RGPD et bénévoles : quoi collecter, combien de temps

Avant de commencer : cet article n'est pas un avis juridique. Il présente les principes généraux du RGPD pour t'aider à te poser les bonnes questions. Pour les règles précises (durées de conservation, cas particuliers, formalités), la référence est la CNIL, qui publie sur cnil.fr des fiches et des guides destinés aux associations. En cas de doute sur ta situation, consulte-les ou fais-toi accompagner.

Pourquoi le RGPD concerne aussi ton association

Le RGPD ne vise pas que les grandes entreprises. Dès que ton association collecte et utilise des informations sur des personnes identifiables, elle traite des données personnelles et doit respecter ses principes. Une liste de bénévoles avec leurs numéros de téléphone en fait partie, tout comme un formulaire d'inscription ou un planning nominatif.

Bonne nouvelle : pour une association de festival, l'essentiel tient en quelques réflexes de bon sens. Collecter peu, savoir pourquoi, prévenir les personnes, protéger les fichiers, faire le ménage. Le reste découle de ces habitudes.

l'association ne peut pas conserver les données concernant ses anciens membres/adhérents de manière illimitée. Elle doit les supprimer trois ans après la fin de l'adhésion de la personne.

Les grands principes, appliqués aux bénévoles

Finalité : savoir à quoi sert chaque donnée

Chaque information que tu collectes doit servir un objectif précis et annoncé : organiser les créneaux, joindre un bénévole pendant l'événement, prévoir les repas. Une donnée collectée « au cas où » n'a pas de finalité claire. Et une donnée recueillie pour organiser le festival ne devrait pas être réutilisée pour autre chose sans que les personnes en soient informées.

Minimisation : ne demander que l'utile

C'est le principe le plus concret. Pour chaque champ de ton formulaire, demande-toi : est-ce que je vais vraiment m'en servir ? Si la réponse est non, supprime-le. Moins tu stockes de données, moins tu as à protéger, et moins une fuite fait de dégâts.

Base légale : sur quoi repose le traitement

Le RGPD exige qu'un traitement de données repose sur une base légale (par exemple le consentement, ou l'intérêt légitime de l'association). Le choix dépend de ta situation : c'est un point à vérifier dans les ressources de la CNIL plutôt qu'à deviner.

Information : prévenir les bénévoles

Les personnes doivent savoir qui collecte leurs données, pourquoi, qui y a accès, combien de temps elles sont gardées et comment exercer leurs droits. Concrètement, quelques lignes claires sur ton formulaire d'inscription, rédigées simplement, font l'affaire. La CNIL propose des exemples de mentions d'information.

Durée de conservation : ne pas tout garder pour toujours

Les données ne doivent pas être conservées indéfiniment : seulement le temps nécessaire à la finalité. Il n'existe pas une durée unique valable pour tout. Fixe une règle pour ton association en t'appuyant sur les recommandations de la CNIL, écris-la, et applique-la. Par exemple : décider, à chaque bilan d'édition, ce qu'on supprime et ce qu'on garde, et pourquoi.

Sécurité : protéger les fichiers

Tu dois prendre des mesures raisonnables pour éviter qu'une donnée fuite ou soit consultée par n'importe qui : accès limités aux personnes qui en ont besoin, comptes protégés, pas de fichier qui traîne en pièce jointe ou sur une clé USB perdue.

Droits des personnes : savoir répondre

Un bénévole peut demander à accéder à ses données, à les faire corriger ou supprimer, entre autres droits. Prévois qui, dans l'association, reçoit ces demandes et comment y répondre. Le plus simple : indiquer une adresse de contact dans la mention d'information.

Outils et sous-traitants : choisir en connaissance de cause

Formulaire en ligne, tableur partagé, messagerie, application de planning : chaque outil que tu utilises traite les données de tes bénévoles pour ton compte. Renseigne-toi sur l'endroit où les données sont hébergées, sur qui y a accès et sur les engagements de l'éditeur. La CNIL détaille les obligations liées aux sous-traitants.

Quelles données sont vraiment utiles pour un festival ?

Tout dépend de ton organisation, mais pour la plupart des festivals associatifs, le socle utile ressemble à ceci :

• nom et prénom, pour savoir qui est qui ;
• un moyen de contact (téléphone ou e-mail), pour joindre le bénévole avant et pendant l'événement ;
• les disponibilités et l'équipe ou le poste, pour construire le planning ;
• éventuellement une compétence liée au poste (permis pour conduire une navette, formation aux premiers secours).

Le reste mérite d'être questionné au cas par cas. La taille de t-shirt n'est utile que si tu en distribues. Une date de naissance complète est rarement nécessaire. Les informations de santé, comme les allergies alimentaires, sont des données sensibles qui appellent une vigilance particulière : ne les demande que si tu en as réellement besoin, limite strictement qui y a accès, et vérifie les règles applicables auprès de la CNIL.

Pour organiser ces informations sans multiplier les fichiers, voir aussi notre modèle de planning. Planning des bénévoles : le modèle

Les pièges les plus fréquents

Le tableur partagé à tout le monde

Le fichier des bénévoles, avec tous les numéros, partagé par lien « toute personne disposant du lien peut consulter » : c'est probablement le risque le plus courant. Le lien circule, se retrouve dans un e-mail transféré, et plus personne ne sait qui y a accès. Limite le partage aux personnes nommément autorisées, et ne donne à chaque responsable que les colonnes dont il a besoin.

Le groupe de messagerie qui expose les numéros

Dans un grand groupe de messagerie, chaque membre voit le numéro de tous les autres. Pour des bénévoles qui ne se connaissent pas, ce n'est pas anodin. Si tu utilises ce type de groupe, préviens-en les participants, et réfléchis à des outils qui ne rendent pas les numéros visibles à tous. WhatsApp pour les bénévoles d'un festival : les limites

Les photos publiées sans prévenir

Les photos des bénévoles en action font de beaux souvenirs et de bons posts. Mais une personne reconnaissable sur une photo, c'est aussi une donnée personnelle, et le droit à l'image s'applique. Préviens en amont, respecte les refus, et vérifie auprès de la CNIL ce qui s'applique à ta situation avant de publier.

Les fichiers qui s'accumulent d'une édition à l'autre

Export du formulaire, copie du planning, version « finale », version « finale 2 »… Au bout de trois éditions, les mêmes données existent en dix exemplaires, dans des boîtes mail et des ordinateurs personnels. Centralise, puis fais le ménage à chaque bilan.

Ce que fait Koolis, concrètement

Koolis est l'application que nous construisons pour les bénévoles de festival. Sans prétendre régler la question du RGPD à ta place, voici quelques choix techniques factuels qui vont dans le sens des principes ci-dessus :

• connexion par code à usage unique reçu par SMS ou par e-mail, sans mot de passe à retenir ni à faire fuiter ;
• à l'étape de connexion, l'application ne révèle pas si un numéro ou une adresse fait partie des bénévoles enregistrés ;
• les numéros de téléphone et les codes de connexion ne sont pas écrits en clair dans les journaux de l'application ;
• les droits sont attribués équipe par équipe : un responsable gère son équipe, pas tout le festival ;
• l'annuaire affiché aux bénévoles liste les responsables par service, saisis par l'administrateur du festival, et non les coordonnées de tous les bénévoles ;
• l'application est hébergée chez Vercel, avec une base de données Neon ; les deux sont configurées dans la région de Londres.

Ces choix ne dispensent pas ton association de ses propres obligations : informer les bénévoles, fixer des durées de conservation, répondre aux demandes. Un outil aide, il ne remplace pas ces décisions.

Pour le détail de la répartition des droits entre bénévoles, responsables et administrateurs, voir notre article dédié. Qui voit quoi : les permissions par équipe

Checklist pratique

• Lister toutes les données collectées sur les bénévoles, et où elles sont stockées.
• Supprimer les champs du formulaire qui ne servent à rien.
• Écrire en une phrase à quoi sert chaque donnée.
• Ajouter une mention d'information claire sur le formulaire d'inscription.
• Désigner une personne qui répond aux demandes des bénévoles sur leurs données.
• Restreindre l'accès aux fichiers aux personnes qui en ont besoin.
• Remplacer les liens de partage publics par des accès nominatifs.
• Prévenir avant de prendre et de publier des photos, et respecter les refus.
• Fixer une règle de conservation, en s'appuyant sur les recommandations de la CNIL.
• Faire le ménage dans les fichiers à chaque bilan d'édition.
• Consulter les ressources de la CNIL pour les associations en cas de doute.

La protection des données fait partie d'une organisation des bénévoles bien pensée, du recrutement au bilan. Pour la vue d'ensemble, lis notre guide. Comment organiser les bénévoles d'un festival