Association sociale, médico-sociale ou de conviction : qu’est-ce qui change ?
Pour qui : Vous dirigez ou administrez une association qui accompagne des personnes fragiles, ou un syndicat, un parti, une organisation religieuse. Vous traitez des données sensibles avec peu de moyens et vous cherchez ce qui s’applique à vous.
Deux choses changent : le délégué à la protection des données (DPO) et l’analyse d’impact, l’étude préalable des risques. Une association du secteur social et médico-social devra a priori désigner un délégué, si son accompagnement prévoit la collecte de données sensibles : la CNIL rattache cette obligation au traitement de ces données à grande échelle. Un traitement d’accompagnement figurant sur la liste de la CNIL doit passer par une analyse d’impact préalable.
Un syndicat, un parti ou une organisation religieuse relève d’une autre règle : il peut tenir un fichier de données sensibles sur ses membres, sous conditions. Dans les deux cas, n’achetez pas de logiciel avant d’avoir réglé ces points. Une association sans suivi individuel ni donnée sensible reste dans le cas général.
Notre avis
Commencez par le délégué et l’analyse d’impact, avant tout logiciel. Écrivez le nombre et la situation des personnes suivies : la décision dépend de ces lignes, pas du statut d’association.
Pourquoi
- La CNIL rattache l’obligation de délégué à l’accompagnement qui prévoit la collecte de données sensibles, traitées à grande échelle. Le mot « association » ne dispense donc de rien.
- Ce secteur dispose de documents gratuits de la CNIL qui font déjà une large part du travail : référentiel de 2021 et durées de 2023.
- Un logiciel de registre décrit des catégories. Le dossier des personnes accompagnées est un autre outil, avec d’autres exigences, notamment pour la santé.
- Une fédération peut porter un délégué commun : le manque de moyens n’appelle pas forcément un achat.
Ce qui change le choix
Le nombre de personnes suivies ou la sensibilité des données placent votre activité à grande échelle : le délégué devient le premier chantier. À l’inverse, l’absence de suivi individuel et de donnée sensible vous ramène au cas général.
L’ordre à suivre
- Accompagnement social ou médico-social avec données sensibles : délégué à la protection des données a priori, analyse d’impact et référentiel de la CNIL.
- Organisme de conviction : conditions de l’article 9, fichier réservé, envois externes à vérifier.
- Association ordinaire sans suivi de personnes : cas général, modèle de registre de la CNIL.
Trouvez votre ligne
| Votre organisme | Délégué | Analyse d’impact | Document à reprendre |
|---|---|---|---|
| Accueil, hébergement ou accompagnement de personnes âgées, handicapées ou en difficulté | A priori oui, si l’accompagnement prévoit des données sensibles traitées à grande échelle | Requise pour les traitements de la liste, par exemple la prise en charge de personnes en insertion | Référentiel du 11 mars 2021, durées du 14 septembre 2023 |
| Protection de l’enfance, jeunes majeurs | À analyser selon l’activité | Requise : selon son référentiel, ces traitements figurent sur la liste de la CNIL et donnent systématiquement lieu à une analyse préalable | Référentiel propre, le premier écarte ce cas |
| Mandataire judiciaire à la protection des majeurs | À analyser selon l’activité | À analyser | Écarté du référentiel de 2021, aucun document propre lu |
| Syndicat, parti, organisation religieuse ou philosophique | Selon l’échelle et l’activité de base | L’exemption des membres et donateurs ne couvre pas les données sensibles | Guide associations, article 9 du RGPD |
| Sport, loisirs, culture, sans suivi individuel ni donnée sensible | Non obligatoire en principe | Non requise pour la gestion courante des membres et donateurs | Modèle de registre et guide associations |
Écrivez les chiffres qui décident du délégué
La CNIL écrit « a priori » : aucun nombre de personnes ne fixe la grande échelle. Son guide sur les délégués retient le nombre de personnes, le volume et la variété des données, la durée du traitement et son étendue géographique. Notez ces quatre éléments et la nature de l’accompagnement sur une page.
Si la réponse est oui, le délégué n’a pas à être salarié à plein temps. La CNIL admet un délégué interne, externe ou commun à plusieurs organismes, et cite celui de votre fédération. Demandez-lui d’abord s’il existe. Une personne interne qui cumule cette mission doit pouvoir l’exercer sans conflit d’intérêts.
Trois différences concrètes pour le secteur social
Le référentiel de 2021 n’a pas de valeur contraignante : vous pouvez vous en écarter si vous savez justifier le besoin et vos mesures. Il vous donne une base réelle pour vos fiches, que vous devez quand même inscrire au registre.
Pour la durée, la CNIL recommande en principe de ne pas garder en base active au-delà de deux ans après le dernier contact émanant de la personne, sauf texte contraire ou cas particulier. L’archivage reste possible s’il répond à une nécessité que vous pouvez justifier.
Pour l’outil, séparez les besoins. Un registre décrit des catégories de données, sans contenir les dossiers. Le dossier des personnes accompagnées contient leurs données : si un prestataire informatique héberge des données de santé pour votre suivi social ou médico-social, demandez une certification HDS V2.0 couvrant les activités numériques concernées. L’ANS fixe la fin de transition au 16 mai 2026 : ne retenez pas un ancien agrément comme alternative pour cet hébergement numérique. Posez cette question à l’éditeur du dossier.
Organismes de conviction : le fichier et ses envois
Les opinions politiques, les convictions religieuses ou philosophiques et l’appartenance syndicale sont des données sensibles, interdites en principe. La CNIL rappelle une exception. L’organisme à but non lucratif poursuit un objectif politique, philosophique, religieux ou syndical. Le fichier concerne seulement ses membres, anciens membres ou contacts réguliers liés à ses finalités. Les données ne sortent pas de l’organisme sans accord des personnes.
Un simple fichier d’adhérents révèle donc déjà une conviction. Nous en déduisons que l’exemption d’analyse d’impact pour les membres et donateurs, réservée aux données non sensibles, ne vous couvre pas d’office. Vérifiez alors si une analyse est requise.
Revoyez aussi qui accède au fichier, et ce que reçoit votre outil d’envoi de courriels. Nous n’avons pas lu de position sur le point de savoir si un tel prestataire constitue une communication hors de l’organisme. Notre conseil : contrat de sous-traitance, liste réduite à l’adresse utile, et aucun intitulé de liste qui révèle la conviction si l’outil n’en a pas besoin.
Limites de cette page
Nous n’avons pas lu de document de la CNIL propre aux mandataires judiciaires, ni le texte de l’article L. 1111-8 du code de la santé publique. Le guide pour les associations n’est pas daté et ses questions-réponses datent de 2021. La qualification d’une situation à grande échelle reste une appréciation : en cas de doute sérieux sur des personnes vulnérables, un conseil se justifie.
Prochaine action
Écrivez sur une page le nombre de personnes suivies, les données recueillies, la durée du suivi et le territoire. Trouvez votre ligne dans le tableau, puis demandez à votre fédération si elle propose un délégué commun. Pour un organisme de conviction, revoyez qui accède au fichier et ce que reçoit l’outil d’envoi.
Preuves et sources
Lu le 5 novembre 2026 : le guide de la CNIL pour les associations (date non relevée), ses questions-réponses sur le suivi médico-social (24 mars 2021), son référentiel d’accompagnement social et médico-social (adopté le 11 mars 2021), son référentiel de durées pour ce secteur (version du 14 septembre 2023), son référentiel de protection de l’enfance, ses listes d’analyses d’impact, l’article 37 du RGPD et le guide CNIL sur les délégués. Calendrier ANS HDS V2.0 consulté le 5 novembre 2026.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. Le guide de la CNIL pour les associations écrit que la désignation d’un délégué n’est pas obligatoire sauf dans certains cas, et qu’une association du secteur social et médico-social devra a priori en désigner un dans la mesure où elle traite des données sensibles à grande échelle.
Portée : Guide de sensibilisation, date non relevée.
Réserve : « À priori » selon la CNIL : l’appréciation reste liée à l’échelle.
- CNIL : Guide de sensibilisation au RGPD pour les associations date non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon les questions-réponses de la CNIL du 24 mars 2021, sont concernées par l’obligation les associations du secteur social et médico-social si l’accompagnement réalisé prévoit la collecte de données sensibles, comme les données de santé ou les convictions religieuses, et un délégué peut être désigné pour plusieurs organismes, par exemple celui de la fédération.
Portée : Référentiel de suivi médico-social.
Réserve : Fédération citée en exemple, sans dire que chacune propose ce service.
- CNIL : Questions-réponses sur le référentiel pour le suivi médico-social des personnes âgées, en situation de handicap ou en difficulté 24 mars 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 37 du RGPD impose un délégué lorsque les activités de base consistent en un traitement à grande échelle de données sensibles, et le guide CNIL retient le nombre de personnes, le volume et le spectre des données, la durée et l’étendue géographique.
Portée : Article 37, paragraphe 1, point c ; guide pratique DPO.
Réserve : Aucun seuil chiffré général dans ces textes.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL des analyses d’impact requises vise les traitements ayant pour finalité l’accompagnement social ou médico-social, avec pour exemple un traitement mis en œuvre par un établissement ou une association pour la prise en charge de personnes en insertion ou réinsertion sociale et professionnelle.
Portée : Délibération n° 2018-327 ; section 11 du référentiel de 2021, qui précise que ces traitements donnent systématiquement lieu à une analyse préalable.
Réserve : Exemples à rapprocher du traitement réel.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Délibération n° 2018-327 du 11 octobre 2018. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté Adopté le 11 mars 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le référentiel CNIL du 11 mars 2021 s’adresse notamment aux associations loi de 1901 ayant pour mission l’accueil, l’hébergement, l’accompagnement et le suivi social et médico-social de personnes âgées, handicapées ou en difficulté, et écarte la prévention et la protection de l’enfance ainsi que les mandataires judiciaires à la protection des majeurs.
Portée : Section 1 du référentiel.
Réserve : Liste d’organismes non exhaustive.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté Adopté le 11 mars 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le référentiel du 11 mars 2021 indique qu’il n’a pas de valeur contraignante, que les organismes peuvent s’en écarter en justifiant le besoin et les mesures prises, et que les traitements doivent être inscrits au registre de l’article 30.
Portée : Section 2 du référentiel.
Réserve : Sans objet.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté Adopté le 11 mars 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le référentiel recommande en principe de ne pas conserver les données en base active au-delà de deux ans à compter du dernier contact émanant de la personne accompagnée, sauf dispositions contraires ou cas particulier, l’archivage intermédiaire devant répondre à une réelle nécessité justifiée.
Portée : Section 7 du référentiel ; référentiel de durées du 14 septembre 2023 pour le détail par activité.
Réserve : Recommandation de la CNIL.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté Adopté le 11 mars 2021. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Référentiel. Les durées de conservation dans le secteur social et médico-social Version 1.0 du 14 septembre 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Pour le prestataire qui héberge numériquement des données de santé dans le cadre du suivi social ou médico-social visé, cette page demande une certification HDS V2.0 couvrant les activités concernées, en suivant le calendrier ANS dont la transition prend fin le 16 mai 2026.
Portée : Hébergement numérique de données de santé pour le suivi social ou médico-social ; certificat du service à vérifier.
Réserve : Référentiel sectoriel CNIL de 2021 complété par le calendrier ANS ; aucun certificat de prestataire ni cas d’archives matérielles contrôlé ici.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté Adopté le 11 mars 2021. Lu le 5 novembre 2026. Document d’origine.
- Agence du numérique en santé : Certification HDS : six mois pour être prêt ! Calendrier de transition HDS V2.0 ; date de publication non affichée dans le corps lu. Lu le 5 novembre 2026. Document d’origine.
- Agence du numérique en santé — G_NIUS : Simplific’Action : La certification HDS décryptée 27 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Un logiciel de registre décrit des catégories de données et ne contient pas par lui-même les dossiers des personnes accompagnées ; un module de demandes de droits ou de violations pourrait néanmoins en recevoir.
Portée : Distinction entre registre et dossier de l’usager.
Réserve : Aucun logiciel n’a été essayé. À confirmer avec l’éditeur.
- CNIL : Le registre des activités de traitement 13 avril 2018 (date de page). Lu le 5 novembre 2026. Document d’origine.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté Adopté le 11 mars 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le guide de la CNIL, les données sensibles sont interdites sauf exceptions, dont le cas où le fichier est tenu par un organisme à but non lucratif à objectif politique, philosophique, religieux ou syndical, porte exclusivement sur ses membres, anciens membres ou personnes en contact régulier en lien avec ses finalités, et où les données ne sont pas communiquées à l’extérieur sans accord des personnes.
Portée : Présentation de l’article 9, paragraphe 2, du RGPD.
Réserve : Présentation du guide, le consentement explicite étant une autre exception.
- CNIL : Guide de sensibilisation au RGPD pour les associations date non relevée. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL écarte l’analyse d’impact pour la gestion des membres et donateurs d’une association, fondation ou institution sans but lucratif dès lors que les données ne sont pas sensibles ; le guide associations cite le grand nombre de données sensibles et les données sensibles de personnes vulnérables parmi les cas où elle s’impose.
Portée : Délibération n° 2019-118 ; guide associations.
Réserve : Liste non exhaustive.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Guide de sensibilisation au RGPD pour les associations date non relevée. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Un fichier d’adhérents d’un syndicat ou d’un parti révèle une donnée sensible, de sorte que l’exemption réservée aux données non sensibles ne le couvre pas d’office.
Portée : Organismes de conviction.
Réserve : Déduction de nos lectures, sans conclure qu’une analyse d’impact est toujours requise.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Guide de sensibilisation au RGPD pour les associations date non relevée. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Le fait de limiter les données transmises à un outil d’envoi et de passer un contrat de sous-traitance est notre conseil ; nous n’avons pas lu de position sur le point de savoir si ce prestataire constitue une communication hors de l’organisme au sens de l’exception.
Portée : Organismes de conviction utilisant un outil d’envoi externe.
Réserve : Question à soumettre à un conseil en cas de fichier important.
- CNIL : Guide de sensibilisation au RGPD pour les associations date non relevée. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le référentiel de la CNIL sur la protection de l’enfance et des jeunes majeurs indique que les traitements ayant pour finalité l’accompagnement social et médico-social figurent sur la liste des analyses d’impact requises et doivent donc systématiquement donner lieu à une analyse préalable.
Portée : Référentiel protection de l’enfance, section 11, point 69 ; délibération n° 2018-327.
Réserve : Date du PDF non relevée ; publication présentée par la CNIL le 16 février 2022.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la protection de l'enfance et des jeunes majeurs de moins de vingt-et-un ans Date non relevée dans le PDF ; publication présentée par la CNIL le 16 février 2022. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Délibération n° 2018-327 du 11 octobre 2018. Lu le 5 novembre 2026. Document d’origine.