Faits: A. Le 3 janvier 2006, A._ s'est adressé à l'Ecole polytechnique fédérale de Lausanne (EPFL), auprès de laquelle il était étudiant et employé jusqu'en 1999, en demandant l'accès à l'ensemble des données le concernant, en particulier celles relatives à ses statuts d'étudiant et d'employé, ainsi que les données en relation avec l'association "Ingénieurs du Monde-EPFL" (ci-après: l'association). Il désirait aussi connaître le but et la base juridique de chaque fichier. B. Le 9 février 2006, A._ a saisi la Commission fédérale de la protection des données (ci-après: la commission) en se plaignant de l'absence de réponse de la part de l'EPFL. Cette dernière l'a alors invité à consulter son dossier, des photocopies pouvant être obtenues contre le versement de 300 fr. d'avance de frais. A._ a également contesté cette décision. Le 11 mai 2006, l'EPFL a notamment confirmé que le dossier académique était à disposition de l'intéressé, que les données relatives au statut d'employé avaient été détruites à l'échéance du délai de conservation et que l'association était indépendante de l'EPFL. Aucun document nouveau n'avait été versé au dossier depuis sa dernière consultation par l'intéressé en novembre 1999. Le dossier académique a été produit devant la commission. A._ a prétendu que certains document manquaient au dossier. La cause a été transmise au Tribunal administratif fédéral (TAF) qui, par arrêt du 13 février 2008, a rejeté le recours dans la mesure de sa recevabilité. Le recourant avait renoncé à contester le montant de l'avance exigée pour les photocopies; l'EPFL s'était exprimée en cours de procédure sur le but et les fondements légaux de la collecte de données, de sorte que le recours était sans objet sur ces points; il était irrecevable dans la mesure où il concernait des informations relatives à un tiers, soit l'association. Sur le fond, le recourant ne rendait pas vraisemblable que l'EPFL ait dissimulé des pièces du dossier. C. A._ forme un recours en matière de droit public contre cet arrêt. Il conclut à ce que lui soit reconnu le droit d'accéder aux données le concernant relatives à l'association, à ce que l'EPFL indique le but et la base juridique du traitement de ces données, ainsi que les catégories de données, les participants au fichier et les destinataires des données. Le TAF et l'EPFL concluent au rejet du recours 