RGPD et associations : les questions fréquentes

Communication des données à des tiers

• Une commune qui subventionne une association ne peut pas exiger la liste nominative de ses adhérents. Elle peut demander la copie certifiée du budget et des comptes, et les documents faisant apparaître les résultats de l’activité.
• La communication à des tiers autorisés est possible si elle repose sur un texte. La demande doit être écrite ; vérifiez que le demandeur est cité par le texte et que le périmètre demandé ne le dépasse pas. Transmettez de façon sécurisée et gardez une trace de la demande et de la réponse.
• Un adhérent peut obtenir la liste des autres adhérents seulement si les statuts le prévoient et que la communication a un lien direct avec l’activité de l’association.

Photos et résultats sportifs

• Publier des photos de membres sur le site ou dans la revue est possible avec l’accord de la personne (et du représentant légal pour un mineur), de préférence écrit. La publication de photos de mineurs demande une vigilance particulière.
• Un club peut publier en ligne les résultats de ses licenciés s’ils en ont été informés à la collecte et peuvent s’y opposer simplement (case à cocher sur le formulaire de compétition).

Communication et prospection

• Courriels, courriers ou SMS sur la vie de l’association (événements, infolettre) : possible si les membres en ont été informés à la collecte et peuvent s’y opposer, simplement et gratuitement, à chaque envoi (lien de désinscription).
• Relances d’adhésion : la CNIL recommande de conserver les données d’un adhérent trois ans après la fin de son adhésion, avec possibilité de s’opposer à chaque sollicitation. Passé ce délai, l’association lui demande s’il souhaite continuer à être sollicité ; sinon ou sans réponse, ses données sont supprimées ou archivées.
• Échange de fichiers avec une autre association : pour la prospection caritative, les adhérents doivent avoir été informés, au moment de la collecte, de l’usage et de la transmission à des partenaires, et pouvoir s’y opposer par une case à cocher. Pour la prospection commerciale électronique, leur accord explicite est nécessaire.

Casier judiciaire, cookies, analyse d’impact

• Une association ne peut pas collecter l’extrait de casier judiciaire de ses salariés ou bénévoles : les organismes privés ne peuvent pas traiter de données relatives aux infractions, sauf exceptions, même avec le consentement de la personne.
• Cookies et traceurs : selon leur objet, il faut informer l’internaute ou obtenir son consentement avant le dépôt. Les outils de statistiques, boutons sociaux ou vidéos de plateformes tierces nécessitent le consentement.
• Analyse d’impact (AIPD) : pas obligatoire, sauf cas particuliers (grand nombre de données sensibles, données sensibles de personnes vulnérables, fichier qui empêche des personnes vulnérables de bénéficier d’un service). Elle comprend une description du traitement, une évaluation juridique et une étude des risques de sécurité.

Informer les futurs adhérents

Au moment de l’adhésion, précisez les finalités, les durées de conservation, les destinataires et les droits : mentions dans le formulaire d’adhésion, le livret d’accueil ou en bas des formulaires de contact. Adaptez l’information au public et complétez-la à l’oral.

Questions fréquentes