Le RGPD pour une association s'applique dès que l'association traite des données personnelles : noms, adresses, e-mails, photos, dons. Elle doit alors tenir un registre de ses fichiers, informer les personnes, répondre à leurs demandes dans le mois, sécuriser les données et signaler à la CNIL toute violation dans les 72 heures. Aucune déclaration préalable à la CNIL n'est nécessaire.
À jour au 28 octobre 2026. Source principale : le guide de sensibilisation au RGPD pour les associations de la CNIL.
Le RGPD pour les associations en bref
| Question | Réponse |
|---|---|
| Mon association est-elle concernée ? | Oui, quelle que soit sa taille, dès qu'elle traite des données personnelles (fichier d'adhérents, donateurs, bénévoles, photos) |
| Faut-il déclarer les fichiers à la CNIL ? | Non, sauf exceptions dans le domaine de la santé |
| Faut-il un registre des traitements ? | Oui en pratique : la dérogation prévue pour les structures de moins de 250 salariés est limitée à des cas très particuliers |
| Faut-il un DPO ? | Pas en général. La CNIL le recommande, et il peut être obligatoire dans certains cas (par exemple le secteur social et médico-social) |
| Quel délai pour répondre à une demande ? | 1 mois, prolongeable sous conditions, sans dépasser 3 mois |
| Que faire en cas de fuite de données ? | La documenter et, s'il y a un risque pour les personnes, la signaler à la CNIL dans les 72 heures |
Le RGPD s'applique-t-il à mon association ?
Oui. Le RGPD est applicable depuis le 25 mai 2018 et reprend les principes de la loi Informatique et Libertés de 1978. Une association traite des données personnelles dès qu'elle tient :
- un fichier d'adhérents (nom, adresse, e-mail, téléphone) ;
- une liste de newsletter ou de donateurs ;
- des inscriptions à des événements ;
- des photos de personnes identifiables ;
- des données de salariés ou de bénévoles.
Un fichier papier est concerné comme un fichier numérique. Il n'existe pas de seuil minimal de membres.
Les obligations essentielles
1. Recenser les fichiers et tenir un registre
Le registre est un document écrit, papier ou électronique, qui recense vos fichiers. Pour chaque activité (gestion des adhérents, des dons, de la communication, des bénévoles), notez la finalité, les catégories de données et de personnes, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL propose un modèle simplifié gratuit. Comptez une à deux heures la première fois.
2. Choisir une base légale pour chaque fichier
Chaque usage de données repose sur une base légale :
- le contrat : gérer une adhésion ou un don, envoyer un reçu ;
- l'obligation légale : conserver les pièces comptables ;
- l'intérêt légitime : par exemple recontacter d'anciens adhérents pour une réadhésion, dans le respect des droits des personnes ;
- le consentement : libre, spécifique, éclairé et univoque, par exemple pour une newsletter à des sympathisants. Une case pré-cochée ne vaut pas consentement.
3. Informer les personnes
À chaque collecte (bulletin d'adhésion, formulaire de don, inscription), indiquez qui est responsable du fichier, pourquoi vous collectez les données, la base légale, la durée de conservation, les droits des personnes, le moyen de les exercer et la possibilité de réclamer auprès de la CNIL. Voir notre modèle de bulletin d'adhésion conforme au RGPD.
4. Ne conserver que le nécessaire
Les données ne peuvent pas être conservées indéfiniment. Pour les anciens adhérents, la CNIL recommande de supprimer les données trois ans après la fin de l'adhésion. Les pièces comptables et fiscales suivent leurs propres délais légaux : par exemple 10 ans pour les documents fiscaux (article L102 B du Livre des procédures fiscales, loi n° 2026-534 du 25 juin 2026, article 36, pour les délais qui expirent après le 1er janvier 2027). Voir notre guide du reçu fiscal.
5. Respecter les droits des personnes
Toute personne peut demander l'accès à ses données, leur rectification, leur effacement, la limitation du traitement, la portabilité, ou s'opposer à un traitement (notamment la prospection). Vous devez répondre dans un délai court, 1 mois au maximum. Si une demande est complexe, la personne doit être informée de la prolongation dans ce même mois, et la réponse ne peut dépasser 3 mois. Le droit à l'effacement n'est pas absolu : vous pouvez garder ce qu'impose une obligation légale, comme les justificatifs comptables.
6. Sécuriser les données
- Limitez l'accès aux personnes qui en ont besoin, avec des profils d'accès distincts.
- Utilisez des mots de passe robustes et retirez les accès des dirigeants sortants.
- Faites des sauvegardes régulières.
- Évitez les copies multiples d'un même fichier, par exemple un tableur envoyé par e-mail.
- Encadrez vos prestataires (hébergeur, outil d'e-mailing, solution de paiement) par un contrat de sous-traitance conforme.
7. Signaler les violations de données
Une perte, un vol, un e-mail envoyé au mauvais destinataire ou une fuite est une violation de données. Documentez-la. S'il existe un risque pour les personnes, signalez-la à la CNIL dans les 72 heures, en ligne sur son site. Si le risque est élevé, informez aussi les personnes concernées.
