RGPD et fichier de donateurs : ce que doit savoir une association

RGPD association donateurs : checklist conformité, durée de conservation, droits des donateurs et emailing. Guide clair sans jargon juridique.

Publié le 2 septembre 2026, mis à jour le 14 septembre 2026

RGPD et fichier de donateurs : ce que doit savoir une association

Un trésorier reçoit un email d'un donateur : « Je souhaite que vous supprimiez mes données. Vous avez 30 jours. » Panique. Le fichier Excel des 300 donateurs de l'association vit depuis cinq ans sur le disque dur du président, jamais nettoyé, jamais sécurisé par un mot de passe.

Cette situation n'a rien d'exceptionnel. La plupart des associations gèrent leur fichier de donateurs sans service juridique. Elles ne savent pas toujours précisément ce que le RGPD (règlement général sur la protection des données) exige d'elles. Le sujet paraît réservé aux grandes entreprises et à leurs délégués à la protection des données. Il concerne pourtant toute structure qui collecte des coordonnées, y compris une petite association loi 1901 de quartier.

Cet article traite la conformité RGPD association donateurs comme une checklist d'actions concrètes, pas comme un exposé de textes de loi. Vous saurez quelles données garder, combien de temps, quelles mentions ajouter sur vos formulaires, et comment répondre à un donateur qui exerce ses droits.

Le RGPD s'applique-t-il vraiment à votre association ?

Oui, sans exception liée à la taille ou au statut. Le RGPD s'applique à toute organisation qui traite des données personnelles de personnes résidant dans l'Union européenne, dès qu'un nom est associé à une adresse email, un numéro de téléphone ou une adresse postale. Une association loi 1901 de 50 adhérents est concernée au même titre qu'une multinationale.

La confusion vient souvent d'une idée reçue : le RGPD viserait les entreprises qui « vendent » des données ou font du marketing intensif. En réalité, le simple fait de tenir un fichier de donateurs pour leur envoyer un reçu fiscal ou une newsletter constitue un traitement de données personnelles au sens du règlement.

Ce qui varie selon la taille de la structure, ce n'est pas l'application du RGPD lui-même, mais le niveau de formalisme attendu. Une association de 500 adhérents n'a pas les mêmes obligations lourdes qu'un grand groupe : pas de délégué à la protection des données (DPO) obligatoire dans l'immense majorité des cas, pas de procédures documentées à l'échelle d'une DSI. Le principe de proportionnalité s'applique : les efforts demandés sont adaptés au volume et à la sensibilité des données traitées.

Concrètement, dès que votre association détient un fichier (Excel, logiciel de gestion, CRM) contenant des noms de donateurs, adhérents ou bénévoles, elle est responsable de traitement au sens du RGPD, avec les obligations qui en découlent.

Fichier de donateurs conforme au RGPD : la checklist en 6 points

Avant d'entrer dans le détail de chaque obligation, voici la structure d'ensemble à vérifier sur votre base existante. Chaque point est développé dans les sections suivantes.

1. Identifiez la finalité de chaque fichier : un tableur pour les dons, un autre pour les adhésions ? Chaque finalité doit être claire et limitée à ce qui est nécessaire.
2. Vérifiez la base légale du traitement pour chaque catégorie de données collectées (voir section suivante).
3. Fixez une durée de conservation raisonnable, différenciée entre donateurs actifs et inactifs.
4. Sécurisez l'accès : mot de passe sur le fichier, restriction aux personnes qui en ont réellement besoin, sauvegardes fiables.
5. Tenez un registre des traitements simplifié : un simple tableau listant vos fichiers, leur contenu, leur finalité et leur durée de conservation suffit pour une petite structure.
6. Informez les donateurs de leurs droits et prévoyez une procédure pour y répondre.

Cette checklist ne demande pas de compétence juridique. Elle demande de la rigueur et un peu de temps pour faire le point sur l'existant.

Sur quelle base légale collecter et garder les données d'un donateur ?

Trois bases légales couvrent la quasi-totalité des cas d'une association : le consentement explicite, l'intérêt légitime, et l'obligation légale liée à l'émission du reçu fiscal Cerfa. Chacune s'applique à un type de donnée différent.

L'obligation légale justifie la collecte du nom, de l'adresse et du montant du don pour établir le reçu fiscal Cerfa n°11580*05, document que le donateur doit pouvoir présenter à l'administration fiscale pour bénéficier de sa réduction d'impôt. Cette base légale est la plus solide : elle découle directement d'une obligation prévue par le code général des impôts.

L'intérêt légitime couvre la gestion courante de la relation avec un donateur existant : lui envoyer un remerciement, l'informer d'une prochaine campagne, le solliciter à nouveau l'année suivante. Cette base légale suppose que le traitement reste proportionné et que le donateur puisse s'y opposer facilement.

Le consentement explicite est requis dès que l'association sort de ce cadre : démarchage de personnes n'ayant jamais donné, partage de données avec un partenaire, utilisation à des fins publicitaires ciblées. Le consentement doit être une action positive et non équivoque : une case à cocher non pré-cochée, jamais une case déjà validée par défaut.

Un point pratique fréquemment mal géré : conserver l'historique complet des dons d'un donateur (même inactif depuis des années) sans finalité claire ne relève d'aucune base légale solide. C'est le signal qu'il faut revoir sa politique de conservation.

Combien de temps garder les coordonnées d'un donateur ?

La durée de conservation doit être limitée à ce qui est nécessaire à la finalité du traitement, et différenciée selon que le donateur est actif ou non. Un donateur qui a fait un don il y a un mois n'appelle pas le même traitement qu'un contact qui n'a plus donné depuis plusieurs années.

Une pratique raisonnable, adoptée par de nombreuses associations, consiste à :

• Conserver les données d'un donateur actif (don dans les derniers mois ou dernières années) en base active, pour la gestion de la relation et les relances de campagne.
• Basculer un donateur inactif depuis une longue période vers une base archivée avec accès restreint, ou le supprimer après une tentative de réengagement infructueuse.
• Conserver les données nécessaires à la justification du reçu fiscal Cerfa aussi longtemps que l'obligation légale de conservation comptable l'impose, indépendamment de la relation commerciale ou associative avec le donateur.

Le donateur lui-même doit conserver son reçu fiscal l'année du versement et les cinq années suivantes (article 200 du CGI). L'association, de son côté, n'a pas vocation à garder indéfiniment un fichier de contacts qui n'a plus jamais répondu. Un tri régulier, une fois par an par exemple, permet d'éviter l'accumulation de données obsolètes. C'est elle-même une source de risque en cas de contrôle ou de fuite.

Emailing et consentement : ce qui change selon vos destinataires

Le consentement email association n'est pas systématiquement requis. Tout dépend du destinataire et du contenu du message. Une distinction simple permet de s'y retrouver :

Dans tous les cas, chaque email envoyé à des fins de communication ou de sollicitation doit comporter un lien de désinscription en un clic, clairement visible, qui fonctionne réellement et immédiatement. C'est une obligation quel que soit le fondement juridique invoqué.

Sur un formulaire de collecte en ligne, la case relative à l'envoi d'emails ne doit jamais être pré-cochée si elle sert à recueillir un consentement. Pour les donateurs existants sollicités sur la base de l'intérêt légitime, il n'est pas nécessaire de faire cocher une case supplémentaire, mais l'information sur la possibilité de s'opposer doit figurer clairement dans chaque communication.

Un outil de collecte numérique qui centralise le suivi des consentements et gère automatiquement les liens de désinscription réduit le risque d'erreur, comparé à des campagnes envoyées manuellement depuis une messagerie personnelle.

Les droits des donateurs : accès, rectification, suppression

Tout donateur dispose de cinq droits sur ses données personnelles, que l'association doit être en mesure de respecter : droit d'accès, de rectification, d'effacement, d'opposition et de portabilité.

1. Droit d'accès : le donateur peut demander une copie de toutes les données que l'association détient sur lui.
2. Droit de rectification : il peut demander la correction d'une donnée inexacte (adresse, orthographe du nom).
3. Droit à l'effacement : il peut demander la suppression de ses données, sauf lorsqu'une obligation légale impose leur conservation (justification du reçu fiscal, par exemple).
4. Droit d'opposition : il peut refuser de recevoir des communications, sans avoir à se justifier.
5. Droit à la portabilité : il peut demander la récupération de ses données dans un format réutilisable.

Concrètement, quand un donateur écrit pour exercer un de ces droits, l'association doit :

• Vérifier l'identité du demandeur, sans exiger de justificatif disproportionné.
• Identifier précisément les données concernées dans son fichier.
• Répondre dans un délai raisonnable, en expliquant ce qui a été fait ou pourquoi une demande ne peut être satisfaite intégralement (cas d'une obligation légale de conservation liée au reçu fiscal).
• Conserver une trace écrite de la demande et de la réponse donnée.

Une petite association n'a pas besoin d'un service dédié pour cela. Un point de contact clair, une adresse email identifiée (souvent celle du président ou du trésorier), et une procédure simple écrite sur une page suffisent à traiter ces demandes sans stress.

Sécuriser son fichier de donateurs : ce qu'il faut changer en priorité

Un fichier Excel envoyé par email de bénévole en bénévole, sans mot de passe, stocké sur plusieurs ordinateurs différents, est le scénario le plus fréquent de non-conformité. Ce n'est pas illégal en soi, mais le niveau de sécurité attendu n'y est pas.

Un fichier Excel de donateurs n'est pas conforme au RGPD par défaut. Il peut le devenir si l'accès est restreint, le fichier protégé par mot de passe, et les copies limitées aux personnes qui en ont réellement besoin. Mais dès que le volume de données grandit, la maintenance manuelle de ces mesures devient un point de fragilité.

Voici quelques actions simples qui réduisent le risque sans investissement lourd :

• Limiter les accès au fichier aux seuls bénévoles ou salariés qui en ont un besoin réel (trésorier, responsable communication), plutôt qu'à toute l'équipe.
• Protéger les échanges : ne jamais faire circuler le fichier complet par email non chiffré ; privilégier un espace de stockage partagé avec droits d'accès.
• Centraliser dans un seul outil, plutôt que d'avoir trois versions du même fichier à des stades différents de mise à jour, dispersées sur plusieurs ordinateurs personnels.

C'est précisément ce dernier point qui pousse de nombreuses associations à migrer vers un CRM pour association dédié plutôt que de continuer sur tableur. Un CRM pour association centralise la base de donateurs dans un environnement sécurisé, avec un accès contrôlé par utilisateur, ce qui limite mécaniquement le nombre de copies non maîtrisées du fichier. Hopus génère automatiquement les reçus fiscaux Cerfa liés à chaque don, ce qui réduit la manipulation manuelle de données sensibles.

Le registre des traitements : une obligation simple à remplir

Oui, une association doit tenir un registre des traitements, même petite. La forme attendue reste proportionnée à la taille de la structure : un tableau simple, mis à jour une à deux fois par an, suffit dans la grande majorité des cas.

Ce registre recense, pour chaque fichier de données personnelles détenu par l'association :

• La finalité du traitement (gestion des dons, adhésions, billetterie d'un événement).
• Les catégories de données collectées (nom, email, montant du don, date de naissance pour une adhésion sportive, etc.).
• La base légale retenue (consentement, intérêt légitime, obligation légale).
• La durée de conservation prévue.
• Les personnes ou services ayant accès à ces données.
• Les mesures de sécurité mises en place.

Ce document n'a pas besoin d'être transmis à une autorité de manière systématique, mais il doit pouvoir être présenté en cas de demande. Le remplir une seule fois, puis le mettre à jour à chaque nouveau projet de collecte (une nouvelle campagne, un nouvel événement avec billetterie), évite d'avoir à tout reconstituer dans l'urgence.

Quelles mentions ajouter sur un formulaire de collecte de dons

Un formulaire de don en ligne doit informer le donateur, de façon claire et accessible, sur ce que l'association fait de ses données. Les mentions attendues sont généralement :

1. La finalité de la collecte (traitement du don, émission du reçu fiscal).
2. La base légale invoquée, en langage compréhensible plutôt que juridique.
3. Le ou les destinataires des données (l'association elle-même, éventuellement son prestataire de paiement).
4. La durée de conservation prévue.
5. Les droits du donateur et la façon de les exercer (adresse email de contact).
6. La possibilité de déposer une réclamation auprès de l'autorité compétente si le donateur estime que ses droits ne sont pas respectés.

Ces mentions peuvent tenir en quelques lignes, accessibles via un lien « Politique de confidentialité » discret mais visible en bas du formulaire. L'objectif n'est pas de produire un texte juridique de plusieurs pages, mais d'être transparent sur l'usage réel des données.

Que faire en cas de plainte d'un donateur ou de fuite de données

Une plainte de donateur se traite d'abord par le dialogue direct : comprendre la demande, vérifier le fichier, répondre dans un délai raisonnable avec les explications nécessaires. La majorité des situations se résolvent sans intervention externe, dès que la procédure interne existe et est suivie.

En cas de fuite de données avérée (fichier volé, envoyé par erreur, base piratée), les premières actions à mener sont :

• Isoler la source de la fuite et limiter sa propagation.
• Évaluer le nombre de personnes concernées et la sensibilité des données exposées.
• Informer les personnes concernées si le risque pour elles est réel.
• Documenter l'incident : ce qui s'est passé, quand, comment, ce qui a été fait.

Une association qui a suivi la checklist décrite plus haut (accès restreint, fichier centralisé, registre tenu à jour) limite fortement l'ampleur d'un incident de ce type, simplement parce que moins de copies du fichier circulent et que la traçabilité est meilleure.

Comment Hopus simplifie la conformité RGPD au quotidien

Hopus ne remplace pas une analyse juridique de votre association, mais son architecture répond nativement à plusieurs points de la checklist RGPD. La base de donateurs est centralisée dans un CRM donateurs unique, ce qui évite la multiplication de fichiers Excel dispersés entre bénévoles.

Les reçus fiscaux Cerfa sont générés et envoyés automatiquement à chaque don, ce qui limite la manipulation manuelle des coordonnées et montants des donateurs. C'est un point sensible du traitement. Les accès au CRM sont attribués par utilisateur, ce qui permet de restreindre concrètement qui peut consulter ou exporter la base complète, conformément au principe de minimisation des accès.

Pour la gestion de la relation dans le temps, le suivi des dons récurrents et l'historique par donateur facilitent l'identification des contacts actifs ou inactifs, utile pour appliquer une politique de conservation différenciée plutôt qu'un fichier figé depuis des années.

Une association qui souhaite structurer sa collecte tout en réduisant le risque de non-conformité peut découvrir Hopus ou consulter les tarifs Hopus pour évaluer le plan adapté à sa taille.

Questions fréquentes

Une petite association doit-elle désigner un DPO (délégué à la protection des données) ?

Non, dans la grande majorité des cas. Le DPO est obligatoire pour les organismes publics ou les structures dont l'activité principale repose sur un traitement massif ou sensible de données. Une association de taille moyenne peut désigner un référent RGPD interne, sans statut formel obligatoire.

Un fichier Excel de donateurs est-il conforme au RGPD ?

Il peut l'être, à condition d'être protégé par mot de passe, accessible aux seules personnes qui en ont besoin, et régulièrement nettoyé des données obsolètes. Passé un certain volume, un outil centralisé et sécurisé réduit fortement le risque comparé à un tableur partagé par email.

Combien de temps peut-on garder les coordonnées d'un donateur inactif ?

Aucune durée universelle n'existe : le principe est de conserver les données le temps nécessaire à la finalité poursuivie. Une pratique courante consiste à archiver ou supprimer les contacts inactifs depuis plusieurs années, sauf obligation légale liée à la justification comptable des reçus fiscaux.

Faut-il le consentement du donateur pour lui envoyer des emails ?

Pas systématiquement. Un donateur existant peut être contacté sur la base de l'intérêt légitime, sans case à cocher supplémentaire, à condition qu'il puisse se désinscrire facilement. Le consentement explicite est requis pour démarcher une personne n'ayant jamais donné.

Que faire si un donateur demande la suppression de ses données ?

Vérifier son identité, localiser les données dans le fichier, et procéder à la suppression sauf si une obligation légale impose leur conservation, comme la justification comptable d'un reçu fiscal Cerfa. Répondre par écrit dans un délai raisonnable en expliquant la décision prise.

Quelles sont les sanctions RGPD pour une association qui ne respecte pas ses obligations ?

Les sanctions existent mais restent proportionnées à la gravité et à la taille de la structure. Une association de bonne foi qui corrige rapidement un manquement signalé s'expose à un risque très différent d'une structure négligente en cas de contrôle ou de plainte répétée.

En résumé

La conformité RGPD d'une association ne demande pas un service juridique dédié. Elle demande de savoir pourquoi chaque donnée est collectée, combien de temps elle est gardée, qui peut y accéder, et comment répondre si un donateur exerce ses droits. Ces cinq questions, posées une fois sur son fichier existant, couvrent l'essentiel de ce qu'exige le règlement.

Centraliser sa base de donateurs dans un outil pensé pour les associations, plutôt que dans des fichiers Excel dispersés, simplifie mécaniquement cette mise en conformité. Vous souhaitez automatiser votre collecte tout en sécurisant votre base de donateurs ? Demandez une démo gratuite.

Sur le même sujet

• HelloAsso vs Hopus : comparatif plateforme de dons
• Prix d'un site de collecte de dons pour association : le guide
• Google Ad Grants association : le guide complet 2026
• Signature électronique association : usages et valeur légale
• Outil de facturation association : quand en avoir besoin ?
• Base de données donateurs association : bien la structurer
• Export données donateurs : formats et fréquence idéale
• Export comptable dons association : données à transmettre
• Logiciel gestion adhérents association : lequel choisir ?
• Stripe association : paiements en ligne expliqués simplement
• Logiciel open source association : le comparer au SaaS
• Migration données donateurs association : guide complet
• Logiciel comptabilité association : guide de choix 2026
• Envoi de reçus fiscaux en masse : quel outil choisir
• Application mobile pour association : le guide
• AssoConnect vs Hopus : alternative et comparatif 2026
• Logiciel emailing association : bien choisir son outil
• Logiciel gestion association : 8 critères pour choisir
• Hopus tarifs : quel plan choisir pour votre asso ?
• Commission plateforme de dons : le vrai coût