Cliquez sur un tuto pour ouvrir la procédure complète, étape par étape.
Fondamental · 15 min
Tenir un registre des traitements à jour
Objectif : avoir un registre des traitements prêt à montrer le jour d'un contrôle CNIL — et qu'il reste à jour dans 6 mois.
Le registre est le premier document demandé lors d'un contrôle CNIL. Ce n'est pas une formalité administrative : c'est la carte de toutes les données personnelles que votre association traite. S'il est vide, obsolète ou introuvable, c'est le premier signal négatif pour les inspecteurs.
Étape 1 : Lister tous les traitements de votre association
Faites l'inventaire. Listez tout ce que vous faites avec des données personnelles : gestion des adhérents, liste des donateurs, dossiers des bénéficiaires, gestion des bénévoles, paie des salariés, site web, newsletters, vidéosurveillance, photos d'événements.
Pour chaque traitement, notez : le nom, la finalité (pourquoi vous le faites), les catégories de données (état civil, email, santé, photo…), les destinataires (qui y a accès), la durée de conservation, et la base légale (consentement, contrat, obligation légale…).
N'oubliez pas les sous-traitants. Chaque prestataire qui traite vos données (hébergeur, CRM, comptable externalisé) a son propre traitement à mentionner.
Étape 2 : Remplir selon le modèle CNIL simplifié
La CNIL fournit un modèle de registre simplifié pour les TPE et associations, pré-rempli avec des exemples par secteur. Les champs essentiels : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité.
Astuce : commencez avec ce modèle, puis adaptez-le. Un registre simple mais à jour vaut mieux qu'un registre sophistiqué mais obsolète.
Étape 3 : Désigner un responsable de la mise à jour
Le registre se périme vite : nouveau logiciel, nouveau prestataire, nouveau bénévole. Désignez une personne (référent RGPD ou salarié dédié) responsable de le mettre à jour, et fixez un réexamen annuel (ex: chaque mois d'octobre). C'est ce que la CNIL vérifie : pas seulement que le registre existe, mais qu'il est vivant.
À retenir : la question n'est pas « avons-nous un registre ? » mais « serait-il prêt si la CNIL le demandait demain ? ». Un registre créé il y a plus de 6 mois et jamais mis à jour est déjà obsolète.
Fondamental · 10 min
Recueillir un consentement valable
Objectif : formaliser des consentements libres, spécifiques et révocables pour vos photos, newsletters et collectes d'adhérents.
Beaucoup de contentieux RGPD en association viennent d'un consentement mal recueilli : case pré-cochée, consentement implicite, ou photo publiée sans accord. Un consentement valable doit être libre, spécifique, éclairé et révocable.
Les 4 règles d'un consentement valable
Libre : pas de case pré-cochée. La personne doit faire une action claire pour consentir (cocher, signer, cliquer « j'accepte »). Refuser ne doit pas empêcher l'accès au service.
Spécifique : un consentement par usage. « J'accepte la newsletter » n'autorise pas à utiliser les données pour autre chose.
Éclairé : la personne sait exactement à quoi elle consent : quelles données, pour quoi, pendant combien de temps, qui y a accès.
Réversible : le retrait du consentement doit être aussi simple que son accord. Indiquez toujours comment se désinscrire.
Cas concrets
Photos d'événements : prévoir un formulaire d'autorisation photo avec consentement écrit, détaillant l'usage (site, réseaux, presse). Révoquer dès que demandé.
Newsletter : consentement explicite à l'inscription + lien de désabonnement fonctionnel dans chaque envoi.
Adhésion : distinguer le contrat d'adhésion (base légale = contrat) des communications marketing (base = consentement séparé).
Mineurs : si vous collectez les données de mineurs, un consentement parental est nécessaire.
Preuve : le jour d'un contrôle, vous devrez prouver que le consentement a été recueilli. Conservez la date, la version du formulaire et la trace de l'action (log, horodatage).
Formule à copier dans vos formulaires :
« En cochant cette case, j'accepte que [Nom de l'association] utilise mes données pour [finalité]. Je peux retirer mon consentement à tout moment en écrivant à [email]. »
Fondamental · 10 min
Répondre à une demande de droits en 30 jours
Objectif : avoir une procédure simple et datée pour répondre aux demandes d'accès, d'effacement et de rectification, dans le délai légal d'un mois.
Un adhérent, un bénévole ou un donateur peut demander à voir toutes les données que vous détenez sur lui, à les corriger ou à les effacer. Vous avez 1 mois pour répondre. Sans procédure, une seule demande peut déjà créer un contentieux.
Les droits concernés (Art. 12 à 22 RGPD)
Droit d'accès : la personne peut obtenir une copie de ses données et la liste des traitements la concernant.
Droit de rectification : corriger des données inexactes.
Droit à l'effacement (« droit à l'oubli ») : supprimer ses données, sous conditions.
Droit d'opposition : s'opposer à un traitement (ex: prospection).
La procédure à mettre en place
Centralisez les demandes. Désignez une adresse dédiée (ex: rgpd@votreasso.fr) et vérifiez-la régulièrement. C'est souvent l'oubli qui coûte : une demande qui traîne dans une boîte générique.
Enregistrez la demande avec la date de réception. Le délai d'un mois commence ce jour-là.
Vérifiez l'identité du demandeur (sans excès — demandez juste assez pour être sûr). Conservez la preuve de vérification.
Répondez sous 1 mois. Si la demande est complexe, vous pouvez la prolonger de 2 mois en prévenant la personne, mais ne laissez jamais sans réponse.
Documentez chaque étape avec dates : réception, réponse, contenu. C'est votre preuve en cas de contrôle ou de plainte.
Point de vigilance : un refus de donner suite doit être motivé et notifié dans le même délai. Sans réponse du tout, la CNIL considère qu'il y a manquement, même si vous aviez des raisons de ne pas accéder.
Modèle de réponse type :
« Nous accusons réception de votre demande du [date]. Après vérification, voici les données que notre association détient sur vous : [liste]. Vous pouvez les corriger ou demander leur effacement en répondant à ce message. »
Fondamental · 10 min
Sécuriser vos prestataires (clauses DPA)
Objectif : vous assurer que chaque prestataire qui traite vos données a signé un contrat de sous-traitance conforme (DPA).
Hébergeur du site, CRM adhérents, outil de newsletters, comptable externalisé, prestataire de paiement : tous traitent vos données pour votre compte. Ce sont des sous-traitants, et le RGPD impose un contrat de sous-traitance (DPA) avec chacun. C'est un point que la CNIL vérifie systématiquement.
Comment vérifier et sécuriser
Listez tous vos prestataires qui accèdent à des données personnelles de membres, adhérents, donateurs ou salariés.
Vérifiez les contrats existants. Beaucoup de gros outils (Google Workspace, CRM SaaS, hébergeurs) fournissent un DPA standard à signer en quelques clics depuis leur interface.
Pour les prestataires sans DPA (souvent les petits, comptables, artisans), faites signer les clauses types CNIL. Ne signez jamais un contrat qui ne mentionne pas le RGPD.
Archivez les DPA signés avec la date. C'est votre preuve le jour du contrôle.
Révisez chaque année (ex: janvier). L'association change de prestataire, un prestataire change ses conditions : le DPA doit suivre.
Responsabilité : vous restez responsable du traitement, même si le sous-traitant commet une erreur. Un DPA protège votre association et clarifie le partage des responsabilités, mais ne vous décharge pas.
À ne pas faire : envoyer une liste d'adhérents (emails, téléphones) par un outil non sécurisé, ou à un prestataire sans clause RGPD, « parce que c'est un bon relationnel ». Le relationnel ne protège pas en cas de fuite.
Terrain · 5 min
Mots de passe et accès individuels
Objectif : sécuriser les accès pour éviter qu'un ancien bénévole ou un mot de passe partagé expose les données.
La sécurité des accès est le fondement le plus simple à mettre en place — et l'un des premiers points contrôlés. Un accès non révoqué après le départ d'un bénévole, c'est un risque immédiat.
Les 3 réflexes qui protègent
Un compte par personne, jamais partagé. Chaque bénévole et salarié a son propre login. Le partage de mot de passe est interdit par le RGPD.
Révoquez l'accès le jour du départ. Quand un bénévole part, désactivez immédiatement son compte. C'est l'oubli n°1 : l'ancien accès reste actif des mois après le départ.
Verrouillez l'écran en quittant le poste. Écran de veille avec mot de passe après quelques minutes d'inactivité. Un poste déverrouillé dans un espace partagé, c'est une porte ouverte.
En pratique
Mot de passe suffisamment long et unique par service (ne réutilisez pas le même partout).
Activez la double authentification (2FA) sur votre messagerie et vos outils contenant des données de membres.
Si vous partagez un ordinateur ou une tablette entre bénévoles, créez des sessions/profils séparés, pas un compte commun.
Le réflexe : à chaque arrivée, on crée un compte ; à chaque départ, on le supprime. Tenez à jour la liste des accès. C'est 30 minutes par mois qui évitent un gros risque.
Terrain · 5 min
Réagir à une violation de données en 72h
Objectif : savoir quoi faire immédiatement en cas de perte, vol ou fuite de données, et notifier la CNIL dans les 72h si nécessaire.
Perte d'une clé USB, vol d'un ordinateur, compte piraté, fuite sur le site : ça arrive. La différence entre un incident contrôlé et un scandale, c'est la rapidité de réaction.
La marche à suivre immédiate
Contenez : déconnectez le compte compromis, changez les mots de passe, mettez la clé USB en perte signalée, isolez le serveur touché.
Évaluez le risque : quelles données sont concernées (santé ? mineurs ? pièces d'identité ?) et combien de personnes ? Plus c'est sensible, plus c'est grave.
Notifiez la CNIL sous 72h si la violation présente un risque pour les personnes. Si le risque est faible (ex: données déjà publiques), pas d'obligation.
Informez les personnes concernées si le risque est élevé (données sensibles, risque d'usurpation) pour qu'elles se protègent.
Documentez tout : date, cause, données touchées, actions menées. C'est obligatoire et ça protège en cas de contrôle.
Piège classique : beaucoup découvrent le délai de 72h quand il est déjà dépassé, et décident alors de ne rien déclarer. C'est la pire option : la CNIL est beaucoup plus indulgente avec une violation notifiée à temps qu'avec un manquement caché.
Préparez à l'avance : notez le lien du portail de notification CNIL et une trame de déclaration dans un fichier. Le jour de l'incident, vous gagnez des heures précieuses.
Terrain · 10 min
Nettoyer les données périmées
Objectif : définir des durées de conservation et supprimer régulièrement ce qui est périmé — le RGPD exige de ne pas garder les données plus longtemps que nécessaire.
Le principe de minimisation (Art. 5 RGPD) impose de ne conserver les données que le temps nécessaire. Des fichiers adhérents accumulés pendant 10 ans sans tri, c'est un risque et une violation.
Quelles durées de conservation ?
Données adhérents/donateurs : la durée de la relation, puis 3 ans environ pour les données de prospection après le dernier contact.
Fichiers paie / salariés : durées légales propres (ex: 5 ans pour la paie, durées comptables selon le contexte).
Photos : à durée fixe (ex: validité du consentement, renouvelable tous les 3 ans).
Archives de l'AG, comptes-rendus : durée légale d'archivage, puis destruction.
Le grand nettoyage annuel
Bloquez un créneau fixe chaque année (ex: octobre) pour la revue des fichiers.
Passez en revue vos fichiers adhérents, donateurs, bénévoles, photos, comptes-rendus.
Supprimez ce qui est périmé, révoquez ce qui l'est, et archivez ce qui a une obligation légale de conservation.
Documentez le nettoyage (date + quoi) dans votre registre — ça prouve votre bonne gestion.
À retenir : supprimer ce qui est périmé n'est pas une perte, c'est une mise en conformité. Moins vous détenez de données inutiles, moins vous avez de risque en cas de fuite.
Terrain · 15 min
Se préparer à un contrôle CNIL
Objectif : avoir un dossier de conformité complet, organisé et prêt à produire dans le délai d'un mois.
Un contrôle CNIL commence généralement par un courrier demandant vos documents, avec environ 1 mois de délai. Tout se joue sur ce que vous êtes capable de produire, et de retrouver.
Le dossier à constituer (tout doit être retrouvable en 1 heure)
Registre des traitements à jour — la pièce maîtresse.
Preuve des consentements (formulaires signés, logs d'acceptation, autorisations photos).
Clauses de sous-traitance (DPA) avec chaque prestataire.
Procédure de réponse aux demandes de droits + un exemple de réponse récente.
Journal des incidents et preuves de notification le cas échéant.
Preuve de formation/sensibilisation de l'équipe et des bénévoles.
Nomination du référent/DPO et désignation de la personne responsable.
Les bons réflexes le jour J
Ne paniquez pas : un contrôle ne signifie pas que vous êtes en faute. C'est une vérification.
Centralisez : un seul dossier, une seule personne qui répond et transmet. Évitez que chacun réponde de son côté.
Dites la vérité : mieux vaut reconnaître un écart que de cacher. La CNIL est plus clémente avec une démarche coopérative et un plan de correction.
Si vous n'êtes pas prêt : un accompagnement en amont change tout — c'est exactement ce qu'un préparateur contrôle peut faire pour vous.
La bonne nouvelle : le jour où tout est à jour et retrouvable, le contrôle se passe bien, en général en quelques heures. Un dossier prêt, c'est aussi un argument fort pour votre comité et une meilleure confiance de vos adhérents.
Évaluez où en est votre association
2 minutes pour savoir si vous seriez prêt le jour d'un contrôle CNIL — gratuitement.