Associations : que masquer dans les dossiers de bénéficiaires avant de les partager

Masquez un dossier de bénéficiaire dès qu'il sort de votre association. Le destinataire a presque toujours besoin de bien moins que le dossier complet. Un financeur veut des chiffres, un partenaire veut une seule orientation, et un lecteur de votre rapport d'activité veut une histoire, pas un nom.

Quels documents sortent d'une association, et que faut-il à chaque destinataire ?

Voici cinq chemins fréquents. Partez de ce dont le destinataire a vraiment besoin, puis masquez le reste.

Le guide de la CNIL pour les associations (novembre 2021) donne un repère. Pour une subvention ou du mécénat, un dossier aux informations anonymisées suffit en principe. Il ajoute qu'une commune ne peut pas exiger la liste nominative des adhérents, même quand elle verse une subvention.

Que dit le RGPD sur les adhérents et les bénéficiaires ?

L'article 9 du RGPD pose une interdiction par principe. Elle vise les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale. Les données de santé, la vie sexuelle et l'orientation sexuelle figurent sur la même liste. La liste d'un groupe paroissial peut révéler des convictions.

L'article 9, paragraphe 2, énumère des exceptions. Le point d) vise une fondation, une association ou un autre organisme à but non lucratif poursuivant une finalité politique, philosophique, religieuse ou syndicale. Le traitement doit relever de ses activités légitimes, avec des garanties appropriées. Il ne doit concerner que les membres, anciens membres ou personnes en contact régulier avec l'organisme en lien avec ses finalités. Et les données ne doivent pas être communiquées hors de l'organisme sans le consentement des personnes concernées.

En clair, un tel organisme peut garder dans ses fichiers les convictions de ses membres. Mais une liste qui sort de l'organisme exige l'accord de chacun. La CNIL décrit la condition de la même façon.

Une association sans cette finalité a besoin d'une autre condition, comme le consentement explicite de l'article 9, paragraphe 2, point a). Demandez à votre délégué à la protection des données, s'il y en a un, ou à un juriste laquelle convient.

Comment cacher la personne dans un témoignage ?

Un nom est l'indice le plus facile à retirer, et rarement le seul. Dans une petite communauté, un village, un âge et une famille de cinq personnes suffisent à désigner un foyer.

• Donnez à chaque personne un seul nom inventé, et gardez-le partout.
• Remplacez âges et dates exacts par des tranches : « la quarantaine », « le printemps dernier ».
• Remplacez le village par une région ou un type de lieu.
• Retirez les détails rares, comme un métier inhabituel ou une nationalité associée à un âge précis.
• Retirez les photos, et couvrez signatures et écriture manuscrite sur les formulaires scannés.

Prenez cette ligne : Claire Exemple, 43 ans, de Chênaie, est arrivée du Chili en mars avec ses trois enfants. Une version plus sûre : Mme A, quarantaine, est arrivée dans la région au printemps dernier avec ses enfants. Le sens de l'histoire reste. Les indices qui désignent un foyer disparaissent.

Masquer ne remplace pas l'accord. Au Royaume-Uni, un code encadre la collecte de fonds : le Code of Fundraising Practice (code de bonnes pratiques), tenu par le Fundraising Regulator. Il exige l'accord clair et éclairé de toute personne identifiable dans une étude de cas. Il impose aussi d'indiquer quand des détails ont été modifiés. Il n'a pas force de loi. Sa version actuelle est en vigueur depuis le 1er novembre 2025 (état d'octobre 2026).

Que donner à un financeur à la place de la liste complète ?

Demandez par écrit ce dont le financeur a vraiment besoin avant tout envoi.

1. Relisez la convention de subvention pour voir quelles preuves elle demande.
2. Proposez d'abord des totaux : personnes aidées, séances tenues, résultats par tranche d'âge.
3. Sinon, proposez un échantillon ou une liste où des codes remplacent les noms.
4. Gardez la clé qui relie les codes aux personnes à l'intérieur de votre association.

Il arrive qu'un financeur ait besoin de noms. Si c'est une administration, la CNIL conseille de vérifier le texte qui l'autorise à les demander. Envoyez exactement ce que ses règles écrites exigent, et dites qui verra la liste.

Et les listes de donateurs et d'adhérents ?

Un mandat de prélèvement SEPA est le formulaire qui permet d'encaisser des dons réguliers. Il met en général un nom, une adresse et un IBAN sur la même page. Un bénévole qui imprime des étiquettes a besoin des adresses, pas des IBAN ni des montants. La CNIL rappelle que les données doivent être nécessaires à l'objectif : pour un imprimeur, une colonne, pas douze.

ONYRI Sanitize repère noms, adresses, e-⁠mails, téléphones, dates et IBAN dans les rapports Word (.docx) et les formulaires scannés, avec un OCR sur l'appareil. Le fichier reste dans votre navigateur. « Tracer une zone » couvre photos et signatures. Le mode Token (offre Pro) garde un récit lisible avec des repères comme [NAME1]. Adresses de rue au Royaume-Uni et en Belgique, nationalité, religion, santé écrite en mots et détails familiaux ne sont pas couverts : ajoutez-les avec « Masquer aussi ».

Quelle routine suivre avant chaque envoi ?

1. Gardez l'original intact à l'intérieur de votre association.
2. Notez ce dont le destinataire a besoin, et pourquoi.
3. Travaillez sur une copie masquée, jamais sur l'original.
4. Vérifiez le nom du fichier : il contient souvent le nom d'un bénéficiaire.
5. Relisez chaque page de la copie, photos et notes manuscrites comprises.
6. Faites lire tout témoignage par quelqu'un qui connaît le milieu.

Les outils automatiques ratent ce que seule une personne peut juger, comme un diagnostic écrit en toutes lettres. Ce guide suit les règles de l'UE et du Royaume-Uni : c'est une information, pas un conseil juridique. Pour des enfants ou des victimes de violences, consultez d'abord votre délégué à la protection des données ou un juriste. En Suisse, au Québec ou ailleurs, interrogez votre autorité.

Questions fréquentes

Sources et références