Dans une association, les bénévoles et les salariés coexistent souvent. Mais quand il s'agit de données personnelles, le RGPD fait-il la différence ? La réponse est nuancée — et c'est précisément cette zone grise qui pose le plus de problèmes sur le terrain.
Le principe : le RGPD s'applique à tous
Le RGPD ne distingue pas entre bénévoles et salariés. Il s'applique à toute personne qui traite des données personnelles au nom de l'organisation. Que vous soyez salarié, bénévole, stagiaire ou service civique — si vous accédez à des données personnelles, vous êtes soumis aux mêmes obligations.
« C'est un bénévole, il n'est pas concerné par le RGPD. » Faux. Le statut (bénévole/salarié) ne change rien. Ce qui compte, c'est l'accès aux données.
Le vrai problème : l'accès, pas le statut
La vraie question n'est pas « bénévole ou salarié ? » mais « cette personne a-t-elle besoin d'accéder à ces données ? »
Un bénévole aide à organiser un événement. Pour préparer les badges, il a besoin des noms des inscrits. Ça, c'est légitime. Mais en pratique, il a aussi accès au fichier complet des adhérents — avec adresses, emails, montants des cotisations. Ça, ce n'est pas légitime.
C'est le principe du « besoin d'en connaître » (Art. 5 §1 c du RGPD). Chaque accès doit être justifié par le rôle, pas par le statut.
Bénévoles vs salariés : les vraies différences
| Aspect | Salarié | Bénévole |
|---|---|---|
| RGPD s'applique ? | Oui | Oui — identique |
| Contrat de travail | Oui | Non (mais convention bénévole possible) |
| Engagement de confidentialité | Clause du contrat | ⚠️ À formaliser séparément |
| Formation RGPD | Obligatoire (employeur) | Recommandée — souvent oubliée |
| Accès aux données | Défini par le poste | ⚠️ Souvent trop large |
| Responsabilité en cas de fuite | Employeur + salarié | Association + bénévole |
| Départ = retrait d'accès | Process RH | ⚠️ Souvent oublié |
Le constat est clair : les bénévoles sont moins encadrés que les salariés, alors qu'ils ont le même accès aux données. C'est exactement le risque que le RGPD vise à couvrir.
Les 5 actions pour encadrer les bénévoles
- Formaliser un engagement de confidentialité — un document simple signé par chaque bénévole qui accède à des données, pas un contrat de travail, mais un engagement
- Définir les accès par rôle — le trésorier voit les cotisations, le responsable événementiel voit les inscrits, pas l'inverse
- Sensibiliser les bénévoles clés — 30 minutes suffisent : mots de passe, phishing, pas de partage de fichiers, que faire en cas de doute
- Vérifier les accès au départ — quand un bénévole arrête, retirer ses accès le jour même, pas « quand on aura le temps »
- Tenir un registre des accès — qui a accès à quoi, mis à jour à chaque arrivée et départ
Le cas particulier : le bénévole référent RGPD
Dans beaucoup d'associations, c'est un bénévole qui porte la conformité. C'est légitime et ça fonctionne — à condition de :
- Documenter ce qu'il fait — le registre et les procédures doivent être écrits, pas dans sa tête
- Former un suppléant — s'il part, l'association ne doit pas perdre tout son savoir
- Centraliser dans un outil — pas sur son Drive personnel
C'est l'un des 5 erreurs les plus fréquentes : un bénévole motivé porte toute la conformité, puis part — et tout s'écroule. La solution : le savoir doit vivre dans l'organisation, pas dans une personne.
Et les service civiques et stagiaires ?
Même logique. Un volontaire en service civique ou un stagiaire qui accède à des données personnelles est soumis au RGPD. La différence : ils ont généralement un contrat ou une convention, ce qui facilite l'engagement de confidentialité. Mais l'accès aux données doit être limité à leur mission, pas élargi « pour faciliter ».
Pour chaque nouvelle personne (bénévole, salarié, stagiaire, service civique) : 1 engagement de confidentialité signé + 1 accès défini par rôle + 1 sensibilisation de 30 min. Trois étapes, 1 heure au total, et le risque est couvert.
Le coût de l'inaction
Si un bénévole cause une fuite de données (email envoyé à tort, fichier partagé trop largement, ordinateur perdu), l'association est responsable. Le RGPD parle de « responsable du traitement » — c'est l'organisation, pas la personne. L'association assume la faute du bénévole, même s'il n'est pas salarié.
La CNIL vérifie qui a accès aux données et comment c'est encadré. Des bénévoles avec un accès large et non formalisé = un risque identifié. Des bénévoles avec un engagement signé et un accès limité = une démarche structurée.