Dans notre accompagnement d'associations — d'une structure locale à un réseau national de 40 antennes — nous avons vu passer les mêmes erreurs, encore et encore. Pas par négligence, mais parce que le RGPD n'est pas pensé pour le fonctionnement réel d'une association.
Voici les 5 erreurs les plus fréquentes, pourquoi elles posent problème, et surtout comment les corriger.
« On lance une campagne de dons sans consentement clair »
Le formulaire de don est en ligne, il fonctionne — mais la case « je souhaite recevoir la newsletter » est pré-cochée. Ou pire : il n'y a pas de case du tout, et l'association considère que tout donateur a automatiquement accepté d'être contacté.
Le problème : le RGPD exige un consentement libre, spécifique, éclairé et univoque (Art. 6-7). Une case pré-cochée n'est pas un consentement valide. En cas de contrôle, c'est une violation caractérisée.
Case à cocher non pré-cochée pour la newsletter. Mention claire sur l'usage des données. Lien vers la politique de confidentialité sur le formulaire. Durée de conservation affichée (6 ans pour les reçus fiscaux).
« On accueille des mineurs sans autorisation parentale pour leurs données »
L'association organise des colonies, des ateliers, des activités avec des mineurs. Les fiches d'inscription collectent nom, prénom, date de naissance, parfois des informations de santé (allergies, médicaments). Mais aucune autorisation parentale explicite n'est recueillie pour le traitement de ces données.
Le problème : l'article 8 du RGPD impose une protection renforcée pour les mineurs. Sans autorisation parentale, le traitement est illicite. En cas d'incident (fuite de données, accès non autorisé), l'association est en tort.
Ajouter une section « Autorisation parentale » sur le formulaire d'inscription : nom du représentant légal, signature, date. Préciser la finalité (organisation de l'activité, gestion sanitaire). Conserver cette autorisation avec la fiche.
« Notre référente RGPD est partie — et tout est parti avec elle »
Une bénévole motivée a pris en charge la conformité. Elle a créé le registre, mis en place les clauses, organisé la sensibilisation. Puis elle a déménagé, changé de travail, ou simplement arrêté son bénévolat. Tout le savoir est parti avec elle : le registre sur son Drive personnel, les contacts des prestataires dans sa boîte mail, les procédures dans sa tête.
Le problème : l'association revient à zéro. Le registre n'est plus à jour, personne ne sait où sont les preuves, et en cas de contrôle, tout est à reconstruire. C'est le piège du « bus factor » — que se passe-t-il si une personne clé disparaît ?
Centraliser les documents dans un outil partagé (pas un Drive personnel). Former un suppléant. Documenter les procédures par écrit. Prévoir un passage de témoin structuré lors des changements de bureau. Le savoir doit vivre dans l'organisation, pas dans une personne.
« Bénévoles et salariés : on ne fait pas la différence »
Dans beaucoup d'associations, les bénévoles ont accès aux mêmes données que les salariés. Le trésorier bénévole consulte les fichiers de paie. Un bénévole événementiel accède à la liste complète des adhérents. Aucune distinction d'accès n'est faite selon le rôle.
Le problème : le RGPD impose le principe du « besoin d'en connaître » (Art. 5 §1 c). Un bénévole qui aide sur un événement n'a pas besoin d'accéder aux données bancaires des adhérents. Un accès trop large = un risque trop large.
Définir des niveaux d'accès par rôle : le trésorier voit les cotisations, le responsable événementiel voit les inscrits, le référent RGPD voit le registre. Réviser ces accès une fois par an, surtout lors des départs.
« On ne sait pas combien de temps on garde les données des adhérents »
La liste des adhérents grandit chaque année. Les anciens membres sont toujours dans le fichier. Certaines données datent de 10 ans, 15 ans. Personne ne sait quand supprimer, alors on garde tout « au cas où ».
Le problème : le RGPD exige une durée de conservation définie et justifiée (Art. 5 §1 e). Garder des données « au cas où » n'est pas une justification. Plus vous gardez de données, plus le risque en cas de fuite est élevé.
Définir une règle simple et l'inscrire au registre : « 3 ans après la dernière cotisation » pour les adhérents. Puis purger automatiquement. Pour les données comptables (reçus, factures) : 6 ans (obligation comptable). Pour les données de dons : 6 ans (reçu fiscal). Le reste : à définir cas par cas, mais jamais « indéfiniment ».
Et vous ? Lesquelles s'appliquent chez vous ?
Ces 5 erreurs ne sont pas exhaustives — mais elles couvrent la grande majorité des situations que nous rencontrons sur le terrain. Le point commun : toutes se corrigent en moins d'une journée, une fois qu'on les a identifiées.
Une seule de ces erreurs peut suffire à justifier une mise en demeure de la CNIL. Le coût de correction est minime par rapport au coût d'un contrôle qui tourne mal.
L'audit gratuit RGPD-Pilot scanne votre situation en 2 minutes et vous dit exactement lesquelles de ces 5 erreurs s'appliquent chez vous — avec un plan d'action priorisé pour les corriger.