Mentions RGPD : informer au bon endroit
Préparez les mentions de vos formulaires : information complète, droits adaptés, collecte indirecte et exemple de premier niveau à personnaliser.
Une mention RGPD doit permettre à la personne de comprendre le traitement au moment utile. Un texte complet caché dans le pied de page ne résout pas ce besoin. À l’inverse, une courte phrase visible ne suffit pas si les détails obligatoires restent introuvables.
Déterminer le moment de l’information
Pour les données recueillies directement auprès d’une personne, l’Art. 13 impose l’information au moment de la collecte. Cela inclut des observations de son activité, pas seulement les champs d’un formulaire. Préparez donc aussi les supports nécessaires pour les caméras ou la mesure de fréquentation.
Pour une collecte indirecte, l’Art. 14(3) prévoit un délai raisonnable, au plus tard un mois. Si les données servent à communiquer avec la personne avant ce terme, informez-la au plus tard lors du premier échange ; si leur communication à un autre destinataire intervient avant, au plus tard lors de cette première communication. Les exceptions de l’Art. 14(5) sont à examiner précisément. Une source publique ne dispense pas, à elle seule, d’information. Voir le texte des Art. 13 et 14.
Construire la notice à partir du traitement
Commencez par une fiche décrivant l’usage réel. Répondez aux questions suivantes avant de rédiger une phrase destinée au public.
| Bloc | Informations à préparer |
|---|---|
| Organisme | Identité et coordonnées du responsable, représentant et DPO lorsqu’ils existent |
| Utilisations | Finalités, bases légales et intérêts légitimes poursuivis le cas échéant |
| Circulation | Destinataires ou catégories ; transferts vers un pays tiers ou une organisation internationale et garanties applicables |
| Conservation | Durée ou critères permettant de la déterminer |
| Droits | Droits applicables, conditions utiles, contact, réclamation auprès de l’autorité de contrôle, retrait si consentement |
| Collecte directe | Origine réglementaire ou contractuelle de l’exigence, nécessité pour le contrat, caractère obligatoire et conséquences de l’absence de données |
| Collecte indirecte | Catégories de données et source, y compris son caractère public éventuel |
| Décision automatisée concernée par l’Art. 22(1) et (4) | Existence, informations utiles sur la logique, importance et conséquences prévues |
Ne laissez pas une rubrique « transferts : aucun » sans avoir examiné l’hébergement, les accès de support et les prestataires. N’annoncez pas non plus une portabilité universelle : elle dépend notamment du fondement et du caractère automatisé du traitement. Les autres droits ont également leurs conditions et limites.
La politique de confidentialité peut centraliser ces informations, à condition de distinguer clairement les usages. Elle ne doit pas confondre une demande de devis, la gestion d’une commande et l’envoi facultatif d’offres.
Afficher une première information utile
La CNIL recommande une présentation adaptée au contexte. Sur un formulaire, mettez en évidence le responsable, l’objectif et les droits, avec un accès immédiat au détail. Ajoutez au premier niveau une conséquence particulièrement importante, par exemple une transmission à des partenaires commerciaux.
Le premier niveau ne doit pas devenir une succession de renvois : si la personne doit rechercher la rubrique, choisir une activité puis se connecter, l’accès au détail est mal organisé. Un intitulé comme « Utilisation des données de votre demande de devis » est plus précis qu’un simple « En savoir plus ».
Pour une collecte hors ligne, prévoyez une notice papier ou un autre moyen effectivement accessible. Un QR code seul peut être insuffisant pour un public qui ne dispose pas d’un téléphone adapté. Pour un échange oral, préparez ce que l’interlocuteur explique immédiatement et la façon dont il donne accès au détail avant de recueillir les données.
Ne pas transformer l’information en consentement
Un bouton « envoyer ma demande » peut déclencher le traitement nécessaire à la réponse sans qu’une case « j’accepte la politique de confidentialité » soit nécessaire. Le fondement dépend de la finalité : mesures précontractuelles demandées par une personne, intérêt légitime pertinent ou autre base applicable.
Si le même formulaire propose une newsletter soumise au consentement, séparez le choix facultatif. La case de consentement doit correspondre à cet usage précis. L’acceptation générale d’une notice ne vaut pas permission pour toutes les opérations qu’elle décrit.
Garder une preuve de l’information diffusée
Enregistrez la version de la notice, sa date d’application, le formulaire ou support associé et les changements de traitement qui ont motivé sa révision. Un export ou une capture du parcours réel aide à vérifier que le lien et la première information étaient visibles. La preuve de l’information se distingue de la preuve du consentement lorsqu’un accord est requis.
Lors d’un changement de finalité, l’Art. 13(3) ou 14(4) impose une information préalable sur cette nouvelle utilisation et les éléments pertinents. Une modification du seul pied de page ne suffit pas nécessairement à porter un changement important à la connaissance des personnes déjà concernées.
Cas pratique : une demande de devis sur trois supports
Le cas suivant est fictif. Atelier Cadres, petite société d’encadrement, reçoit des demandes de particuliers sur son site, au téléphone et au comptoir. Deux personnes préparent les devis. Le besoin est identique sur ces trois canaux : connaître le cadre souhaité et pouvoir répondre. La collecte n’alimente ni newsletter ni fichier de partenaires.
L’entreprise retient les mesures précontractuelles prises à la demande du particulier pour les données nécessaires à cette démarche, selon l’Art. 6(1)(b). Elle demande le prénom, les dimensions du cadre et un moyen de réponse choisi par la personne. Le téléphone n’est pas obligatoire si le courriel suffit. L’adresse de livraison sera demandée plus tard si une commande le nécessite.
La notice complète distingue ce dossier de devis des commandes ensuite acceptées. Dans ce scénario, l’entreprise choisit d’effacer les devis sans suite quatre-vingt-dix jours après le dernier échange : ce délai correspond à son cycle observé de préparation et de choix, sans être une durée imposée par le RGPD. Elle prévoit un traitement séparé des dossiers litigieux effectivement justifiés. Le contrat et les flux du prestataire de formulaire sont examinés avant de renseigner les destinataires et transferts.
Les droits sont adaptés : accès, rectification, effacement et limitation selon leurs conditions, et portabilité pour les données fournies lorsque les conditions de l’Art. 20 sont réunies. La notice ne promet pas un droit d’opposition fondé sur l’Art. 21 pour cette seule activité précontractuelle. Elle donne le contact et la possibilité de saisir la CNIL. Ce cadrage relève des Art. 13(1–2), 20(1) et 21(1).
Le premier niveau rédigé pour le formulaire
Le texte ci-dessous est rempli pour cette entreprise fictive. Il sert à montrer l’articulation entre une information courte et sa notice complète ; il ne doit pas être recopié avec ces coordonnées d’exemple.
Atelier Cadres utilise vos informations pour préparer le devis d’encadrement que vous demandez et vous répondre. Indiquez les dimensions, votre prénom et au moins un moyen de réponse ; sans ces éléments, nous ne pouvons pas traiter la demande en ligne. Le téléphone est facultatif si vous renseignez un courriel. Vous pouvez demander l’accès et la rectification de vos données, ainsi que leur effacement, leur limitation ou leur portabilité selon les conditions applicables : contactez donnees@ateliercadres.example. Consultez avant l’envoi la notice « Données de votre demande de devis » pour les bases légales, destinataires, durées et modalités de ces droits.
Dans le parcours prévu, le titre de la notice constitue un lien direct vers le texte complet, consultable sans compte. Le domaine d’exemple n’est pas une ressource à ouvrir. La mise en œuvre réelle doit remplacer le nom, le contact et la destination par ceux de l’organisme, puis contrôler le parcours.
La carte de déploiement remplie
| Point de collecte | Première information | Accès au détail retenu |
|---|---|---|
| Formulaire web | Bloc ci-dessus, visible avant l’envoi ; champs nécessaires repérés | Lien direct « Données de votre demande de devis », accessible sans connexion |
| Fiche au comptoir | Même objectif, responsable, contact et conséquence des champs manquants, avant les espaces à remplir | Notice complète imprimée au verso et exemplaire remis à la personne |
| Téléphone | Présentation d’Atelier Cadres, usage pour le devis et explication du choix d’un moyen de réponse avant sa collecte | Adresse de la notice pour les personnes pouvant la consulter ; explication complète par l’interlocuteur si nécessaire |
| Confirmation du devis | Rappel du contact et de la notice correspondante | Copie ou lien complémentaire, sans prétendre remplacer l’information initiale |
| Poste des deux salariés | Consigne de ne pas rendre le téléphone obligatoire ni recueillir une adresse de livraison à ce stade | Notice en vigueur et procédure permettant de répondre aux questions |
Le responsable conserve la version 3 de cette notice, ses supports et sa date d’application. Il relie le dossier à son registre des activités de traitement. La preuve recherchée est la disponibilité de la bonne information au bon endroit ; il ne crée pas une case d’acceptation obligatoire pour fabriquer une preuve de consentement inutile.
Deux erreurs découvertes avant l’ouverture
Lors de la vérification préparatoire du parcours, le lien mobile vers la notice aboutit à l’espace client. Une personne sans compte ne peut pas lire le texte. L’équipe refuse la mise en service du formulaire : ajouter « notice disponible » dans le premier niveau ne résoudrait pas cet obstacle. Elle crée un accès public au bon texte, puis vérifie depuis une session sans compte que le lien reste utilisable avant d’envoyer la demande.
Au comptoir, la première fiche imprimée ne contient qu’un QR code. La personne chargée de la relecture ne dispose pas d’un téléphone adapté. L’équipe remplace cette fiche par la version recto-verso prévue dans le tableau et retire les anciens exemplaires. Elle contrôle que le verso porte bien la version 3 et la durée de quatre-vingt-dix jours retenue pour les devis sans suite.
Le formulaire est ensuite essayé avec le courriel seul : la demande peut être envoyée sans téléphone. Au téléphone, le salarié déroule l’explication avant de demander les coordonnées et sait donner les informations complémentaires oralement. L’entreprise autorise alors ces trois parcours. Si elle change ensuite de prestataire ou réutilise les demandes pour une autre finalité, elle réexamine le traitement et l’information avant cette utilisation.
Ce qu’il faut retenir
- Placez une information pertinente à chaque point de collecte, au moment requis.
- Faites correspondre les mentions aux champs, usages et droits effectivement applicables.
- Rendez la notice complète accessible avant l’envoi, sans imposer un compte ou un téléphone.
- Conservez les versions des supports et vérifiez leur déploiement réel.
FAQ
Toutes les mentions doivent-elles tenir sous le bouton ?
Non. Une information par niveaux est possible, à condition de présenter l’essentiel au bon moment et de rendre le détail complet aisément accessible.
Faut-il faire accepter la notice ?
L’obligation d’information n’impose pas une acceptation générale. Recueillez séparément un consentement seulement pour les opérations qui utilisent ce fondement ou pour lesquelles une règle spécifique l’exige.
Peut-on attendre un mois après un fichier reçu d’un partenaire ?
Pas systématiquement. Le mois constitue un plafond ; une première communication avec la personne ou une première transmission à un destinataire peut déclencher l’information plus tôt.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.