RGPD et fichier des adhérents : ce que votre association doit vraiment faire
- Oui, le RGPD s'applique à votre association
- Sur quelle base légale tenez-vous votre fichier ?
- Quelles données collecter — et lesquelles éviter
- Combien de temps conserver les données
- Le registre des traitements
- Informer les adhérents et répondre à leurs demandes
- Newsletter, appels aux dons et photos
- Le plan d'action en 6 étapes
L'essentiel en 30 secondes
- Le RGPD s'applique à tout organisme, quelle que soit sa taille — une association de 20 adhérents comprise.
- Les données d'un ancien adhérent se suppriment 3 ans après la fin de l'adhésion (les pièces comptables suivent leurs propres délais).
- Le registre des traitements concerne aussi les associations : un fichier adhérents tenu en continu n'est pas un traitement « occasionnel ».
- Les données sensibles bénéficient d'une exception associative encadrée — trois conditions cumulatives, pas une de moins.
Oui, le RGPD s'applique à votre association
Le règlement européen vise « tout organisme, quels que soient sa taille, son pays d'implantation et son activité » : la taille de l'association n'exonère de rien. Ce qui a changé depuis 2018, ce n'est pas l'existence des règles — la loi Informatique et Libertés les pose depuis 1978 — mais la méthode : plus de déclaration préalable des fichiers, et en contrepartie une obligation permanente de conformité, documentée par l'association elle-même.
La CNIL publie un guide de sensibilisation dédié aux associations, avec les notions clés, les grands principes, un plan d'action et une foire aux questions. C'est le document de référence à faire lire au secrétaire — et à la personne qui gère les inscriptions.
Sur quelle base légale tenez-vous votre fichier ?
Chaque traitement doit reposer sur une base légale identifiée. Pour une association, trois se rencontrent en pratique :
- L'exécution du contrat — l'adhésion. C'est la base naturelle de la gestion administrative des adhérents et licenciés : sans ces données, l'association ne peut pas exécuter ce que l'adhésion suppose.
- L'intérêt légitime de l'association — par exemple pour la prospection postale.
- Le consentement — libre, spécifique, éclairé et univoque : la base de la newsletter et des envois qui dépassent la relation d'adhésion.
Attention à un réflexe fréquent : ajouter une clause dans le bulletin d'adhésion ne rend pas un traitement « nécessaire au contrat ». La CNIL est explicite — la mention ou l'autorisation d'un traitement dans les clauses contractuelles n'a pas pour effet de le rendre nécessaire. Ce qui compte, c'est la nécessité objective.
Quelles données collecter — et lesquelles éviter
Principe de minimisation : on collecte ce qui sert un objectif déterminé et légitime, rien de plus. Nom, prénom, coordonnées, date d'adhésion, catégorie de cotisation, personne à prévenir en cas d'urgence pour une activité sportive : oui. Le numéro de sécurité sociale de l'adhérent ou de son représentant légal : la CNIL le cite explicitement comme un exemple de donnée non pertinente pour une association.
Les données sensibles (santé, opinions, convictions) sont en principe interdites. Une exception existe pour les associations, à trois conditions cumulatives : l'association poursuit un objectif politique, philosophique, religieux ou syndical ; le fichier se rapporte exclusivement à ses membres ou anciens membres — le règlement vise aussi les personnes entretenant avec l'organisme des contacts réguliers en lien avec ses finalités ; et ces données ne sortent pas de l'organisme sans l'accord des personnes. Hors de ce cadre — un certificat médical dans un club de sport, par exemple — la règle est de ne pas conserver plus que le strict nécessaire, et de restreindre drastiquement qui y a accès.
Bulletins, mentions d'information, registre : les bons documents
Subventia génère les documents du secrétariat de votre association — bulletins d'adhésion, courriers, registre des délibérations — et vous rappelle les échéances. Premier document offert.
Combien de temps conserver les données
| Données | Durée | Repère |
|---|---|---|
| Adhérent en cours d'adhésion | Durée de la relation | Base active |
| Ancien adhérent | 3 ans après la fin de l'adhésion | Recommandation CNIL (relance d'adhésion possible, opposition simple et gratuite) |
| Prospect / contact | 3 ans à compter du dernier contact, ou retrait du consentement | Guide CNIL des durées de conservation |
| Données de facturation | 10 ans | Archivage intermédiaire (code de commerce) |
Deux durées coexistent donc : celle du fichier « vivant » et celle des pièces qu'il faut pouvoir produire (comptabilité, subventions). Purger le fichier de contact n'oblige pas à détruire les justificatifs comptables — et inversement, garder une facture ne justifie pas de conserver l'adresse e-mail d'un ancien membre pour lui écrire. Nos durées de conservation des documents complètent le tableau côté archives.
Le registre des traitements
Le registre concerne « tous les organismes, publics comme privés, quelle que soit leur taille ». La dérogation prévue pour les structures de moins de 250 salariés est étroite : doivent y figurer, dans tous les cas, les traitements non occasionnels, ceux qui présentent un risque pour les droits et libertés, et ceux portant sur des données sensibles. Un fichier d'adhérents tenu en continu entre dans la première catégorie : il s'inscrit au registre.
Concrètement, le registre liste pour chaque traitement : la finalité, les catégories de personnes et de données, les destinataires, les délais d'effacement et une description générale des mesures de sécurité. La CNIL met à disposition un modèle de registre téléchargeable — pour une association, deux à quatre lignes suffisent le plus souvent : adhérents, dons, newsletter, éventuellement salariés.
Informer les adhérents et répondre à leurs demandes
Au moment où vous collectez les données — donc sur le bulletin d'adhésion et le formulaire en ligne — une mention doit indiquer : l'identité et les coordonnées de l'association, les finalités, la base légale, le caractère obligatoire ou facultatif des réponses, les destinataires, la durée de conservation, les droits des personnes, les coordonnées du délégué à la protection des données s'il existe, et le droit d'introduire une réclamation auprès de la CNIL.
Vos adhérents peuvent ensuite demander l'accès à leurs données, leur rectification, leur effacement, ou s'opposer à certains usages. Le délai de réponse est d'un mois pour une demande simple, prolongeable de deux mois pour une demande complexe — à condition d'informer la personne dans le mois. Les copies fournies dans le cadre d'un droit d'accès sont gratuites.
Newsletter, appels aux dons et photos
Newsletter et e-mails. La prospection par e-mail suppose en principe un consentement préalable, recueilli par une action positive (case non pré-cochée). Deux exceptions importantes pour le monde associatif : la prospection non commerciale, notamment caritative, et la relation existante pour des services similaires. Dans ces cas, l'information et un moyen simple et gratuit de s'opposer, à la collecte puis dans chaque message, suffisent. Le lien de désinscription n'est donc pas une politesse : c'est la condition du régime.
Échange de fichiers entre associations. Transmettre son fichier de donateurs à une association partenaire suppose que les personnes en aient été informées et aient pu s'y opposer préalablement — et un consentement explicite si la finalité devient commerciale par e-mail.
Photos. Utiliser une image où une personne est reconnaissable suppose son accord ; pour un mineur, l'autorisation écrite des parents est obligatoire. Une photo de groupe ou de scène collective où personne n'est individualisé échappe à cette exigence. Prévoyez une case d'autorisation sur le bulletin d'adhésion, et un moyen simple de la retirer.
Le plan d'action en 6 étapes
- Recenser les fichiers : adhérents, donateurs, bénévoles, newsletter, éventuellement salariés.
- Créer le registre à partir du modèle CNIL, une ligne par traitement.
- Trier : supprimer les données inutiles et celles dont la durée est dépassée (les anciens adhérents de plus de trois ans, en premier lieu).
- Mettre à jour les mentions d'information sur le bulletin d'adhésion, le formulaire en ligne et le site.
- Sécuriser : accès limités aux personnes qui en ont besoin, mots de passe individuels renouvelés, verrouillage automatique des sessions, antivirus, locaux et armoires fermés, sauvegardes.
- Désigner un référent — un délégué à la protection des données n'est obligatoire que dans des cas limités (organisme public, suivi à grande échelle, données sensibles à grande échelle), mais nommer une personne responsable du sujet est vivement recommandé.
En cas de manquement, la CNIL dispose d'une palette graduée : rappel à l'ordre, injonction de mise en conformité sous astreinte, et amendes — dont une procédure simplifiée plafonnée à 20 000 €, déjà utilisée à l'encontre d'une association. Pour une petite structure, le risque réel n'est pas l'amende record : c'est la plainte d'un ancien adhérent qui ne parvient pas à se faire supprimer d'une liste de diffusion.
Vos adhérents bien tenus, vos documents en règle
Subventia génère et classe les documents de votre association — bulletins, courriers, procès-verbaux, registres — et vous rappelle chaque échéance. Premier document offert.
Organiser mon secrétariatQuestions fréquentes
Le RGPD s'applique-t-il aux petites associations ?
Oui. Le règlement vise tout organisme, quels que soient sa taille, son pays d'implantation et son activité : une association de quelques dizaines d'adhérents est concernée au même titre qu'une grande structure. Il n'y a plus de déclaration préalable des fichiers, mais une obligation permanente de conformité que l'association documente elle-même.
Combien de temps garder les données d'un ancien adhérent ?
La CNIL recommande de supprimer les données des anciens membres 3 ans après la fin de l'adhésion. Pendant ce délai, l'association peut les relancer pour une réadhésion, à condition que la personne puisse s'y opposer de manière simple et gratuite. Les données de facturation, elles, se conservent 10 ans en archivage intermédiaire.
Une association doit-elle tenir un registre des traitements ?
Oui dans la quasi-totalité des cas. L'obligation concerne tous les organismes quelle que soit leur taille ; la dérogation prévue en dessous de 250 salariés ne dispense pas des traitements non occasionnels, à risque ou portant sur des données sensibles. Un fichier d'adhérents tenu en continu est un traitement non occasionnel : il doit figurer au registre. La CNIL propose un modèle téléchargeable.
Faut-il le consentement des adhérents pour envoyer une newsletter ?
La prospection par e-mail suppose en principe un consentement préalable recueilli par une action positive. Deux exceptions concernent directement les associations : la prospection non commerciale, notamment caritative, et la relation existante pour des services similaires. Dans ces cas, il faut informer les personnes et leur offrir un moyen simple et gratuit de s'opposer, lors de la collecte et dans chaque message.
Sources
Faits et chiffres vérifiés le 20 août 2026 sur les sources suivantes :
- CNIL — espace associations
- CNIL — guide de sensibilisation au RGPD pour les associations (PDF)
- CNIL — le registre des activités de traitement
- CNIL — les durées de conservation des données
- CNIL — information des personnes et transparence
- CNIL — répondre à une demande de droit d'accès
- CNIL — la prospection par courrier électronique
- Service-public.gouv.fr — droit à l'image