Les données personnelles des bénévoles : quoi demander, quoi garder

Publié le 18/09/2026

Une liste de bénévoles est un fichier de données personnelles, avec des noms, des adresses, des numéros et parfois des informations de santé. Le RGPD ne demande pas grand-chose à une association ; il demande d'y avoir réfléchi une fois.

Cet article décrit un cadre réglementaire à la date de sa publication, pour vous aider à poser les bonnes questions. Il ne remplace ni votre mairie, ni votre préfecture, ni votre assureur, ni un conseil juridique : vérifiez auprès d'eux avant de décider. L'équipe de Volunteo organise des bénévoles, elle n'est pas juriste.

La règle qui résume toutes les autres : ne demandez que ce qui sert

C'est le principe de minimisation, et c'est le seul qu'il faut retenir si l'on ne doit en retenir qu'un. Avant d'ajouter une question au formulaire d'inscription, demandez-vous ce que vous feriez de la réponse. La date de naissance sert si vous accueillez des mineurs ou si vous servez de l'alcool ; l'adresse postale ne sert que si vous envoyez quelque chose par la poste.

Le tri se fait naturellement en trois tas :

Indispensable : nom, prénom, un moyen de contact — email, et téléphone pour le jour J.
Utile selon l'événement : date de naissance, taille de tee-shirt, permis de conduire, langues parlées, disponibilités, équipes souhaitées.
À éviter, sauf raison précise : numéro de sécurité sociale, situation familiale, profession, photo si elle ne sert à aucun badge.

Les données de santé, à traiter à part

Une allergie alimentaire, un traitement, une restriction physique sont des données de santé. On peut avoir de bonnes raisons de les demander — un repas à fournir, un poste à adapter — mais elles demandent plus de précautions : ne les recueillir que si elles sont réellement nécessaires, en expliquer l'usage, en restreindre l'accès aux personnes qui en ont besoin, et les supprimer plus tôt que le reste.

Qui est responsable de quoi

C'est l'association organisatrice qui décide quelles informations demander, qui y accède et combien de temps elles sont gardées : elle est responsable du traitement. L'outil qu'elle utilise pour les héberger est son sous-traitant, et doit lui proposer un contrat écrit — un accord de sous-traitance au sens de l'article 28 du RGPD.

C'est exactement la relation que décrit notre politique de confidentialité, et l' accord de sous-traitance se télécharge, pré-rempli, pour être versé à votre propre registre.

Ce qu'il faut dire aux bénévoles, et où

Une mention courte sur le formulaire d'inscription suffit, à condition qu'elle réponde aux quatre questions que la personne se pose : qui collecte, pour quoi faire, combien de temps c'est gardé, et comment demander la modification ou l'effacement. Trois phrases et une adresse de contact.

Combien de temps garder la liste

Le RGPD ne fixe pas de durée : il demande une durée justifiée par la finalité. En pratique, pour une association qui organise un événement récurrent :

Les coordonnées et le poste tenu : jusqu'à l'édition suivante, plus une marge — vous en avez besoin pour réinviter, c'est une finalité légitime, et le bénévole doit pouvoir s'y opposer.
Les pièces jointes fournies par les bénévoles (certificats, autorisations) : le temps de l'édition et des obligations qui s'y rattachent, pas au-delà.
Les données de santé : le temps de l'événement.
Les documents comptables : selon les durées légales applicables, indépendamment de tout le reste.

Écrivez ces durées une fois, appliquez-les, et notez la date de la dernière purge. Une durée écrite et jamais appliquée est pire qu'une durée non écrite.

Cinq demandes auxquelles il faut savoir répondre

« Quelles données avez-vous sur moi ? » — vous devez pouvoir les lui montrer ou les lui transmettre.
« Corrigez mon numéro. » — modification immédiate, ou par la personne elle-même si elle a un compte.
« Effacez-moi. » — suppression, sous réserve de ce que vous devez conserver par ailleurs, en l'expliquant.
« Ne m'écrivez plus. » — opposition : elle ne s'oppose pas à ce que vous conserviez l'historique, seulement à la sollicitation.
« Retirez cette photo. » — le droit à l'image se traite à part, et se prépare : demandez l'accord à l'inscription, et dites où les photos seront publiées.

Le délai de réponse est d'un mois. Dans une association, la vraie difficulté n'est pas le délai, c'est de savoir qui répond : nommez une personne, et faites-la figurer sur la mention d'information.

Les trois erreurs les plus fréquentes

Le tableur partagé par lien public. Une liste de deux cents bénévoles accessible à qui a l'adresse est une fuite de données en attente. Voir Volunteo ou un tableur.
Le fichier qui ne meurt jamais, recopié d'année en année, avec des gens qui n'ont pas participé depuis dix ans.
Le groupe de discussion en copie visible : deux cents adresses email diffusées à deux cents personnes, à chaque envoi. Un envoi groupé par l'outil règle le problème en même temps qu'il rend le message lisible. Voir les emails aux bénévoles.

Questions fréquentes

Faut-il tenir un registre des traitements ?

Le registre est la règle, avec des allègements pour les petites structures dans certains cas. Il est de toute façon utile : c'est le document qui vous fait décider, une fois, quelles données vous gardez et combien de temps. La CNIL publie un modèle simplifié.

Faut-il le consentement des bénévoles ?

Pour gérer la participation à votre événement, la base légale n'est généralement pas le consentement mais l'exécution de la relation et l'intérêt légitime de l'association. Le consentement s'impose en revanche pour ce qui dépasse ce cadre : photos, sollicitations pour d'autres événements, communications qui ne concernent pas leur participation.

Peut-on partager la liste des bénévoles avec un partenaire ?

Pas par défaut. Un partenaire qui gère son propre groupe doit accéder à ses membres, pas à toute la liste. Des accès par équipe ou par groupe règlent cela proprement, sans envoi de fichier.