Pour assurer la sécurité des données d'une association, et en particulier celles de ses donateurs, il faut limiter les accès, protéger les comptes et les fichiers, encadrer les prestataires et savoir réagir à une fuite : la CNIL demande de la signaler dans les 72 heures. Les données des donateurs (identité, adresse, montant des dons) relèvent du RGPD comme tout autre fichier de l'association.
Qui doit pouvoir accéder aux données des donateurs ?
Le moins de personnes possible, seulement celles dont la mission le nécessite
Quelles mesures de base ?
Locaux et armoires fermés, mots de passe individuels renouvelés, antivirus, sauvegardes
Que faire en cas de fuite ?
Documenter l'incident, signaler à la CNIL dans les 72 heures si un risque existe pour les personnes
Peut-on transmettre un fichier de donateurs à une autre association ?
Oui, sous conditions : information et possibilité de s'opposer dès la collecte
Quel délai pour répondre à un donateur qui demande ses données ?
1 mois, trois mois au maximum si la demande est complexe
Un DPO est-il obligatoire ?
Pas en général pour une association, mais la CNIL recommande de désigner un référent
Pourquoi les données des donateurs demandent de la vigilance
Une association détient des noms, des adresses postales, des e-mails et l'historique des dons de ses soutiens. Si ces données fuitent, les risques pour les personnes sont notamment l'usurpation d'identité et le phishing, qui consiste à se faire passer pour l'association pour tromper un donateur. La confiance des donateurs dépend de la façon dont vous protégez leurs informations.
Les principes du RGPD à appliquer aux donateurs
Finalité claire : un e-mail collecté pour envoyer un reçu fiscal ne doit pas servir à autre chose sans information ou accord.
Minimisation : ne demandez que ce qui est utile. Avez-vous besoin de la date de naissance d'un donateur ? Pour un reçu fiscal, le nom et l'adresse suffisent.
Durée limitée : définissez la durée de conservation de chaque fichier. Les justificatifs comptables et fiscaux suivent leurs délais légaux.
Sécurité et confidentialité : seules les personnes habilitées accèdent aux données.
Transparence : informez les donateurs à chaque collecte.
Les bases légales les plus courantes
Le contrat : traiter un don et envoyer le reçu correspondant.
L'obligation légale : conserver les pièces comptables.
L'intérêt légitime : par exemple recontacter un ancien soutien, à condition de respecter ses droits.
Le consentement : libre, spécifique, éclairé et univoque. Une case pré-cochée n'est pas valable. Ne regroupez pas « recevoir mon reçu fiscal » et « recevoir la newsletter » dans une seule case.
Sécuriser concrètement les données
Limiter les accès : un bénévole qui s'occupe de la logistique n'a pas besoin du fichier des donateurs. Définissez des profils d'accès selon les tâches.
Mots de passe individuels : un par personne, renouvelés régulièrement, et retirés quand un dirigeant ou un bénévole part. La CNIL publie des conseils pour choisir un bon mot de passe.
Antivirus et mises à jour sur les ordinateurs qui contiennent le fichier.
Sauvegardes régulières, et test de la restauration.
Locaux et papier : armoires fermées à clé, et destruction des documents papier par déchiquetage ou dans un conteneur confidentiel.
Pas de copies multiples : un tableur qui circule par e-mail devient vite incontrôlable.
Sensibilisation : un simple e-mail d'hameçonnage peut compromettre un fichier. Prévenez vos bénévoles.
Encadrer les prestataires
Votre hébergeur, votre outil d'e-mailing ou votre solution de paiement traitent des données pour votre compte : ce sont des sous-traitants. Le RGPD demande de les encadrer par un contrat qui fixe leurs engagements. Voir aussi connecter Stripe à une association.
Le registre et la politique de confidentialité
Le registre des traitements est en pratique obligatoire : la dérogation prévue pour les structures de moins de 250 salariés est limitée à des cas très particuliers (CNIL). Le modèle simplifié de la CNIL convient aux associations. Pour les donateurs, prévoyez des lignes comme : gestion des dons, émission des reçus fiscaux, communication par e-mail, gestion des bénévoles.
Votre politique de confidentialité doit indiquer le responsable du fichier, les finalités et bases légales, les catégories de données, les destinataires (dont les prestataires de paiement), les durées de conservation, les droits des personnes et la possibilité de réclamer auprès de la CNIL. Rendez-la accessible sur votre site, sur votre page de don, dans vos formulaires et au pied de vos e-mails.
Répondre aux demandes des donateurs
Un donateur peut demander l'accès à ses données, leur rectification, leur effacement, la limitation du traitement, la portabilité, ou s'opposer à un traitement, notamment à la prospection. Vous devez répondre dans un délai court, 1 mois au maximum ; si la demande est complexe, informez la personne de la prolongation dans ce même mois, sans dépasser 3 mois. Désignez un référent, créez une adresse e-mail dédiée et vérifiez l'identité du demandeur. Pour la désinscription, mettez un lien dans chaque e-mail.
Transmettre un fichier de donateurs à une autre association
Pour la prospection caritative, l'échange de fichiers entre associations est possible si, dès la première collecte, les donateurs ont été informés que leurs données peuvent servir à la prospection caritative et être transmises à des partenaires du secteur, et s'ils pouvaient s'y opposer simplement et gratuitement, par exemple avec une case à cocher. Pour la prospection commerciale par e-mail, les règles sont plus strictes : un consentement explicite est nécessaire à la collecte de l'adresse (CNIL).
Violation de données : que faire ?
Documentez l'incident dans l'association : un e-mail envoyé aux mauvais destinataires, un ordinateur volé ou une fuite en ligne sont des violations.
Signalez à la CNIL dans les 72 heures, en ligne sur son site, s'il existe un risque pour les droits et libertés des personnes.
Informez les donateurs concernés si le risque pour eux est élevé.
DPO et sanctions
La désignation d'un délégué à la protection des données n'est pas obligatoire pour les associations en général, sauf cas particuliers (par exemple le secteur social et médico-social). La CNIL recommande tout de même de désigner un référent, même bénévole. Elle peut contrôler une association, la mettre en demeure ou prononcer des sanctions, dont une amende.
Comment Donoor protège les données des donateurs
Donoor est une plateforme française gratuite pour les associations (0 € d'abonnement, 0 % de commission Donoor). Ce que disent ses pages :
les paiements sont traités par Stripe ou PayPal, deux prestataires certifiés PCI-DSS niveau 1 ; l'argent va directement sur le compte de l'association ;
les données de la plateforme sont hébergées en Europe et ne sont jamais revendues ;
les reçus fiscaux sont envoyés par e-mail et archivés 10 ans, avec un espace donateur pour les retrouver ;
le tableau de bord centralise les dons au même endroit, au lieu de tableurs dispersés.
Ces outils réduisent les fichiers qui circulent, mais le registre, la politique de confidentialité et les accès des bénévoles restent de la responsabilité de l'association.
Des dons collectés, des données protégées
Une plateforme française hébergée en Europe, conforme au RGPD dès la collecte, 0 % de commission Donoor, 0 € d'abonnement.
Questions fréquentes sur la protection des données des donateurs
Le RGPD concerne-t-il une petite association ?
Oui, dès qu'elle traite des données personnelles, quelle que soit sa taille.
Combien de temps garder les données d'un donateur ?
La durée dépend de la finalité. Les justificatifs comptables et fiscaux suivent leurs délais légaux, aujourd'hui de 10 ans pour les documents fiscaux (article L102 B du Livre des procédures fiscales, loi n° 2026-534 du 25 juin 2026). Pour les données de communication, définissez une durée et supprimez-les au-delà.
Peut-on envoyer des appels aux dons par e-mail ?
Pour la prospection caritative, la CNIL demande d'avoir informé la personne dès la collecte et de lui permettre de s'y opposer simplement et gratuitement, à tout moment. Pour la prospection commerciale par e-mail, un consentement explicite est nécessaire. Dans tous les cas, mettez un lien de désinscription dans chaque message.
Que faire si on perd un fichier de donateurs ?
Documentez l'incident et signalez-le à la CNIL dans les 72 heures s'il existe un risque pour les personnes.
Les coordonnées bancaires des donateurs passent-elles par l'association ?
Avec Donoor, le paiement est traité par Stripe ou PayPal. L'association n'a pas à saisir ni à conserver de numéro de carte.
Un donateur peut-il demander la suppression de ses données ?
Oui, mais le droit à l'effacement n'est pas absolu : l'association peut garder ce que la loi lui impose de conserver, comme les justificatifs comptables.
Younes accompagne les associations dans leur transition numérique pour faciliter la collecte de dons.
Lancez votre collecte avec Donoor
Plateforme française de collecte de dons pour associations : 0 € d'abonnement, Tap to Pay iPhone, app mobile native, reçus fiscaux automatiques. Reversement direct sur votre compte (modèle non-custodial).
