Sector guide

GDPR for Associations: complete guide and free audit 2026

Les associations loi 1901, même de petite taille, sont pleinement soumises au RGPD dès qu'elles traitent des données personnelles : membres, adhérents, donateurs, bénévoles, bénéficiaires, salariés. La CNIL a publié un guide spécifique pour les associations (2018, mis à jour 2023) reconnaissant la spécificité du secteur tout en confirmant les obligations. Les obligations principales : registre des traitements simplifié (modèle CNIL disponible), information des membres, gestion des cotisations et dons (CRM type AssoConnect, HelloAsso), sécurisation des données sensibles (santé pour associations médicales, opinions pour associations politiques/religieuses Art. 9 RGPD), gestion des bénévoles (RH light), conventions avec collectivités (transferts de fichiers). Les associations recevant subventions publiques sont contrôlées plus fréquemment. Les associations religieuses, syndicales, politiques traitent des données Art. 9 et nécessitent vigilance renforcée.

5 GDPR obligations specific to Associations

These points are systematically checked during a DPA audit in your sector.

1

Registre des traitements simplifié obligatoire

Modèle CNIL allégé pour associations < 250 membres : finalité, données traitées, durée, destinataires. Obligatoire dès le premier traitement (gestion membres, cotisations, newsletter). Mise à jour annuelle.

2

Information des adhérents à l'inscription

Note d'information (Art. 13 RGPD) lors de l'adhésion : finalités (gestion, cotisation, newsletter, événements), destinataires (CRM, hébergeur, bénévoles), droits, contact responsable. Affichage local + bulletin.

3

Sécuriser CRM associatif (HelloAsso, AssoConnect, Yapla)

Outils du marché souvent conformes mais convention sous-traitance Art. 28 à signer. Vérifier hébergement (UE), accès par habilitations, durées paramétrables, export des données possible.

4

Encadrer les données sensibles (santé, opinions, religion)

Associations médicales, religieuses, politiques, syndicales : données Art. 9 RGPD. Base légale spécifique (consentement explicite ou intérêt public), sécurité renforcée, DPO recommandé.

5

Conserver les données selon la nature de la relation

Membres actifs : durée adhésion + 3 ans. Donateurs : 6 ans (Art. 1742 CGI). Bénévoles : durée mission + 5 ans (RC). Newsletter : jusqu'à désinscription. Comptabilité : 10 ans.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2022
Mise en demeure publique
Association sportive (mise en demeure)

Fichier adhérents avec données santé non sécurisé, partage non encadré entre dirigeants.

CNIL MED-2022-018
2021
30 000 €
Fédération syndicale

Conservation excessive de données d'opinions syndicales, défaut d'information adhérents.

CNIL délibération sectorielle
2023
Mise en demeure
Association caritative

Cession non consentie de fichier donateurs à association partenaire.

CNIL MED-2023-005

How to check your GDPR compliance as Associations

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Une association de 30 membres est-elle vraiment soumise au RGPD ?
Oui pleinement. Le RGPD ne fixe aucun seuil. Registre simplifié obligatoire, information des membres, sécurité minimale. Modèle CNIL adapté disponible.
HelloAsso est-il conforme RGPD ?
Oui, HelloAsso (FR) est conforme RGPD avec hébergement UE et DPA disponible dans l'espace association. Convention sous-traitance Art. 28 à signer.
Puis-je envoyer ma newsletter à mes membres sans consentement ?
Newsletter d'information association à ses membres : OK (intérêt légitime). Newsletter prospection ou partenaires : consentement explicite obligatoire (opt-in).
Mon association religieuse traite des données sensibles : quelles obligations ?
Données Art. 9 RGPD (opinions, religion) : base légale consentement explicite, sécurité renforcée, DPO recommandé, registre détaillé, droit d'opposition facilité.
Combien de temps conserver les coordonnées d'un donateur ?
6 ans pour reçu fiscal (Art. 1742 CGI). Au-delà : anonymisation ou consentement explicite pour sollicitations futures. Suppression sur demande sous 1 mois.
Puis-je échanger mon fichier membres avec une association partenaire ?
Non sans consentement explicite préalable des membres. Cession ou partage de fichier = traitement supplémentaire nécessitant base légale propre. Risque amende important.
Dois-je nommer un DPO pour mon association de 200 membres ?
Non obligatoire pour association classique. Recommandé si traitement données sensibles ou grande échelle (>1000 membres). DPO mutualisé via fédération ou bénévole formé.
Mes bénévoles doivent-ils signer une clause de confidentialité ?
Très recommandé. Accord de confidentialité simple précisant : interdiction usage hors association, suppression des données après mission, sanctions en cas de manquement.

Audit your site in 60 seconds

Free GDPR scan. No credit card.