RGPD et association : ce qu'il faut savoir

Beaucoup d'associations pensent, à tort, que le RGPD ne concerne que les entreprises. Dès qu'une association collecte des informations sur ses adhérents — un nom, un email, une date de naissance — elle devient responsable de traitement au sens du règlement, au même titre qu'une société.

Pourquoi une association est concernée

Le RGPD s'applique dès qu'une organisation traite des données personnelles, quelle que soit sa taille ou son statut. Un fichier d'adhérents, une liste de diffusion email, un formulaire d'inscription à un événement : chacun de ces traitements entre dans le champ du règlement.

Les obligations concrètes, sans jargon

• Informer les adhérents de l'usage fait de leurs données — une simple mention sur le bulletin d'adhésion suffit dans la plupart des cas.
• Ne collecter que ce qui est réellement nécessaire à la gestion de l'association, pas des informations sans lien avec son activité.
• Sécuriser l'accès aux données — un tableur partagé sans protection, accessible à n'importe qui, n'est pas une pratique sérieuse.
• Permettre à un adhérent de demander la correction ou la suppression de ses données, sur simple demande.

Ce qui n'est pas exigé pour une petite association

Un délégué à la protection des données (DPO) n'est obligatoire que pour les organismes qui traitent des données à grande échelle ou des catégories particulières de données sensibles — ce n'est pas le cas de la grande majorité des associations. De même, un registre des traitements exhaustif et formalisé n'est pas attendu d'une petite structure : une version simple, qui liste les traitements effectués et leur finalité, suffit en pratique.