Article 91 du RGPD : les organisations religieuses

Une association religieuse ne peut pas se soustraire au RGPD en adoptant une charte interne. L’article 91 permet le maintien de certains ensembles de règles déjà appliqués lors de l’entrée en vigueur du règlement, sous conditions de conformité et de contrôle indépendant. Il faut distinguer ce mécanisme institutionnel de l’exception qui permet certains traitements de données religieuses.

Les conditions de l’article 91(1)

Le texte vise les églises, associations ou communautés religieuses qui appliquaient, dans un État membre, un ensemble complet de règles relatives à la protection des personnes à l’égard du traitement. Ces règles peuvent continuer à s’appliquer si elles sont mises en conformité avec le RGPD. RGPD, art. 91(1).

Trois questions doivent donc recevoir une réponse documentée :

• Quel ensemble de règles était effectivement appliqué ?
• Était-il appliqué à la date d’entrée en vigueur du RGPD ?
• Comment sa conformité avec le règlement est-elle assurée ?

La date de référence est le 24 mai 2016, à distinguer du 25 mai 2018, date d’application générale. Une politique rédigée après coup ne démontre pas l’antériorité requise. L’article 99 du RGPD explique cette distinction entre entrée en vigueur et application.

Le mécanisme ne confère pas un droit général de remplacer les garanties du règlement par des règles moins protectrices. Il ne suffit pas non plus de qualifier une organisation de religieuse pour prouver qu’elle remplit les conditions de l’article 91.

Une autorité spécifique doit rester indépendante

L’art. 91(2) prévoit le contrôle par une autorité indépendante, qui peut être spécifique, à condition de satisfaire aux exigences du chapitre VI. La possibilité d’une autorité spécifique n’équivaut donc pas à une simple surveillance par la direction de l’organisation ou par son DPO. RGPD, art. 91(2).

Le chapitre VI prévoit notamment l’indépendance, les conditions d’établissement et les missions et pouvoirs des autorités. Ces exigences ne disparaissent pas lorsque l’autorité est spécifique. RGPD, art. 51 à 58.

Pour une structure française, une affirmation d’autonomie doit donc être juridiquement étayée : corpus applicable, conditions de l’art. 91 et autorité compétente. Il serait erroné de déduire une exemption de la seule qualité d’association cultuelle, ou de conclure à une impossibilité générale du mécanisme à partir du seul principe de laïcité. Dans le contentieux français des registres de baptême examiné en 2024, la CNIL et le Conseil d’État ont bien appliqué le RGPD.

L’article 9(2)(d) répond à une autre question

Les convictions religieuses figurent parmi les catégories particulières de données de l’art. 9(1). L’art. 9(2)(d) prévoit une exception pour les activités légitimes d’un organisme à but non lucratif poursuivant notamment une finalité religieuse, avec des garanties appropriées. Le traitement doit concerner exclusivement ses membres, ses anciens membres ou les personnes entretenant avec lui des contacts réguliers en lien avec ses finalités. Le texte encadre également la communication hors de l’organisme, qui ne peut intervenir sans le consentement des personnes dans le cadre de cette exception. RGPD, art. 9(1) et 9(2)(d).

Cette exception ne dispense pas de rechercher une base légale au titre de l’art. 6(1), ni de respecter les finalités, la minimisation, l’information et la sécurité. Elle ne couvre pas automatiquement toute personne qui figure un jour dans un fichier de l’association. Pour les autres exceptions possibles, consultez le guide des données sensibles.

Exemple hypothétique : une association organise une activité ouverte au public. Elle ne doit pas présumer que chaque participant est un membre ou entretient des contacts réguliers. La gestion des inscriptions, une liste de bénévoles et un annuaire diffusé à l’extérieur peuvent demander des analyses distinctes.

Le registre de baptême : ce que le Conseil d’État a jugé

Dans sa décision du 2 février 2024, n° 461093, le Conseil d’État a confirmé la clôture d’une plainte demandant l’effacement de données du registre des baptêmes du diocèse d’Angers. Il a examiné la finalité du registre, ses accès limités, sa conservation matérielle et la possibilité d’inscrire une mention de renonciation au lien religieux. Il a retenu, dans ces circonstances, un motif légitime impérieux justifiant le maintien des données. Conseil d’État, décision n° 461093, points 7 à 11.

Cette décision ne signifie pas que toute organisation religieuse peut conserver indéfiniment tous ses fichiers, ni qu’une annotation suffit à toute demande d’effacement. Il faut examiner le traitement précis et les conditions des art. 17 et 21.

Le sujet appelle également une veille européenne : la CJUE a annoncé une audience le 30 juin 2026 dans l’affaire C-12/25, Bisdom Gent, portant sur l’effacement d’un registre de baptême et l’effet d’une mention marginale. L’annonce de cette audience ne constitue pas un arrêt sur le fond. CJUE, présentation officielle de l’affaire.

Organiser les fichiers et les demandes

Pour une association, commencez par distinguer les traitements : adhérents, anciens membres, dons, bénévolat, salariés, événements et éventuels registres religieux. Décrivez pour chacun la finalité, les personnes concernées, les destinataires et la durée justifiée. Le guide RGPD des associations fournit le cadre général.

Pour une demande d’accès ou d’effacement, identifiez les fichiers concernés et leur fondement. Expliquez la décision à la personne dans les conditions de l’art. 12, y compris les motifs d’un refus et les voies de recours lorsqu’ils sont requis. N’utilisez pas une réponse standard fondée uniquement sur le caractère religieux du fichier. RGPD, art. 12(3), 12(4), 17 et 21.

Limitez enfin les accès et les copies, en particulier pour les fichiers révélant des convictions. Le fait que plusieurs bénévoles participent aux activités ne justifie pas qu’ils disposent tous de la liste complète des personnes et de leur parcours.

Ce qu’il faut retenir

• L’article 91 concerne un ensemble complet de règles préexistantes et mises en conformité.
• Une autorité spécifique doit respecter les exigences d’indépendance du RGPD.
• L’exception de l’art. 9(2)(d) et la base légale de l’art. 6 répondent à des questions distinctes.
• Le cas du registre de baptême ne donne pas une règle uniforme pour tous les fichiers religieux.
• Chaque demande de droit doit être examinée et motivée au regard du traitement concerné.

FAQ

Une association peut-elle créer son propre régime au titre de l’article 91 ?

Une charte nouvelle ne suffit pas. L’article exige notamment un ensemble complet de règles appliqué à la date d’entrée en vigueur du RGPD et mis en conformité avec lui.

L’article 9(2)(d) ne concerne-t-il que les membres actuels ?

Non. Il vise aussi les anciens membres et les personnes ayant des contacts réguliers en lien avec les finalités de l’organisme, dans les conditions qu’il précise.

Toute demande d’effacement d’un fichier religieux peut-elle être refusée ?

Non. Il faut examiner le fichier, sa finalité, son fondement, les droits invoqués et les circonstances. La décision de 2024 sur un registre de baptême ne dispense pas de cette analyse.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.