RGPD pour une association : fichier d'adhérents, photos et relances

Registre, information des adhérents, photos, relances, durée de conservation. Mise à jour le 1er novembre 2026.

En bref. Une association tient un registre de ses fichiers, informe ses adhérents dès l'adhésion, limite l'accès aux données et fixe des durées de conservation. La CNIL recommande de garder les informations d'un adhérent trois ans après la fin de son adhésion. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.

Le cadre

Adhérents, bénévoles, donateurs : des fichiers à encadrer

Quelle que soit sa taille, une association collecte des informations sur ses adhérents, bénévoles, usagers et parfois donateurs. Le guide de la CNIL à destination des associations, consulté le 01/11/2026, rappelle que les fichiers papier sont concernés au même titre que les tableurs et les bases en ligne. Nous n'allons pas au-delà de cette source : les cas particuliers (délégué à la protection des données, données sensibles) se règlent selon l'activité de l'association.

Pour les obligations de santé et sécurité d'une association employeuse, voir le DUERP d'une association. Pour le cadre général, voir Registre RGPD.

Les points de contrôle

Sept points à vérifier dans votre association

Association et RGPD, CNIL, consulté le 1er novembre 2026.
Sujet	Règle	Source
Registre	Une fiche par objectif de fichier : gestion des adhérents, cotisations, bénévoles, salariés, vidéosurveillance éventuelle.	cnil.fr, consulté le 01/11/2026
Information à l'adhésion	Indiquer responsable, objectif, base légale, destinataires, durée de conservation et droits ; une information orale s'ajoute utilement à l'écrit.	cnil.fr, consulté le 01/11/2026
Données demandées	Se limiter au nécessaire : un quotient familial pour un tarif préférentiel est pertinent, pas le numéro de sécurité sociale ni la carte Vitale.	cnil.fr, consulté le 01/11/2026
Accès aux fichiers	Cotisations visibles du seul personnel administratif, pas de tous les adhérents ni de tous les entraîneurs.	cnil.fr, consulté le 01/11/2026
Anciens adhérents	Recommandation de la CNIL : trois ans après la fin de l'adhésion, puis suppression ou archivage.	cnil.fr, consulté le 01/11/2026
Relances et lettre d'information	Informer à la collecte et permettre de s'opposer simplement et gratuitement à chaque envoi, par exemple un lien de désinscription.	cnil.fr, consulté le 01/11/2026
Violation de données	Documenter l'incident ; en cas de risque pour les personnes, le signaler à la CNIL dans les 72 heures.	cnil.fr, consulté le 01/11/2026

Concrètement

Ce que nous mettons en place pour une association

Un diagnostic RGPD express (1 h, dès 90 €) passe en revue vos fichiers, votre site et vos outils, puis remet un rapport de risque priorisé. Le registre des traitements et les mentions d'information démarrent à 120 €. Voir le Pack Conformité et Obligations légales et sociales. Pour une structure qui accueille des enfants, voir aussi le RGPD en crèche.

Questions fréquentes

RGPD en association : vos questions

Une association doit-elle tenir un registre RGPD ?

Oui. Le guide de la CNIL pour les associations indique que le RGPD impose de lister dans un registre les fichiers créés ou utilisés, avec une fiche par objectif (gestion des adhérents par exemple) : responsable, objectifs, catégories de personnes et de données, personnes ayant accès, durées de conservation, mesures de sécurité. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.

Combien de temps une association peut-elle garder les données d'un ancien adhérent ?

La CNIL recommande de conserver les informations d'un adhérent pendant trois ans à compter de la fin de son adhésion. Au-delà, l'association prend contact pour savoir si la personne souhaite continuer à recevoir des sollicitations ; sans réponse, les données sont supprimées ou archivées. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.

Une association peut-elle publier des photos de ses membres sur son site ?

Oui, si la personne photographiée (ou le responsable légal pour un mineur) a donné son accord, de préférence par écrit et pour des usages précis. La CNIL demande une vigilance particulière pour les photos de mineurs. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.

Une mairie peut-elle demander la liste des adhérents d'une association subventionnée ?

Non. Selon la CNIL, une commune ne peut pas demander la liste nominative des adhérents, même si elle verse une subvention. Elle peut en revanche demander la copie certifiée du budget et des comptes de l'exercice écoulé et les documents montrant les résultats de l'activité. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.

Un adhérent peut-il exiger la liste des autres adhérents ?

Seulement si les statuts de l'association le prévoient. Une association peut préciser dans ses statuts que l'adhésion implique d'accepter que ses coordonnées soient communiquées à un adhérent qui en fait la demande, avec un lien direct avec l'activité de l'association. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.

Une association peut-elle demander un extrait de casier judiciaire à ses bénévoles ?

Non. La CNIL précise que les associations ne peuvent pas collecter d'extrait de casier judiciaire de leurs salariés ou bénévoles : c'est une interdiction de principe que le consentement de la personne ne lève pas. Source : cnil.fr, Guide de sensibilisation au RGPD pour les associations, consulté le 01/11/2026.