Les traitements automatisés de données à caractère personnel mis en œuvre par des organismes à but non lucratif comportant des données sur des personnes physiques sont dispensés de toute formalité déclarative préalable. Pour la Commission Nationale de l’Informatique et des Libertés (CNIL), cette délibération se justifie par l’absence d’atteinte à la vie privée des personnes dans le cadre de l’utilisation régulière de ces données.

Toutefois cette dispense de déclaration n’est possible que sous réserve de répondre à certaines conditions.

Les conditions requises pour la dispense de déclaration :

(1) La finalité du traitement

L'exonération est possible quand la finalité du traitement concerne :

-l'enregistrement et la mise à jour des informations individuelles nécessaires à la gestion administrative des membres et donateurs, en particulier la gestion des cotisations, conformément aux dispositions statutaires qui régissent les intéressés ;

-d'établir, pour répondre à des besoins de gestion, des états statistiques ou des listes de membres ou de contacts, notamment en vue d'adresser bulletins, convocations, journaux ;

-d'établir des annuaires de membres, y compris lorsque ces annuaires sont mis à la disposition du public sur le réseau internet ;

-d'effectuer par tout moyen de communication des opérations relatives à des actions de prospection auprès des membres, donateurs et prospects.

(2) Les données traitées

Les données entrant dans l'exonération de déclaration sont celles concernant :

-nom, prénoms, sexe, date de naissance, adresse, numéros de téléphone (fixe et mobile) et de télécopie, adresse de courrier électronique ;
-les informations relatives à la gestion administrative de l'organisme : état des cotisations, position vis-à-vis de l'association, informations strictement liées à l'objet statutaire de l'organisme, identité bancaire pour la gestion des dons ;

-données de connexion (date, heure, adresse internet protocole de l'ordinateur du visiteur, page consultée) à des seules fins statistiques d'estimation de la fréquentation du site

Sont donc exclues :

• les données qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci ;
• les données concernant les infractions, condamnations ou mesures de sûreté ;
• les données relatives aux difficultés sociales et économiques des personnes ;
• le numéro d'inscription au répertoire d'identification des personnes (numéro INSEE ou numéro de sécurité sociale).

(3) Les destinataires des données

Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires des données :

-les personnes statutairement responsables de la gestion de l'association ;
-les services chargés de l'administration et de la gestion des membres ;
-éventuellement, les organismes gérant les systèmes d'assurance et de prévoyance, applicables aux activités de l'association.

Sous réserve de l'obtention d'un consentement, les données à caractère personnel traitées dans le cadre de l'activité de l'organisme peuvent faire l'objet :
― d'une diffusion sous la forme d'un annuaire ;
― d'une cession, location ou d'un échange à des fins de prospection, à l'exclusion d'opérations de prospection politique.

(4) La durée de conservation des données

Les données à caractère personnel ne peuvent être conservées après la démission, la radiation ou le départ, sauf accord exprès de l'intéressé.

S'agissant des donateurs, la commission recommande que les données ne soient pas conservées au-delà de deux sollicitations restées infructueuses.

Le responsable de traitement est tenu de prendre toutes mesures utiles pour s'assurer que les données sont exactes, complètes et mises à jour et correspondent à des personnes qui ne se sont pas opposées à recevoir des sollicitations. En tout état de cause, les données doivent être conservées pour une durée limitée.

(5) L’information et le consentement des personnes concernées

Les personnes concernées sont informées, lors de leur adhésion, de l'identité du responsable de traitement, des finalités poursuivies par le traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de leur droit d'opposition, d'accès et de rectification ainsi que des modalités d'exercice de leurs droits.