Registre des traitements : une petite association doit-elle en tenir un ?

« Je suis trésorière d'un club de basket de 120 adhérents, sans salarié, tenu par des bénévoles. Les inscriptions sont dans un tableur, les cotisations se paient en ligne et chaque équipe a son groupe WhatsApp. Lors d'une formation, quelqu'un a parlé d'un « registre RGPD » obligatoire. Est-ce que ça nous concerne vraiment, et qu'est-ce qu'on doit y mettre ? »

La situation, telle qu'on la raconte à une IA

Que dit exactement le RGPD ?

L'article 30 du RGPD oblige chaque responsable de traitement, donc chaque association qui utilise des données personnelles, à tenir un registre de ses activités de traitement. Ce registre est écrit, sur papier ou sous forme électronique, et doit être mis à la disposition de la CNIL si elle le demande¹.

Le même article prévoit une exception pour les organismes de moins de 250 employés. Elle ne s'applique pas si le traitement présente un risque pour les personnes, s'il n'est pas occasionnel, ou s'il porte sur des données sensibles ou des données d'infractions¹. La CNIL en conclut que cette dérogation est « limitée à des cas très particuliers » et conseille, en cas de doute, d'inscrire le traitement au registre².

Pourquoi une petite association est presque toujours concernée

Le seuil compte les salariés, pas les adhérents : une association de bénévoles est sous le seuil, mais l'exception s'arrête dès qu'un fichier sert en continu. C'est le cas de la plupart des fichiers d'une association :

• le fichier des adhérents et le suivi des cotisations ;
• la liste des bénévoles et leurs disponibilités ;
• les donateurs et les reçus fiscaux ;
• la liste de diffusion de la lettre d'information.

Les données sensibles font aussi tomber l'exception. Ce sont notamment les données de santé, les opinions politiques, les convictions religieuses ou philosophiques et l'appartenance syndicale³. Une association qui organise des sorties pour enfants et note leurs allergies en recueille, tout comme un parti, une association religieuse ou un syndicat, pour qui la simple adhésion révèle une opinion ou une conviction.

Seul un fichier vraiment ponctuel, comme la liste des inscrits à une sortie unique, pourrait relever de l'exception. Comme la CNIL conseille de l'inscrire en cas de doute, le plus simple est de tout mettre au registre.

Que faut-il écrire dans le registre ?

Une fiche par usage des données, appelé « finalité » : la gestion des adhésions, la lettre d'information, les dons. Pour chaque fiche, la CNIL demande de préciser³ :

• le nom et les coordonnées de l'association, et de son délégué à la protection des données s'il y en a un ;
• l'objectif poursuivi ;
• les catégories de personnes (adhérents, bénévoles, donateurs) et de données (nom, coordonnées, cotisation…) ;
• qui y a accès dans l'association, et à qui les données sont transmises ;
• combien de temps elles sont gardées ;
• les mesures de sécurité (mots de passe, accès limités, sauvegardes) ;
• les transferts hors de l'Union européenne, s'il y en a.

Pour le club de basket de notre exemple, le registre pourrait commencer ainsi :

Comment le faire, concrètement ?

1. Faites l'inventaire de tous les endroits où se trouvent des données de personnes : tableurs, plateforme d'adhésion, messagerie, groupes de discussion, classeurs papier. Les fichiers papier sont concernés au même titre que les fichiers informatiques³.
2. Remplissez une fiche par usage, avec le modèle de registre au format tableur proposé par la CNIL pour les petites structures, dont les associations².
3. Faites le tri : ne gardez que les données utiles. La CNIL donne l'exemple d'une activité de loisirs, pour laquelle le numéro de sécurité sociale de l'adhérent n'est pas pertinent³.
4. Limitez les accès : selon la CNIL, le paiement des cotisations d'un club sportif ne doit être visible que des personnes chargées de son suivi, pas de tous les adhérents ni de tous les entraîneurs³.
5. Supprimez ce qui a dépassé sa durée, ou anonymisez-le.
6. Mettez le registre à jour à chaque changement : nouvel outil, nouvelle donnée collectée, nouveau destinataire². Rangez-le avec les documents transmis au nouveau bureau après chaque assemblée générale.

Que risque une association sans registre ?

Ne pas tenir de registre fait partie des manquements que le RGPD sanctionne d'une amende pouvant aller jusqu'à 10 millions d'euros (article 83)¹. Pour une association, le registre est surtout la preuve qu'elle sait quelles données elle détient, pourquoi et pour combien de temps. Il sert aussi à répondre vite à un adhérent qui demande ce que l'association sait de lui, ou à réagir en cas de perte d'un fichier.

La réforme européenne va-t-elle supprimer cette obligation ?

Peut-être en partie, mais pas encore. Le 21 mai 2025, la Commission européenne a proposé d'alléger le registre dans un paquet de simplification appelé « omnibus IV »⁶. Le compromis trouvé entre le Parlement européen et les États membres, confirmé le 26 juin 2026, étend l'exception aux organismes de moins de 1 000 personnes, sauf pour un traitement susceptible d'engendrer un risque élevé pour les personnes ou qui constitue une activité de base exigeant un délégué à la protection des données ; le registre ne serait alors obligatoire que pour ce traitement-là⁵.

Au 8 novembre 2026, ce texte n'est pas adopté : le vote du Parlement européen en séance est prévu à titre indicatif le 23 novembre 2026⁶, le Conseil doit ensuite l'adopter, et le règlement n'entrera en vigueur que vingt jours après sa publication au Journal officiel⁵. S'il est adopté tel quel, une petite association sans traitement à risque élevé ne serait plus tenue de tenir un registre. Elle devrait toujours pouvoir démontrer qu'elle respecte le RGPD (article 5)¹, et le registre resterait le moyen le plus simple de le faire.

Les limites : ce qui dépend de votre cas

Certaines associations ont des obligations plus lourdes : selon la CNIL, une association du secteur social et médico-social devra en principe désigner un délégué à la protection des données, car elle traite des données sensibles à grande échelle³, et certains fichiers à risque demandent une analyse d'impact. Le registre ne suffit pas non plus à être en règle : il faut aussi informer les personnes, sécuriser les données et répondre à leurs demandes. Pour un cas complexe, l'avis d'un délégué à la protection des données ou d'un avocat s'impose.

Et chez Prestalgo ?

L'audit RGPD de Prestalgo vérifie notamment si votre registre des activités de traitement existe et s'il reflète ce que font réellement votre site, vos formulaires et vos outils. Vous recevez un rapport qui classe les écarts par priorité, et nous pouvons ensuite faire les corrections techniques, comme la suppression automatique des données anciennes. L'audit commence à 500 € HT, avec un prix fixé dans une proposition écrite : voir la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.