Respecter la loi « Informatique et libertés » et le RGPD. La loi 2018-493 du 20 juin 2018 puis plus récemment, la loi 2024-449 du 21 mai 2024 (et l'ordonnance 2024-1019 du 13 novembre 2024) ont modifié la loi 78-17 du 6 janvier 1978 dite « Informatique et Libertés » et l'ont adaptée au cadre européen du RGPD. Elles ne reprennent cependant pas dans sa totalité les dispositions du RGPD, ce règlement s'appliquant directement dans chaque État Membre. Ainsi, afin d'être en conformité avec les exigences de ce règlement, il convient de respecter la loi Informatique et Libertés et le RGPD.

• Finalité du traitement des données. Une association ne peut recueillir des données personnelles que dans un but précis (par exemple, la gestion administrative des donateurs au sein d'une association caritative). Autrement dit, il est interdit de collecter des données sans savoir au préalable l'usage qui en sera fait. Et les données collectées ne pourront pas être réutilisées dans un autre but que celui qui a été initialement fixé.

• Faire régulièrement le tri dans les données. Le registre permet de vérifier régulièrement que (CNIL, guide de sensibilisation au RGPD pour les associations) :

  -les données sont pertinentes et nécessaires à l'objectif poursuivi (par exemple, pour appliquer un tarif préférentiel, une attestation de quotient familial peut être demandée) ;

  -les principes de confidentialité et de sécurité sont bien respectés (l'association doit limiter leur accès aux salariés et bénévoles en charge de les traiter) ;

  -les données ne sont pas conservées plus longtemps que nécessaire (voir § 226).

• Analyse d'impact. Certains traitements de données personnelles doivent respecter une contrainte particulière. Ainsi, si un traitement présente un risque élevé pour les droits et libertés des personnes fichées, une analyse d'impact relative à leur protection doit être préalablement réalisée (RGPD art. 35). La CNIL propose pour cela un outil d'analyse sur son site web : https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil.

• Obligation de transparence. Les bulletins d'adhésion et les mentions légales présentes sur le site web de l'association doivent informer les adhérents sur la collecte, le temps de conservation et la finalité du traitement de leurs données ainsi que sur l'ensemble des droits qui leur sont conférés (sur ces droits, voir § 226).

  La CNIL recommande d'indiquer l’identité du responsable de traitement, l’objectif poursuivi par le traitement des données et les droits des personnes concernées en fin de formulaire (bulletin d'adhésion, questionnaire...) et de renvoyer à une mention d’information complète sur le site internet de l’association (CNIL, guide de sensibilisation au RGPD pour les associations).

• Prospection par Internet. L’envoi de prospection commerciale par internet est subordonné au recueil du consentement préalable des personnes fichées au moment de la collecte de leurs données. Si la prospection n'est pas de nature commerciale, la personne dont l'adresse de messagerie a été collectée doit être informée d'une future utilisation à des fins de prospection et doit être en mesure de s'y opposer de manière simple et gratuite à tout moment.

  Par ailleurs, une association peut utiliser les données d'anciens adhérents pour effectuer des campagnes de relance d'adhésion. La CNIL recommande néanmoins de ne pas conserver les données au-delà de 3 ans ; pendant ce délai, la personne concernée doit pouvoir s'opposer lors de chaque sollicitation, de manière gratuite et simple, à l'utilisation de ses coordonnées (par exemple via un lien de désinscription) (CNIL, guide de sensibilisation au RGPD pour les associations).

• Profilage et appel aux dons. Le profilage permet aux associations de rendre les appels aux dons plus efficaces. Cette technique consiste à utiliser les données personnelles d'une personne ou d'une catégorie de personnes afin de pouvoir les analyser et en prédire les préférences personnelles et le comportement. Toute personne a le droit de s'opposer à cette technique. Afin qu'une association puisse l'utiliser, elle doit informer préalablement les personnes concernées et leur proposer une intervention humaine afin de pouvoir exprimer leur point de vue et éventuellement leur opposition à ce traitement des données (RGPD art. 22).

• Cookies et autres collectes sur internet. Lorsque l’association utilise, sur son site internet, des procédés de collecte automatisés (ex. : cookies, applets Java ou autres traceurs), les utilisateurs doivent être informés de la finalité de l’utilisation de ces procédés et doivent donner un consentement explicite préalablement à l'utilisation de tels procédés (comme le fait de cliquer sur « j’accepte » dans une bannière cookie). Ils doivent également être en mesure de retirer leur consentement, facilement et à tout moment.

  La CNIL a adopté des lignes directrices concernant l'usage des cookies et autres traceurs. Les utilisateurs doivent notamment pouvoir refuser les cookies aussi facilement qu’il leur est proposé de les accepter. Ainsi, l’interface de recueil du consentement doit comprendre non seulement un bouton « tout accepter » mais aussi un bouton « tout refuser ». La CNIL suggère, par ailleurs, que les sites internet, qui généralement conservent pendant une certaine durée le consentement des internautes à l'utilisation des traceurs, conservent également les refus pendant une certaine période, afin de ne pas réinterroger l’internaute à chacune de ses visites. En outre, pour que l’utilisateur soit bien conscient de la portée de son consentement, la CNIL recommande que, lorsque des traceurs permettent un suivi sur des sites autres que le site visité, le consentement soit recueilli sur chacun des sites concernés par ce suivi de navigation (CNIL, délibérations nos 2020-091 et 2020-092 du 17 septembre 2020 ).

• Mécanisme du « double opt-in ». Certaines associations, lors d'une demande de consentement sur internet, appliquent le mécanisme du double opt-in : la demande de consentement est suivie de l'envoi par e-mail d'une demande de confirmation à l'adhérent, afin qu'il valide son consentement (par le biais d'un lien dans l'e-mail par exemple).

• Bonnes pratiques. Il est recommandé aux associations de sécuriser les postes de travail des salariés et bénévoles en mettant en place, pour chacun, un identifiant propre avec un mot de passe personnel suffisamment complexe, régulièrement mis à jour et stocké de façon sécurisée au sein du système d'information.

  La CNIL rappelle, en outre, aux associations de bien fermer les armoires et bureaux à clé et de limiter les accès aux locaux et serveurs ainsi qu'aux documents papiers aux personnes en ayant nécessité.

  Lors de la suppression des données personnelles conservées sur format papier, la CNIL préconise l'utilisation de conteneurs pour documents confidentiels ou de déchiqueteurs (CNIL, guide de sensibilisation au RGPD pour les associations).

• Fuite de données. En cas de perte ou de divulgation de données (e-mails transmis aux mauvais destinataires, vols d'ordinateurs, ...), l'association doit documenter l'incident ; en cas de contrôle, ce document sera vérifié par la CNIL. En outre, si l'incident fait courir un risque pour les droits et libertés des personnes fichées, l'association doit en informer la CNIL dans les 72h (CNIL, guide de sensibilisation au RGPD pour les associations).

• Association subventionnée. Une commune ne peut pas demander aux associations qu'elle subventionne de lui transmettre le fichier de ses adhérents (CNIL, guide de sensibilisation au RGPD pour les associations). En revanche, elle peut demander la copie certifiée du budget et des comptes de l'exercice écoulé, ainsi que la communication de tous les documents faisant apparaître les résultats de l'activité de l'association (voir § 368).

• Droit à l'oubli. Les données personnelles d'une personne ne peuvent pas être conservées indéfiniment, à moins qu'un texte légal ne l'autorise. C'est à l'association de définir une durée légitime de conservation des données en fonction de la finalité de leur traitement (RGPD art. 17). Elle peut pour cela suivre les recommandations de la CNIL, qui préconise, par exemple :

  -de supprimer les données recueillies dans le cadre d'une prospection dans les 3 mois qui suivent l'absence de réponse à la sollicitation ;

  -de supprimer les données d'anciens membres au plus tard 3 ans après la fin de l'adhésion.

• Droit à la portabilité. Toute personne fichée peut demander à récupérer ses données pour les transmettre à une autre association de son choix. L'association ne peut pas s'y opposer et doit être en mesure de proposer un dispositif permettant la portabilité des données (RGPD art. 20).

• Faciliter l'exercice des droits des personnes fichées. L'association doit permettre aux personnes fichées d'exercer facilement leurs droits à l'aide, par exemple, d'un formulaire de contact spécifique ou d'une adresse de messagerie dédiée. La CNIL recommande de mettre en place un processus interne permettant de répondre aux personnes concernées dans des délais courts, qui ne peuvent excéder 3 mois (CNIL, guide de sensibilisation au RGPD pour les associations).

• Droit à une copie. Une copie des données à caractère personnel doit être délivrée à l’intéressé à sa demande. Il peut lui être réclamé le paiement d’une somme, mais celle-ci ne peut excéder le coût de la reproduction (RGPD art. 15, § 3).

• Droit à la limitation du traitement. Toute personne fichée peut contester auprès de l'association l’exactitude des données la concernant ; l'association dispose alors d'un délai raisonnable pour procéder à la vérification des données. Pendant ce délai, la personne peut demander à l'association de geler ses données ; autrement dit, l'association devra les conserver sans pour autant pouvoir les utiliser le temps de la vérification (RGPD art. 18).

• Droit à la rectification. Toute personne fichée peut demander la rectification des données la concernant à l'association, dans les meilleurs délais. Elle peut aussi demander que certaines données soient complétées au moyen d'une déclaration complémentaire (RGPD art. 16).

• Possibilité de refus du responsable du traitement. Le responsable du traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable auprès duquel elles sont adressées (RGPD art. 12, § 5, b).

Sanctions pénales. Des sanctions pénales sont également prévues en cas de violation des droits des personnes fichées ; elles sont listées dans le code pénal aux articles L. 226-16 à L. 226-24.

Ainsi, le fait pour une association de procéder ou de faire procéder, y compris par négligence, au traitement de données personnelles sans respecter les formalités préalables de rigueur (notamment obtenir le consentement de la personne concernée) peut être sanctionné principalement d'une amende pouvant atteindre 1,5 M €. La condamnation de l'association peut être publiée par voie de presse ou par tout autre moyen de communication électronique (c. pén. art. 226-16 et 226-24). Les mêmes peines sont prévues en cas de conservation des données au-delà de la durée nécessaire (c. pén. art. 226-20).

Sociétés commerciales. Les sociétés commerciales qui souhaitent céder ou louer des fichiers de prospects à des associations pour de la prospection caritative sont soumises aux mêmes règles (CNIL, la transmission de fichiers de donateurs ou de contacts entre associations et fondations, 20 juin 2022).