Registre des adhérents et RGPD

Une association peut tenir une liste de ses adhérents sans formalité préalable, mais elle doit limiter les données collectées à ce que l’adhésion exige, informer les membres, sécuriser le fichier et supprimer les données des anciens adhérents après un délai défini. Le registre des activités de traitement, document interne d’une page, décrit ce fichier et sert de preuve de conformité.

Mis à jour le 7 novembre 2026

En bref

La liste des adhérents est le fichier le plus courant d’une association et relève pleinement du droit des données personnelles.
Collectez l’identité, les coordonnées et la situation d’adhésion ; la date de naissance seulement si l’activité ou l’assurance l’exige.
Informez chaque adhérent au moment de l’adhésion, sur le bulletin lui-même.
Les données d’un ancien adhérent se suppriment en général au bout de trois ans après la dernière cotisation.
Le registre des traitements n’est pas obligatoire pour toutes les petites associations, mais il reste le meilleur moyen de prouver sa conformité.

Toute association tient une liste de ses membres : c’est nécessaire pour convoquer l’assemblée, encaisser les cotisations, assurer les pratiquants, envoyer les informations. Ce fichier, qu’il soit un tableur, un cahier ou une base en ligne, est un traitement de données personnelles. Il n’y a plus de déclaration à faire auprès d’une autorité, mais l’association doit pouvoir démontrer qu’elle respecte quelques principes. Voici comment s’y conformer sans alourdir la vie associative.

Quelles données peut-on collecter sur un adhérent ?

La règle est la minimisation : seules les données nécessaires à l’adhésion et aux activités. Le tableau suivant distingue l’indispensable, l’utile sous conditions et l’exclu.

Donnée	Statut	Remarque
Nom, prénom	Nécessaire	Identifie le membre pour les convocations et les votes.
Adresse postale, courriel, téléphone	Nécessaire	Au moins un canal de convocation ; les autres sont facultatifs.
Date d’adhésion, cotisation payée, type d’adhésion	Nécessaire	Détermine la qualité de membre et le droit de vote.
Date de naissance	Sous conditions	Si l’activité impose des catégories d’âge (sport) ou l’assurance l’exige ; sinon, l’année suffit ou rien.
Numéro de licence fédérale	Sous conditions	Pour les clubs affiliés.
Certificat médical, allergies	Sous conditions, à part	Donnée de santé : conservation séparée, accès limité à la personne qui en a besoin.
Profession, situation familiale, opinions	Exclu	Sans lien avec l’adhésion ; les opinions politiques, religieuses ou syndicales sont des données sensibles.
Copie de pièce d’identité	Exclu en règle générale	Vérifiez l’identité à l’inscription, ne gardez pas la copie.

Le bulletin d’adhésion est le bon endroit pour recueillir ces données ; la liste des adhérents n’en reprend que l’essentiel.

Comment informer les adhérents ?

L’information se donne au moment de la collecte, donc sur le bulletin d’adhésion, en quelques lignes : identité de l’association responsable, finalités (gestion des adhésions, convocations, assurance), destinataires (bureau, fédération, assureur), durée de conservation, droits (accès, rectification, effacement, opposition) et contact pour les exercer. Si vous publiez un annuaire des membres ou des photos, c’est une finalité distincte qui requiert une information spécifique et, pour les photos, un accord écrit. Les mineurs adhèrent par l’intermédiaire de leurs parents, qui reçoivent l’information et signent.

Combien de temps garder les données d’un ancien adhérent ?

Les données d’un membre actif se conservent pendant l’adhésion. Après le départ, l’usage recommandé est de les supprimer au terme de trois ans à compter de la dernière cotisation, délai qui permet de relancer un adhérent qui a oublié de renouveler et de répondre aux questions de l’assureur. Les pièces comptables liées aux cotisations (reçus, feuilles d’encaissement) suivent les délais comptables, détaillés dans Combien de temps conserver ses documents, mais peuvent être conservées sous une forme qui ne permet plus de contacter la personne. Les feuilles de présence aux activités ont leur propre régime : Feuille de présence et données personnelles.

Qu’est-ce que le registre des activités de traitement ?

C’est un document interne qui décrit chaque fichier : nom du traitement, finalité, catégories de personnes et de données, destinataires, durée de conservation, mesures de sécurité. Pour une association, il tient sur une page par traitement (adhérents, bénévoles, donateurs, newsletter). Le RGPD en dispense les organismes de moins de 250 personnes dont les traitements sont occasionnels, sans risque et sans données sensibles ; comme un fichier d’adhérents n’est pas occasionnel, la plupart des associations européennes doivent le tenir, et c’est de toute façon le moyen le plus simple de répondre à une question de l’autorité de contrôle. En Suisse, l’obligation ne vise que les entreprises de 250 personnes et plus ; au Québec, la loi impose plutôt une politique de confidentialité, un responsable désigné et un registre des incidents.

Quelles règles s’appliquent dans chaque pays ?

Pays	Règle	Source
France	RGPD ; registre des traitements ; la CNIL publie des recommandations propres aux associations. Les associations déclarées ont, en outre, l’obligation de tenir la liste des membres à jour pour les formalités en préfecture lorsqu’il s’agit des dirigeants.	Règlement (UE) 2016/679, art. 5, 6, 13, 30 ; loi du 1^er juillet 1901
Belgique	RGPD ; le Code des sociétés et des associations impose aux ASBL de tenir un registre des membres au siège, avec nom, prénom et domicile, consultable par les membres.	Règlement (UE) 2016/679 ; Code des sociétés et des associations, art. 9:3
Suisse	LPD révisée : devoir d’information, sécurité, droit d’accès ; registre des activités au-delà de 250 personnes. Le Code civil laisse les statuts organiser la liste des membres.	LPD du 25 septembre 2020 ; Code civil, art. 60 et suivants
Québec	Loi sur la protection des renseignements personnels dans le secteur privé : consentement pour les usages non prévus, politique de confidentialité publiée, responsable de la protection, évaluation avant communication hors Québec. Les personnes morales sans but lucratif tiennent un registre des membres au siège.	RLRQ, c. P-39.1 ; Loi sur les compagnies, partie III ; Code civil du Québec, art. 342 (à vérifier)

Comment sécuriser un fichier d’adhérents ?

Un fichier partagé avec tout le bureau sur une messagerie personnelle est la faille la plus courante. Désignez une ou deux personnes responsables du fichier, stockez-le dans un espace protégé par mot de passe, n’envoyez jamais la liste complète par courriel, et gardez les versions papier sous clé. Lorsque la liste sert à l’assemblée générale, imprimez une version limitée au nom et au nombre de voix, comme le prévoit la feuille d’émargement d’assemblée générale, et détruisez les exemplaires surnuméraires après la séance. Le guide Quorum et feuille de présence en assemblée générale détaille cette utilisation. Pour l’envoi des convocations, la fiche Courriel professionnel rappelle l’usage de la copie cachée, qui évite de divulguer les adresses de tous les membres.