Une question revient souvent dans les associations : « Est-ce qu'on doit obligatoirement avoir un DPO ? » La réponse est presque toujours non. Mais quelqu'un doit tout de même piloter la conformité — c'est le référent RGPD.
DPO vs référent : quelle différence ?
Le DPO (Délégué à la Protection des Données) est un rôle formel défini par l'article 37 du RGPD. Il est obligatoire que dans trois cas :
- L'organisation est une autorité publique ou un organisme public
- Le traitement implique un suivi réguel et systématique à grande échelle de données sensibles
- Le traitement implique un suivi à grande échelle de données relatives à des condamnations pénales ou infractions
La grande majorité des associations n'est pas obligée de nommer un DPO. En revanche, désigner un référent RGPD en interne est indispensable pour piloter la conformité au quotidien.
Qui choisir comme référent ?
Il n'y a pas de profil type. Le référent RGPD n'a pas besoin d'être juriste ni certifié DPO. Voici les profils qui fonctionnent le mieux en association :
✅ Le secrétaire
Connaît l'organisation, gère déjà les documents officiels. Souvent le meilleur choix pour une petite asso.
✅ Le responsable informatique
Comprend les outils, les accès et la sécurité. Idéal si l'asso a un SI un peu développé.
✅ Un administrateur motivé
Un membre du CA qui s'intéresse au sujet et a le sens de l'organisation. La motivation prime sur la technique.
⚠️ Le président seul
Souvent trop sollicité. Le rôle de référent demande du suivi régulier, pas seulement des décisions.
Le rôle du référent RGPD en pratique
Le référent n'a pas à tout faire lui-même. Son rôle est de coordonner et de veiller :
- Tenir le registre à jour (voir notre guide sur le registre des traitements)
- Vérifier les nouveaux outils avant adoption (CRM, plateforme de dons, billetterie…)
- Coordonner les réponses aux demandes de droits (accès, suppression) dans le délai d'un mois
- Organiser la sensibilisation de l'équipe et des bénévoles clés
- Préparer les revues trimestrielles de conformité
- Servir de point de contact en cas de contrôle CNIL
En régime de croisière, le rôle de référent représente 1 à 2 heures par mois pour une association d'une à quelques antennes. C'est surtout une affaire de régularité, pas de volume.
Le piège : tout repose sur une seule personne
C'est le scénario le plus fréquent et le plus dangereux : un référent motivé porte toute la conformité, puis il part — déménagement, fin de mandat, burn-out — et tout s'écroule. Le registre n'est plus à jour, personne ne sait où sont les documents, et l'association est moins protégée qu'avant.
Comment éviter ce piège
- Documentez tout — le registre, les procédures et les décisions doivent être écrits, pas dans la tête du référent
- Formez un suppléant — une deuxième personne qui connaît le système et peut prendre le relais
- Centralisez les accès — un outil dédié (comme RGPD-Pilot) plutôt que des fichiers dispersés sur les Drive personnels
- Prévoyez la transition — intégrez un point "RGPD" dans le passage de témoin lors des changages de bureau
Question simple : « Si le référent RGPD partait demain, l'association serait-elle capable de retrouver son registre, ses preuves et ses échéances ? » Si la réponse est non, c'est qu'il faut documenter et partager.
Et si l'association est trop petite ?
Pour une toute petite association (quelques adhérents, un seul outil), le référent peut être le président ou le trésorier lui-même. Le registre est simple, les traitements sont peu nombreux. L'important est de faire le minimum : un registre, des mots de passe individuels, des clauses avec les prestataires.
Et si l'association est un réseau ?
Pour un réseau associatif avec un siège et des antennes, la gouvernance est différente :
- Au siège : un référent RGPD qui coordonne la politique globale
- À chaque antenne : un correspondant local qui remonte les informations au siège
- Un registre consolidé qui couvre à la fois les traitements du siège et ceux des antennes
La plateforme permet au référent siège de piloter l'ensemble du réseau, avec un registre consolidé, des actions par antenne, et un historique centralisé. Chaque correspondant local a accès à sa partie, le siège a la vue d'ensemble.
Les 3 premières actions d'un nouveau référent
- Faire l'inventaire — lister tous les outils qui contiennent des données personnelles
- Créer ou mettre à jour le registre — c'est la base, tout le reste en découle
- Identifier les écarts prioritaires — pas de clause avec le prestataire de dons ? Pas de procédure de réponse aux droits ? Ce sont les premiers à combler