Questions fréquentes sur le RGPD des associations

Oui, toutes les associations sont concernées par le RGPD, quelle que soit leur taille ou leur statut (loi 1901, fondation, etc.).

Dès que vous collectez des données personnelles (nom, email, téléphone, adresse...) de vos adhérents, donateurs, bénévoles ou salariés, vous êtes soumis au RGPD.

Même une petite association locale avec un simple fichier Excel de ses membres est concernée.

Une donnée personnelle est toute information permettant d'identifier directement ou indirectement une personne physique :

• Directement : nom, prénom, photo, numéro de sécurité sociale
• Indirectement : adresse email, numéro de téléphone, adresse IP, identifiant client

Certaines données sont dites "sensibles" et bénéficient d'une protection renforcée : données de santé, opinions politiques, convictions religieuses, origine ethnique, orientation sexuelle.

Les principales obligations sont :

• Tenir un registre des traitements : documenter tous vos fichiers contenant des données personnelles
• Informer les personnes : expliquer pourquoi vous collectez leurs données et quels sont leurs droits
• Recueillir le consentement : notamment pour les newsletters et communications marketing
• Sécuriser les données : protéger les informations contre les accès non autorisés
• Respecter les droits : permettre l'accès, la rectification, la suppression des données
• Notifier les violations : alerter la CNIL en cas de fuite de données

En savoir plus sur les obligations RGPD →

Le DPO (Délégué à la Protection des Données) est le gardien de la conformité RGPD de votre organisation. Ses missions principales :

• Informer et conseiller l'association sur ses obligations
• Contrôler le respect du RGPD
• Coopérer avec la CNIL et être le point de contact
• Gérer les demandes des personnes concernées

Le DPO peut être interne (un salarié) ou externe (un prestataire comme Asolys).

En savoir plus sur le DPO externalisé →

Le DPO est obligatoire si votre association :

• Traite des données sensibles à grande échelle (santé, opinions politiques, convictions religieuses...)
• Effectue un suivi régulier et systématique des personnes à grande échelle

Sont notamment concernées : les associations de santé, les associations politiques, les associations religieuses, les grandes fédérations sportives.

Pour les autres associations, le DPO n'est pas obligatoire mais fortement recommandé par la CNIL pour garantir une bonne gouvernance des données.

DPO interne :

• Salarié de l'association désigné comme DPO
• Doit être formé et avoir du temps dédié
• Coût : formation + temps de travail
• Risque de conflit d'intérêts

DPO externe (externalisé) :

• Prestataire spécialisé comme Asolys
• DPO professionnel, toujours à jour
• Coût maîtrisé et prévisible
• Indépendance garantie

Pour les associations, le DPO externalisé est souvent la solution la plus adaptée en termes de coût et d'expertise.

Le registre des traitements est un document obligatoire qui recense tous les traitements de données personnelles effectués par votre association.

Pour chaque traitement, vous devez documenter :

• La finalité (pourquoi vous collectez ces données)
• Les catégories de données concernées
• Les personnes concernées (adhérents, donateurs...)
• Les destinataires des données
• Les durées de conservation
• Les mesures de sécurité

C'est la pierre angulaire de votre conformité RGPD.

Les durées de conservation dépendent du type de données :

• Données des adhérents actifs : pendant la durée de l'adhésion
• Après fin d'adhésion : 3 ans maximum pour la prospection
• Données comptables : 10 ans (obligation légale)
• Reçus fiscaux : 6 ans
• Contrats de travail : 5 ans après la fin du contrat

Au-delà de ces durées, les données doivent être supprimées ou anonymisées.

La mise en conformité se fait en plusieurs étapes :

• 1. Diagnostic : identifier vos traitements et évaluer votre situation actuelle
• 2. Registre : créer et documenter votre registre des traitements
• 3. Information : mettre à jour vos mentions légales et politiques de confidentialité
• 4. Sécurité : mettre en place des mesures de protection adaptées
• 5. Procédures : définir les processus pour gérer les droits des personnes
• 6. Formation : sensibiliser vos équipes

Découvrir notre méthode en 4 étapes →

La CNIL peut prononcer différentes sanctions :

• Avertissement ou rappel à l'ordre
• Mise en demeure de se mettre en conformité
• Injonction de cesser le traitement
• Amende administrative jusqu'à 20 millions d'euros ou 4% du budget annuel

Au-delà des sanctions financières, une violation peut entraîner :

• Atteinte à la réputation
• Perte de confiance des adhérents et donateurs
• Difficultés avec les partenaires et financeurs

Oui, la CNIL contrôle les associations. Les contrôles peuvent être déclenchés par :

• Une plainte d'un adhérent, donateur ou salarié
• Un signalement suite à une fuite de données
• Un contrôle thématique (la CNIL définit chaque année des secteurs prioritaires)
• Un contrôle aléatoire

Plusieurs associations ont déjà été sanctionnées par la CNIL, y compris des associations de petite taille.

Le coût dépend de la taille et de la complexité de votre association. Chez Asolys, nous proposons des formules adaptées aux budgets associatifs :

• Échange gratuit : un premier point sans engagement pour savoir où vous en êtes
• Formules Suivi, Complet ou Sur-mesure : une proposition personnalisée selon la taille et les activités de votre association

Nos tarifs sont conçus pour être accessibles aux associations, bien en dessous des tarifs pratiqués pour les entreprises.

Demander un devis gratuit →

C'est possible, mais cela demande du temps et des compétences spécifiques. Voici ce qu'il faut prendre en compte :

• Temps nécessaire : plusieurs semaines/mois de travail
• Compétences : juridiques et techniques
• Risque d'erreur : une mauvaise interprétation peut coûter cher
• Veille : le RGPD évolue, il faut se tenir informé

L'accompagnement par un professionnel vous fait gagner du temps, vous sécurise juridiquement et vous permet de vous concentrer sur votre mission associative.

Oui, ce premier échange est gratuit et sans engagement.

Par téléphone ou en visioconférence, nous faisons le point avec vous pour que vous ayez une idée claire de l'endroit où en est votre association :

• Vos principaux traitements de données
• Les points à surveiller en priorité
• Les premières actions possibles

Vous êtes ensuite libre de mettre en œuvre nos recommandations par vous-même ou de nous confier l'accompagnement.

Demander un échange gratuit →