Fichier d'adhérents : prospects pour les partenaires ?

Un sponsor finance une association et demande la liste des adhérents pour présenter ses offres. Le financement ne lui donne pas, à lui seul, un droit d’accès au fichier. L’association doit distinguer les données nécessaires à l’adhésion de celles qu’elle envisage de transmettre pour la prospection du partenaire. Cette analyse reste nécessaire lorsque la remise du fichier est gratuite.

La décision commence par une question concrète : quel service le membre a-t-il demandé, et à qui a-t-il accepté ou pu raisonnablement s’attendre à communiquer ses coordonnées ? Un fichier utile à l’organisation de la communauté ne constitue pas une réserve de contacts librement mobilisable pour ses financeurs.

Identifier l’opération réellement demandée par le partenaire

« Partenariat » peut désigner plusieurs relations. Un prestataire gère les inscriptions pour le compte de l’association ; un organisme délivre une prestation demandée par le membre ; un sponsor souhaite remplir son propre fichier commercial. Ces situations n’impliquent ni les mêmes destinataires ni les mêmes fondements.

Les Art. 5(1)(b)-(c) et 6(1) du RGPD imposent une finalité, des données nécessaires et un fondement. Les statuts peuvent décrire les activités de l’association ; ils ne rendent pas automatiquement chaque export nécessaire à la relation d’adhésion. Une clause générale autorisant « tous échanges avec nos partenaires » ne résout pas ces questions.

Vérifiez aussi qui adhère : une personne physique, une entreprise ou une autre association. Les coordonnées nominatives du représentant d’une organisation demeurent des données personnelles. Lorsque seule l’entreprise est partie au contrat d’adhésion, la base contractuelle ne s’applique pas automatiquement aux traitements concernant son salarié ; examinez le fondement adapté à ce contact professionnel.

Ne pas confondre transmission et droit de prospecter

L’association doit justifier sa communication des données ; le partenaire doit justifier leur réception et leurs usages. Un accord entre les deux organismes ne remplace pas cette analyse. Il ne transforme pas non plus l’adhérent en client du sponsor.

Le référentiel commercial de la CNIL, section 6, distingue les transmissions selon le régime de prospection envisagé. Lorsque la prospection exige un consentement préalable, il prévoit également le consentement à la transmission et recommande de recueillir, dès l’origine, le choix relatif aux partenaires identifiés. Ce référentiel non contraignant fournit des orientations à adapter au contexte associatif ; il n’autorise pas à lui seul un export.

Pour des offres par email destinées à des particuliers, examinez le principe de consentement préalable de l’article L. 34-5 du CPCE. Le fait que l’expéditeur soit une association ne retire pas son caractère commercial à une promotion des produits du sponsor.

Pour une sollicitation professionnelle, la CNIL envisage l’intérêt légitime lorsque l’offre concerne la profession, avec information et opposition simple. Il faut néanmoins examiner l’origine, les attentes et la nécessité de la transmission. Une association d’ingénieurs ne peut pas supposer que tous ses membres souhaitent recevoir n’importe quelle offre parce qu’ils ont un métier.

Le guide de prospection commerciale aide à qualifier les circuits. Une campagne présentée comme « information des membres » doit être appréciée d’après son contenu et son objectif, et pas seulement son objet d’email.

Examiner ce que révèle l’appartenance à l’association

Un fichier associatif peut révéler des opinions politiques, des convictions religieuses, une appartenance syndicale ou des informations de santé. Une adresse email ordinaire peut alors être associée à une donnée sensible par le seul fait de figurer dans cette liste. Il faut articuler une base de l’Art. 6 avec une condition applicable de l’Art. 9(2).

L’Art. 9(2)(d) prévoit un cadre pour les activités légitimes de certains organismes sans but lucratif poursuivant une finalité politique, philosophique, religieuse ou syndicale, avec des garanties et un périmètre de personnes définis. Il exige notamment que les données ne soient pas communiquées hors de l’organisme sans le consentement des personnes concernées. Ce n’est donc pas une autorisation générale de transmettre le fichier à un sponsor.

Une association d’entraide liée à une pathologie ne relève pas automatiquement de cette exception du seul fait qu’elle est associative. Elle doit identifier la condition réellement applicable. Si l’Art. 9(2)(a) est retenu, le consentement doit être explicite et spécifique à l’usage concerné. Le financement de l’association ne fournit pas, par lui-même, une exception à l’interdiction de traiter ces catégories de données.

Examinez enfin les intitulés transmis. Un tableau sans colonne « santé » peut encore la révéler par le nom du programme, une liste d’inscription spécialisée ou le champ « groupe local ». Enlever les détails de diagnostic ne suffit pas nécessairement à faire disparaître la sensibilité du fichier.

Choisir une mise en relation plutôt qu’une remise générale

Le partenaire peut présenter son offre dans un espace identifié, accessible aux membres qui souhaitent la consulter. Ceux qui sont intéressés remplissent ensuite eux-mêmes une demande sur son formulaire. Cette organisation réduit la transmission initiale et permet au partenaire de fournir sa propre information au moment de la collecte.

Elle ne supprime pas l’analyse du message envoyé par l’association pour promouvoir cet espace. Vérifiez sa finalité, les règles du canal et les choix des membres. Évitez également les liens contenant un identifiant individuel qui livrent silencieusement au sponsor l’identité du visiteur avant toute demande.

Autre option : l’association transmet uniquement les coordonnées des membres ayant demandé une mise en relation précise. Le formulaire doit identifier l’organisme destinataire, le service et les données envoyées. Si un consentement est retenu, sa preuve doit correspondre à cette opération. Une demande de devis ne vaut pas automatiquement abonnement à toutes les newsletters du partenaire.

Un dossier de décision associatif renseigné

Voici une hypothèse fictive. Une association professionnelle réunit 240 membres et reçoit une demande du sponsor Atelier Mica pour exporter tous les emails. Le sponsor souhaite promouvoir une formation. Les anciens formulaires d’adhésion décrivent les cotisations, les événements et l’annuaire interne ; aucun élément ne documente cette transmission commerciale.

L’association ne lance pas l’export général. Elle choisit de proposer une page d’information dans l’espace membres, puis une demande volontaire de contact avec Atelier Mica. Cette décision ne signifie pas qu’un consentement serait universellement nécessaire à toute prospection professionnelle : elle tient ici au périmètre non prévu et à l’existence d’une solution moins intrusive pour l’objectif retenu.

Pour cette mise en relation facultative, l’association et Atelier Mica retiennent ici le consentement de l’Art. 6(1)(a), avec un choix décrivant la transmission et le contact demandé. Les autres usages éventuels restent séparés.

Supposons que 18 membres demandent explicitement à être rappelés par le partenaire pour cette formation. Deux annulent avant la transmission. Le fichier remis comprend donc 16 demandes actives, avec les coordonnées utiles et l’objet de la demande. Il ne contient ni les 240 emails ni les détails des cotisations. Le dossier précise la version de l’information et la date de chaque choix ; ces chiffres sont illustratifs, sans résultat réel allégué.

Atelier Mica utilise ces données dans le cadre annoncé et fournit les informations requises. Si l’association collecte directement pour ce destinataire avec un parcours transparent, les responsabilités et l’information doivent refléter cette organisation ; si le partenaire reçoit les données indirectement, il examine notamment l’Art. 14. La transmission n’autorise pas un élargissement ultérieur à d’autres formations ou marques sans analyse.

Donner au sponsor un bilan qui ne livre pas les membres

Le financeur peut légitimement souhaiter comprendre l’utilisation de son soutien. Il n’a pas nécessairement besoin de l’identité de chaque bénéficiaire. Un bilan peut présenter le nombre d’événements, les participations ou les demandes de mise en relation, avec une méthode de comptage expliquée.

Évitez les croisements qui isolent une personne : fonction très rare, petite commune et groupe de deux membres. Un tableau agrégé n’est pas automatiquement anonyme. Supprimez les cellules trop révélatrices, regroupez des catégories ou limitez le détail selon le contexte. Aucun seuil numérique unique ne garantit à lui seul l’impossibilité de réidentifier.

Dans le cas fictif, indiquer 16 demandes actives peut suffire au bilan du sponsor. Ajouter les noms des deux personnes qui se sont rétractées serait inutile à cet objectif et exposerait leur choix. La preuve du respect d’un retrait doit rester dans le circuit qui en a besoin, avec des accès limités.

Encadrer les rôles, les droits et la sortie du fichier

Un sponsor utilisant les coordonnées pour ses propres offres agit généralement comme responsable de ce traitement ; il ne devient pas sous-traitant parce qu’il signe un accord de confidentialité. Si les organismes déterminent conjointement les finalités et moyens d’une collecte commune, examinez l’Art. 26. Si un prestataire agit seulement pour le compte de l’association, appliquez les conditions de l’Art. 28. Textes relatifs aux responsabilités.

Formalisez les données remises, l’usage, le destinataire, le canal sécurisé, les accès et le traitement des demandes. Les contrôles de provenance du guide de l’achat de fichiers sont utiles même pour un partenariat sans paiement. Le contrat doit permettre de connaître les réutilisations prévues et les éventuels autres destinataires ; une phrase « partenaire conforme RGPD » n’apporte pas cette visibilité.

Les Art. 13 et 14 encadrent l’information ; l’Art. 19 prévoit, dans ses conditions, la notification aux destinataires des rectifications, effacements et limitations. Les Art. 21(2)-(3) imposent l’arrêt de la prospection après opposition. Organisez les échanges sans transformer chaque demande en un renvoi sans fin entre association et sponsor. Droits des personnes.

Fixez enfin les durées selon chaque finalité. La fin de l’adhésion, la clôture de la demande de contact et la fin du partenariat sont des événements différents. L’un ne doit pas automatiquement prolonger les autres. Pour plusieurs identités commerciales, précisez aussi la portée des newsletters multimarques : un membre ne doit pas découvrir une chaîne de destinataires après avoir choisi un seul interlocuteur.

Ce qu’il faut retenir

• L’adhésion et le financement ne justifient pas une remise générale du fichier.
• Examinez la transmission, les usages du partenaire et les règles de chaque canal.
• Vérifiez si l’appartenance révèle des données sensibles.
• Préférez une demande volontaire de contact ou un bilan agrégé lorsque cela suffit.

FAQ

Une cession gratuite échappe-t-elle au RGPD ?

Non. La communication reste un traitement de données personnelles. L’absence de prix ne dispense ni de fondement, ni d’information, ni de respect des droits.

Les statuts peuvent-ils autoriser tous les partenaires futurs ?

Une clause générale ne démontre pas la nécessité de chaque traitement et ne garantit pas un consentement spécifique. Examinez les usages réels, les destinataires et les choix présentés aux membres.

Un annuaire interne peut-il être remis au sponsor ?

Sa consultation entre membres et sa réutilisation commerciale par un tiers sont des opérations différentes. Vérifiez la finalité, le fondement, l’information et les éventuelles restrictions avant tout export.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.