Fichier d'adhérents syndicaux et RGPD : ce que dit la loi

Une donnée sensible, pas une donnée comme les autres

Le règlement général sur la protection des données range l'appartenance syndicale parmi les catégories particulières de données, aux côtés des opinions politiques, des convictions religieuses, de la santé ou de l'orientation sexuelle. L'article 9.1 pose une règle simple : le traitement de ces données est interdit.

Cette interdiction de principe n'est pas une figure de style. Elle signifie qu'un fichier d'adhérents ne relève pas du régime ordinaire : il ne suffit pas d'avoir une bonne raison de le tenir, il faut relever d'une des exceptions limitativement énumérées à l'article 9.2. Et elle s'accompagne, en droit français, d'un régime de sanctions plus sévère : la révélation ou le détournement de ce type de données expose à des peines pénales.

Une conséquence pratique en découle immédiatement : la seule liste des noms suffit. Il n'est pas nécessaire qu'un fichier porte la mention « opinions » pour être sensible. Un tableau intitulé « adhérents 2026 », posé sur un espace de partage, est en lui-même un traitement de données révélant l'appartenance syndicale de chaque personne qui y figure.

L'exception qui autorise le syndicat à tenir son fichier

L'exception qui intéresse les syndicats est celle de l'article 9.2.d du RGPD. Elle lève l'interdiction lorsque le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par un organisme à but non lucratif poursuivant une finalité notamment syndicale. Elle est assortie de trois conditions cumulatives.

1. La qualité de l'organisme et ses garanties. Le traitement doit être mis en œuvre par une fondation, une association ou un autre organisme à but non lucratif à finalité politique, philosophique, religieuse ou syndicale, dans le cadre de ses activités légitimes et « moyennant les garanties appropriées ». Un syndicat professionnel remplit la première partie ; la seconde — les garanties — est celle que l'on oublie, et c'est une obligation à part entière, pas une clause de style.
2. Le périmètre des personnes. Le traitement doit se rapporter exclusivement aux membres, aux anciens membres de l'organisme, ou aux personnes entretenant avec lui des contacts réguliers en lien avec ses finalités. Un fichier de « sympathisants » constitué à partir de listes du personnel sort de l'exception.
3. La non-communication à l'extérieur. Les données ne doivent pas être communiquées en dehors de l'organisme sans le consentement des personnes concernées. C'est la condition la plus lourde de conséquences, et l'objet de la section suivante.

Pourquoi l'article 9 ne suffit pas

C'est l'erreur la plus répandue. L'article 9 lève une interdiction ; il ne fournit pas de base légale. Tout traitement doit en plus reposer sur l'une des six bases de l'article 6. Pour un fichier d'adhérents, il s'agit en général de l'exécution du contrat d'adhésion (article 6.1.b) ou de l'intérêt légitime du syndicat (article 6.1.f).

Deux fondements, donc, et non un seul : l'article 6 pour la licéité, l'article 9 pour la levée de l'interdiction. Le registre des traitements doit mentionner les deux — c'est exactement le point sur lequel une politique de confidentialité écrite à la va-vite se trompe, en invoquant « le consentement » là où l'adhésion elle-même suffit.

Le fichier ne doit pas parvenir à l'employeur

La troisième condition de l'article 9.2.d — pas de communication en dehors de l'organisme sans consentement — vise en premier lieu l'employeur. Le droit du travail dit la même chose par un autre chemin.

• Article L. 2141-5 du code du travail : il est interdit à l'employeur de prendre en considération l'appartenance à un syndicat ou l'exercice d'une activité syndicale pour arrêter ses décisions, notamment en matière de recrutement, de répartition du travail, de formation, de rémunération, d'avancement, de mesures disciplinaires ou de rupture du contrat. Encore faut-il, pour que cette interdiction protège, que l'employeur ne dispose pas de la liste.
• Article L. 2141-6 du code du travail : il est interdit à l'employeur de prélever les cotisations syndicales sur les salaires de son personnel et de les payer à leur place. Cette interdiction s'explique par la même raison — la paie révélerait autrement, mois après mois, qui est adhérent. C'est pourquoi les cotisations doivent être encaissées par le syndicat lui-même.

Il faut en tirer une conséquence concrète, souvent négligée : l'outil qui héberge le fichier ne doit pas être fourni par l'employeur. Un tableur déposé sur l'espace de partage de l'entreprise, une liste envoyée depuis une messagerie professionnelle, un dossier partagé sur le réseau interne : dans les trois cas, l'administrateur informatique de l'entreprise peut y accéder, et le syndicat a perdu la maîtrise de sa donnée la plus sensible.

Les obligations pratiques du syndicat

Le syndicat est responsable de traitement : c'est lui qui décide de la finalité et des moyens, et c'est donc lui qui répond des obligations suivantes.

Tenir un registre des activités de traitement (article 30)

Le registre est un document interne qui décrit chaque traitement : finalité, catégories de personnes et de données, destinataires, durées de conservation, mesures de sécurité. La dispense prévue pour les organismes de moins de 250 personnes ne joue pas lorsque le traitement porte sur des données de l'article 9 (article 30.5). Un syndicat de dix adhérents doit donc tenir un registre.

Restreindre les accès et sécuriser (article 32)

L'article 32 impose des mesures « appropriées au risque ». Pour un fichier d'adhérents, cela signifie au minimum : des comptes nominatifs (jamais un identifiant partagé par tout le bureau), des droits différenciés selon la fonction — un trésorier n'a pas besoin des mêmes accès qu'un élu —, le chiffrement des échanges, des sauvegardes elles-mêmes protégées, et la révocation immédiate des accès au départ d'un responsable.

Fixer des durées de conservation (article 5.1.e)

Aucun texte ne fixe de durée pour un fichier d'adhérents : c'est au syndicat de la déterminer et de la justifier. La règle est celle de la nécessité. En pratique, on distingue les données d'adhésion, qui n'ont plus de raison d'être conservées longtemps après le départ de l'adhérent, et les pièces comptables et fiscales, dont la conservation répond à d'autres obligations. La durée retenue doit figurer au registre et être annoncée aux adhérents.

Informer les adhérents et permettre l'exercice de leurs droits

Chaque adhérent doit savoir, au moment de son adhésion, quelles données sont collectées, pourquoi, combien de temps elles sont conservées et à qui elles peuvent être transmises (articles 12 à 14). Il dispose ensuite d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21), à exercer auprès d'un interlocuteur identifié.

Savoir réagir à une violation de données (articles 33 et 34)

Perte d'un ordinateur, envoi d'une liste au mauvais destinataire, accès non autorisé : la violation doit être notifiée à la CNIL dans les 72 heures suivant sa connaissance, sauf si elle est peu susceptible d'engendrer un risque. Avec des données révélant l'appartenance syndicale, le risque est presque toujours élevé, ce qui impose en outre d'informer individuellement les personnes concernées.

Encadrer ses prestataires (article 28)

Dès qu'un tiers héberge ou traite le fichier pour le compte du syndicat — hébergeur, éditeur de logiciel, prestataire de prélèvement —, il agit comme sous-traitant. La relation doit être formalisée par un contrat qui fixe l'objet, la durée, la finalité, les obligations de sécurité, le sort des données en fin de contrat et l'encadrement des sous-traitants ultérieurs. Un service utilisé sans ce contrat place le syndicat en infraction, même si le service est bon.

S'interroger sur l'analyse d'impact (article 35)

Une analyse d'impact relative à la protection des données est requise lorsque le traitement est susceptible d'engendrer un risque élevé, ce que l'article 35.3.b présume notamment pour le traitement à grande échelle de données de l'article 9. La question mérite d'être posée dès que le fichier dépasse le cadre d'une petite section, en particulier lorsque les personnes concernées se trouvent, vis-à-vis de l'employeur, dans une situation de subordination.

Le cas du tableur partagé

C'est la situation la plus fréquente, et il faut être précis : un tableur n'est pas illégal. Rien dans le RGPD n'impose un logiciel. Ce qui pose problème, ce sont les garanties qui manquent presque toujours autour de lui.

• Aucune trace des accès. Impossible de savoir qui a ouvert le fichier, quand, ni ce qu'il en a fait.
• Des copies qui se multiplient. Chaque envoi par courriel crée un exemplaire hors de tout contrôle, y compris sur des boîtes personnelles.
• Des droits tout ou rien. Celui qui peut lire peut tout lire, y compris ce qui ne le concerne pas.
• Le départ d'un responsable. Le fichier reste sur son ordinateur, et personne ne le sait.
• L'hébergement non maîtrisé. Un espace de partage grand public, choisi sans contrat de sous-traitance et parfois hors de l'Union européenne, ne satisfait ni l'article 28 ni le chapitre V du RGPD.
• Le lien de partage. « Toute personne disposant du lien » est un mode de diffusion, pas une mesure de sécurité.

Le tableur devient acceptable s'il est chiffré, stocké sur un support maîtrisé par le syndicat, non partagé par lien, sauvegardé, et si les accès sont documentés. Autant dire qu'à ce stade, on a reconstitué à la main ce qu'un outil dédié fait par construction.

Comment Adhereo 360 y répond

Adhereo 360 est un logiciel en ligne conçu pour les organisations syndicales. Sur ce sujet précis, voici ce qu'il apporte — et ce qu'il n'apporte pas.

• Un espace privé et cloisonné par syndicat, à sa propre adresse. Les données d'un syndicat ne sont accessibles que depuis son espace, par les comptes qui lui appartiennent.
• Des comptes nominatifs et des droits par fonction : secrétaire, trésorier, élu, adhérent ne voient pas la même chose.
• Aucune exposition publique : les espaces clients sont interdits d'indexation et d'exploration, les listes d'utilisateurs et les flux ne sont pas accessibles sans authentification, et aucun avatar n'est chargé depuis un service tiers.
• Un hébergement en France, avec des sauvegardes chiffrées quotidiennes expédiées vers un stockage distinct.
• Aucune revente, aucune publicité, aucun profilage. Le modèle économique est l'abonnement, rien d'autre.
• L'export des données à tout moment : le syndicat reste propriétaire de son fichier et peut partir avec.

Ce qu'Adhereo 360 ne fait pas, et ne peut pas faire à votre place : le syndicat demeure responsable de traitement. C'est lui qui décide de ce qui entre dans le fichier, qui rédige son registre, qui fixe ses durées de conservation et qui répond aux demandes de ses adhérents. Codélior Studio, éditeur du logiciel, intervient comme sous-traitant au sens de l'article 28 : il traite les données sur instruction du syndicat, et pour lui seul.

Questions fréquentes

Un syndicat a-t-il le droit de tenir un fichier de ses adhérents ?

Oui. L'appartenance syndicale est une donnée sensible au sens de l'article 9.1 du RGPD, dont le traitement est interdit par principe, mais l'article 9.2.d lève cette interdiction pour un organisme à but non lucratif à finalité syndicale qui traite les données de ses propres membres, anciens membres ou personnes en contact régulier avec lui, dans le cadre de ses activités légitimes et avec des garanties appropriées, à condition que ces données ne soient pas communiquées en dehors de l'organisme sans le consentement des personnes concernées.

Un syndicat peut-il communiquer la liste de ses adhérents à l'employeur ?

Non, sauf consentement de chaque personne concernée. L'article 9.2.d du RGPD conditionne expressément l'exception dont bénéficie le syndicat au fait que les données ne sortent pas de l'organisme sans ce consentement. Communiquer la liste exposerait par ailleurs les adhérents au risque que leur appartenance syndicale soit prise en considération par l'employeur, ce que l'article L. 2141-5 du code du travail interdit. C'est la même logique qui explique l'article L. 2141-6, lequel interdit à l'employeur de prélever les cotisations syndicales sur les salaires.

Faut-il le consentement de l'adhérent pour l'inscrire dans le fichier ?

L'article 9.2.d ne repose pas sur le consentement : il autorise le traitement du seul fait que la personne est membre de l'organisme. Il reste nécessaire d'identifier en parallèle une base légale au titre de l'article 6 du RGPD, généralement l'exécution du contrat d'adhésion ou l'intérêt légitime du syndicat. Le consentement redevient en revanche indispensable pour toute communication des données en dehors du syndicat.

Un syndicat doit-il tenir un registre des activités de traitement ?

Oui. La dispense prévue pour les organismes de moins de 250 personnes ne s'applique pas lorsque le traitement porte sur des catégories particulières de données au sens de l'article 9 (article 30.5 du RGPD). Un fichier d'adhérents syndicaux entre dans ce cas : le registre est obligatoire, quelle que soit la taille du syndicat.

Que faire en cas de fuite du fichier des adhérents ?

La violation doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance (article 33 du RGPD), sauf si elle est peu susceptible d'engendrer un risque. S'agissant de données révélant l'appartenance syndicale, le risque est en pratique élevé : les personnes concernées doivent alors en être informées individuellement, dans les meilleurs délais (article 34).