Audit RGPD pour associations

Les 5 risques RGPD spécifiques aux associations

1. Fichier adhérents partagé en clair. Excel sur cloud personnel d'un dirigeant, mot de passe partagé : la sécurité minimale n'est pas atteinte.
2. Communication aux adhérents sans base légale claire. Newsletter, sollicitation de dons, événements : distinguez la communication liée à l'adhésion (intérêt légitime) du marketing (consentement).
3. Photos publiées sans autorisation. Surtout pour les mineurs : le risque réputationnel et la plainte parentale sont fréquents.
4. Données de santé non protégées. Certificat médical, allergies, projet d'accueil personnalisé : ce sont des données sensibles, accès restreint obligatoire.
5. Bénévoles non informés. Toute personne accédant aux fichiers doit être formée et signer un engagement de confidentialité.

Checklist conformité association

• Registre des traitements simplifié, listant adhérents, dons, bénévoles, communications, mineurs.
• Mention RGPD sur le bulletin d'adhésion et l'inscription en ligne.
• Autorisations parentales pour les mineurs de moins de 15 ans, conservées.
• Autorisations d'utilisation de l'image, séparées de l'adhésion.
• Accès aux fichiers limité aux dirigeants et bénévoles formés.
• Mots de passe forts, MFA si possible, sauvegardes chiffrées.
• Outils utilisés (Helloasso, Mailchimp, Zoom, Drive) listés et leur DPA accepté.
• Durée de conservation : 3 ans après la dernière adhésion pour les anciens adhérents, archivage légal pour les obligations comptables.
• Procédure de réponse aux demandes d'effacement (notamment dons et candidatures bénévolat).
• Formation annuelle des bénévoles ayant accès aux données.

Pour aller plus loin

• Calculateur d'amende RGPD CNIL
• Audit RGPD collectivités et mairies
• Audit RGPD TPE/PME