsso), sécurisation des données sensibles (santé pour associations médicales, opinions pour associations politiques/religieuses Art. 9 RGPD), gestion des bénévoles (RH light), conventions avec collectivités (transferts de fichiers). Les associations recevant subventions publiques sont contrôlées plus fréquemment. Les associations religieuses, syndicales, politiques traitent des données Art. 9 et nécessitent vigilance renforcée.

5 obligations RGPD spécifiques aux associations

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Registre des traitements simplifié obligatoire

Modèle CNIL allégé pour associations < 250 membres : finalité, données traitées, durée, destinataires. Obligatoire dès le premier traitement (gestion membres, cotisations, newsletter). Mise à jour annuelle.

2

Information des adhérents à l'inscription

Note d'information (Art. 13 RGPD) lors de l'adhésion : finalités (gestion, cotisation, newsletter, événements), destinataires (CRM, hébergeur, bénévoles), droits, contact responsable. Affichage local + bulletin.

3

Sécuriser CRM associatif (HelloAsso, AssoConnect, Yapla)

Outils du marché souvent conformes mais convention sous-traitance Art. 28 à signer. Vérifier hébergement (UE), accès par habilitations, durées paramétrables, export des données possible.

4

Encadrer les données sensibles (santé, opinions, religion)

Associations médicales, religieuses, politiques, syndicales : données Art. 9 RGPD. Base légale spécifique (consentement explicite ou intérêt public), sécurité renforcée, DPO recommandé.

5

Conserver les données selon la nature de la relation

Membres actifs : durée adhésion + 3 ans. Donateurs : 6 ans (Art. 1742 CGI). Bénévoles : durée mission + 5 ans (RC). Newsletter : jusqu'à désinscription. Comptabilité : 10 ans.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2022
Mise en demeure publique
Association sportive (mise en demeure)

Fichier adhérents avec données santé non sécurisé, partage non encadré entre dirigeants.

CNIL MED-2022-018
2021
30 000 €
Fédération syndicale

Conservation excessive de données d'opinions syndicales, défaut d'information adhérents.

CNIL délibération sectorielle
2023
Mise en demeure
Association caritative

Cession non consentie de fichier donateurs à association partenaire.

CNIL MED-2023-005

Comment vérifier votre conformité RGPD en tant que associations

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Une association de 30 membres est-elle vraiment soumise au RGPD ?
Oui pleinement. Le RGPD ne fixe aucun seuil. Registre simplifié obligatoire, information des membres, sécurité minimale. Modèle CNIL adapté disponible.
HelloAsso est-il conforme RGPD ?
Oui, HelloAsso (FR) est conforme RGPD avec hébergement UE et DPA disponible dans l'espace association. Convention sous-traitance Art. 28 à signer.
Puis-je envoyer ma newsletter à mes membres sans consentement ?
Newsletter d'information association à ses membres : OK (intérêt légitime). Newsletter prospection ou partenaires : consentement explicite obligatoire (opt-in).
Mon association religieuse traite des données sensibles : quelles obligations ?
Données Art. 9 RGPD (opinions, religion) : base légale consentement explicite, sécurité renforcée, DPO recommandé, registre détaillé, droit d'opposition facilité.
Combien de temps conserver les coordonnées d'un donateur ?
6 ans pour reçu fiscal (Art. 1742 CGI). Au-delà : anonymisation ou consentement explicite pour sollicitations futures. Suppression sur demande sous 1 mois.
Puis-je échanger mon fichier membres avec une association partenaire ?
Non sans consentement explicite préalable des membres. Cession ou partage de fichier = traitement supplémentaire nécessitant base légale propre. Risque amende important.
Dois-je nommer un DPO pour mon association de 200 membres ?
Non obligatoire pour association classique. Recommandé si traitement données sensibles ou grande échelle (>1000 membres). DPO mutualisé via fédération ou bénévole formé.
Mes bénévoles doivent-ils signer une clause de confidentialité ?
Très recommandé. Accord de confidentialité simple précisant : interdiction usage hors association, suppression des données après mission, sanctions en cas de manquement.

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.