Article 13 RGPD : informer en cas de collecte directe

Un formulaire de contact mis en ligne sans une mention d’information correcte, c’est un risque de plafond haut : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial. L’Art. 13 du RGPD organise cette information dans le cas le plus fréquent — celui de la collecte directe — et le manquement à cette obligation figure régulièrement parmi les griefs retenus par la formation restreinte de la CNIL, de Discord en 2022 à Amazon France Logistique en 2023. Sa lecture paragraphe par paragraphe permet d’identifier exactement ce qu’il faut afficher, à quel moment, et avec quelles modalités.

Ce que dit l’article 13 du RGPD

L’Art. 13 s’intitule « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée ». Il fonctionne en miroir de l’Art. 14, qui régit l’information en cas de collecte indirecte. La différence tient au mode d’obtention des données : si la personne les fournit elle-même — par un formulaire, un contrat, un appel téléphonique, un bulletin d’inscription — c’est l’Art. 13 qui s’applique. Si les données proviennent d’un tiers, c’est l’Art. 14.

L’article est structuré en quatre paragraphes :

• l’Art. 13(1) liste les six mentions systématiquement obligatoires ;
• l’Art. 13(2) ajoute six mentions complémentaires nécessaires à la loyauté et à la transparence ;
• l’Art. 13(3) impose une nouvelle information en cas de traitement ultérieur pour une autre finalité ;
• l’Art. 13(4) prévoit une seule exception : la personne dispose déjà des informations.

Le manquement à l’Art. 13 relève de l’Art. 83(5)(b) — plafond haut, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, soit le régime le plus sévère du RGPD. C’est le même niveau de sanction que pour une violation des principes fondamentaux de l’Art. 5 ou de la base légale. En pratique, la CNIL retient rarement l’Art. 13 seul : il vient s’ajouter à un manquement de fond (base légale, minimisation, conservation) et alourdit la sanction — les décisions Criteo, Amazon France Logistique et Discord citées plus bas en sont l’illustration.

Quand l’article 13 s’applique en pratique

Le critère déclencheur est binaire : la personne fournit elle-même ses données au responsable de traitement. La situation la plus fréquente est la collecte en ligne — formulaire de contact, création de compte client, abonnement à une newsletter, demande de devis, prise de rendez-vous, dépôt de candidature. Mais l’Art. 13 s’applique aussi hors web :

• la signature d’un contrat (bail, contrat de travail, contrat de prestation) qui fait remplir au cocontractant un formulaire ou une fiche ;
• la collecte téléphonique — quand un agent demande des informations au cours d’un appel, l’information doit être délivrée pendant l’appel, et non « par email après » ;
• les bulletins papier — adhésion associative, inscription scolaire, fiche médicale ;
• les dispositifs IoT et caméras dès lors qu’ils captent des données identifiables et que la personne en est l’objet conscient (badgeuses, caméras de bureau, capteurs de présence) ;
• les questionnaires de satisfaction, les enquêtes RH, les évaluations 360.

Le point commun : c’est la personne qui fournit l’information. À chaque fois, l’Art. 13 impose une information avant que les données soient collectées, sauf rare exception à laquelle on revient plus bas.

Les six mentions systématiques (Art. 13(1))

L’Art. 13(1) fixe six informations qui doivent être délivrées dans toutes les hypothèses, sans appréciation au cas par cas :

• l’identité et les coordonnées du responsable de traitement — raison sociale exacte, adresse postale du siège, et le cas échéant celles du représentant désigné au titre de l’Art. 27 pour les responsables hors UE ;
• les coordonnées du DPO quand il en existe un, obligatoire dans les trois cas prévus par l’Art. 37 — adresse email professionnelle dédiée et adresse postale ;
• les finalités du traitement et la base légale sur laquelle il repose au sens de l’Art. 6 — pas « finalité commerciale » mais « gestion de la relation client », « envoi de la newsletter », « réponse à la demande de contact » ;
• lorsque la base légale est l’intérêt légitime, la description des intérêts légitimes poursuivis par le responsable de traitement ou par un tiers — c’est une mention spécifique à l’Art. 13(1)(d) souvent oubliée ;
• les destinataires ou catégories de destinataires — sous-traitants, partenaires, autorités, prestataires informatiques. La CJUE, dans l’arrêt RW c/ Österreichische Post (C-154/21, 12 janvier 2023), a précisé sous l’angle de l’Art. 15 que la personne a droit à l’identité nominative des destinataires lorsqu’elle le demande ; cette logique s’étend à l’amont de l’information ;
• le cas échéant, le fait que les données font l’objet d’un transfert hors UE, en précisant l’existence ou non d’une décision d’adéquation, les garanties prévues par les Art. 46 ou 47, ou les conditions de la dérogation de l’Art. 49 — sujet développé dans mon guide sur les transferts hors UE.

Le sixième item — les transferts hors UE — reste sensible depuis Schrems II : le Data Privacy Framework a été validé en première instance par le Tribunal de l’UE (Latombe, T-553/23, 3 septembre 2025), mais le pourvoi C-703/25 P est pendant devant la Cour. Une mention générique « transferts vers des prestataires non européens » ne suffit pas : il faut nommer ou catégoriser les destinataires, et indiquer le mécanisme juridique mobilisé — décision d’adéquation, clauses contractuelles types, dérogation.

Les six mentions complémentaires (Art. 13(2))

L’Art. 13(2) ajoute « les informations complémentaires qui sont nécessaires pour garantir un traitement équitable et transparent ». Le mot « nécessaire » a parfois été lu comme laissant une marge d’appréciation — il n’en est rien : les lignes directrices WP260 rev.01 sur la transparence (G29, 11 avril 2018, reprises par le CEPD) et la doctrine de la CNIL traitent ces mentions comme requises dès que la situation factuelle s’y prête.

• la durée de conservation des données, ou à défaut les critères permettant de la déterminer — un délai par catégorie de donnée, pas une formule vague type « pour la durée nécessaire » ;
• l’existence des droits de la personne — accès Art. 15, rectification Art. 16, effacement Art. 17, limitation Art. 18, opposition Art. 21, portabilité Art. 20 — et les modalités d’exercice (canal, justificatif éventuel, délai d’un mois Art. 12) ;
• lorsque le traitement repose sur le consentement Art. 6(1)(a) ou sur l’Art. 9(2)(a) pour des données sensibles, l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement antérieur ;
• le droit d’introduire une réclamation auprès de la CNIL, conformément à l’Art. 77 ;
• l’indication selon laquelle la fourniture des données a un caractère réglementaire, contractuel ou conditionne la conclusion d’un contrat, le caractère obligatoire ou facultatif de la fourniture et les conséquences d’un refus de fournir — point structurant pour les formulaires comportant des champs obligatoires et facultatifs ;
• l’existence d’une décision automatisée au sens de l’Art. 22, y compris du profilage, avec « les informations utiles concernant la logique sous-jacente » et les conséquences prévues — mention déterminante pour tous les systèmes de scoring crédit, de priorisation commerciale ou d’IA décisionnelle.

C’est la combinaison Art. 13(1) + Art. 13(2) qui constitue le socle d’une politique de confidentialité conforme. Dans les décisions de sanction récentes, les lacunes relevées portent notamment sur la durée de conservation (Discord, SAN-2022-020), l’information des salariés sur les dispositifs de surveillance (Amazon France Logistique, SAN-2023-021 ; SAN-2024-021) et, pour le ciblage publicitaire, l’information insuffisante sur les traitements réellement effectués (Criteo, SAN-2023-009).

Art. 13(3) : le réemploi pour une finalité ultérieure

L’Art. 13(3) régit l’hypothèse du traitement ultérieur. Quand le responsable de traitement souhaite réutiliser des données pour une finalité « autre que celle pour laquelle elles ont été collectées », il doit fournir au préalable à la personne :

• l’information sur cette autre finalité ;
• toute information pertinente visée à l’Art. 13(2) — typiquement la nouvelle durée de conservation, l’existence éventuelle d’une décision automatisée propre à la nouvelle finalité, et la modification éventuelle des destinataires.

Cette obligation se cumule avec le test de compatibilité de l’Art. 6(4) : changer de finalité suppose que la nouvelle finalité soit compatible avec la finalité initiale, ou qu’une nouvelle base légale soit mobilisée. Concrètement, si une entreprise collecte des données pour la facturation puis veut les utiliser pour de la prospection commerciale, elle doit non seulement vérifier la compatibilité (et au besoin obtenir un consentement spécifique), mais aussi délivrer une information préalable Art. 13(3) — pas seulement une mention noyée dans une mise à jour de la politique de confidentialité.

Le pendant de cette règle en collecte indirecte est l’Art. 14(4), et c’est lui que la CNIL a appliqué dans SAN-2024-004 Hubside.Store (4 avril 2024, 525 000 €) : des données achetées à des courtiers avaient été réutilisées pour de la prospection sans base légale valable ni information des personnes (Art. 6 et 14 RGPD, Art. L. 34-5 CPCE). Le raisonnement est transposable à la collecte directe : la réutilisation sans nouvelle information est sanctionnée en même temps que le défaut de base légale.

Art. 13(4) : la seule exception, restrictivement appliquée

L’Art. 13(4) prévoit que les paragraphes 1, 2 et 3 « ne s’appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations ». Trois éléments doivent être réunis :

• la personne dispose effectivement de l’information — pas seulement « aurait pu en disposer » ou « est censée la connaître » ;
• l’information dont elle dispose couvre exactement les mentions de l’Art. 13(1) et (2) — un client qui connaît l’identité du responsable de traitement ne dispose pas pour autant des informations sur la durée de conservation ou les droits ;
• la charge de la preuve pèse sur le responsable de traitement, en application du principe de responsabilité de l’Art. 5(2) et de l’Art. 24. La CJUE l’a rappelé pour les mesures de sécurité dans l’arrêt NAP (C-340/21, 14 décembre 2023) ; la même logique d’accountability vaut, à mon sens, pour l’obligation d’information.

L’exception ne dispense donc jamais de documenter que l’information a été délivrée. La décision SAN-2024-021 du 19 décembre 2024 (40 000 €, société immobilière) le montre : l’employeur invoquait une information orale des salariés, mais faute de trace écrite, la CNIL a jugé le caractère complet de l’information non établi et retenu le manquement aux Art. 12 et 13. En pratique, l’Art. 13(4) est rarement une dispense utilisable : il vaut presque toujours mieux délivrer l’information à nouveau, dans une formulation synthétique, plutôt que de l’invoquer en contrôle.

Le timing : « au moment où les données sont obtenues »

L’Art. 13(1) précise que l’information est fournie « au moment où les données en question sont obtenues ». Cette formulation se distingue volontairement de l’Art. 14 qui ménage un délai d’un mois pour la collecte indirecte : en collecte directe, il n’y a pas de délai. L’information doit précéder la collecte ou intervenir au moment exact de celle-ci.

Concrètement :

• sur un formulaire web, l’information (ou un lien direct vers elle) doit être présente et accessible avant validation du formulaire ;
• pour une collecte téléphonique, l’information essentielle doit être délivrée oralement avant la prise des données — pas après l’appel — avec renvoi vers un support écrit accessible (page web, courrier, espace client) ;
• en contrat papier, l’information figure dans le contrat lui-même ou dans une annexe remise simultanément ;
• pour un dispositif technique (caméra, badgeuse, application), l’information précède la mise en service par un affichage, une politique préalable ou un écran d’accueil.

L’information doit aussi rester accessible dans le temps : l’Art. 12(1) impose une forme écrite ou électronique, l’oral n’étant admis qu’à la demande de la personne. Une information délivrée uniquement de vive voix — lors d’un entretien, d’un appel ou d’une réunion d’équipe — ne satisfait donc pas l’obligation si elle n’est pas doublée d’un support consultable, comme la CNIL l’a jugé dans SAN-2024-021.

Articulation avec l’article 12 : la forme prime souvent sur le fond

L’Art. 13 fixe ce qu’il faut dire. L’Art. 12 fixe comment le dire : « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant ». L’information délivrée doit donc être :

• rédigée en langage clair — pas de copier-coller du texte du RGPD, pas de jargon, et idéalement par finalité ;
• gratuite et librement accessible — pas derrière un mur de cases à cocher ou de pop-ups successifs ;
• structurée par couches quand le volume le justifie — une mention courte au moment de la collecte avec un lien vers une politique complète, approche recommandée par la CNIL et par les lignes directrices WP260 rev.01 sur la transparence (section « approche par niveaux ») ;
• adaptée au public — version simplifiée pour les mineurs au sens de l’Art. 8, version professionnelle pour les usages B2B.

C’est cette forme — pas seulement le contenu — qui est contrôlée. La CNIL examine la lisibilité, la pertinence et l’accessibilité réelle de l’information. Une politique de confidentialité de 25 000 mots noyant les mentions Art. 13 dans un texte juridique illisible est presque toujours sanctionnable au titre du couple Art. 12 / Art. 13.

Erreurs fréquentes à corriger sur votre site

Voici les manquements les plus courants, tels qu’ils ressortent des décisions de la CNIL et des exemples de mentions qu’elle publie :

1. Identité du responsable de traitement absente ou incomplète — un nom commercial sans la dénomination sociale exacte, ou une adresse postale manquante. Une simple URL « contact@société.com » ne satisfait pas.
2. Pas de coordonnées DPO alors qu’un DPO est désigné et déclaré. Ou inversement, mention d’un « DPO » alors qu’aucun n’a été officiellement désigné.
3. Bases légales agglomérées — « consentement et/ou intérêt légitime » sans préciser quelle base s’applique à quelle finalité. Chaque finalité doit avoir sa base légale identifiée.
4. Durée de conservation manquante — la mention la plus souvent oubliée, alors qu’elle est imposée par l’Art. 13(2)(a). Une durée par catégorie de donnée est attendue, pas une formule vague.
5. Description des intérêts légitimes absente — quand la base légale est l’intérêt légitime, l’Art. 13(1)(d) impose d’expliquer concrètement quel intérêt est poursuivi.
6. Droits incomplets — oubli du droit à la limitation Art. 18 ou de la portabilité Art. 20, ou absence du droit de retirer le consentement.
7. Caractère obligatoire/facultatif non précisé pour les champs des formulaires.
8. Décision automatisée non mentionnée alors que l’entreprise utilise un scoring, un algorithme de tri ou une IA dans la chaîne décisionnelle.
9. Information dispersée — mentions partielles sur la page d’accueil, complément dans les CGV, partie dans un PDF caché. L’information doit être consolidée et trouvable en un point unique.
10. Politique non actualisée — la politique décrit des traitements, destinataires ou outils qui ne correspondent plus à la réalité. Le RGPD ne fixe aucune périodicité de révision, mais l’exactitude de l’information est une obligation continue : une revue annuelle est une bonne pratique, pas une exigence légale.

Un contrôle utile consiste à tester l’Art. 13 sur les trois principaux parcours de collecte du site — formulaire de contact, création de compte, abonnement newsletter — en vérifiant, pour chacun, que les douze mentions sont accessibles avant validation.

Sanctions et jurisprudence

Le manquement à l’Art. 13 est rarement le grief principal, mais il apparaît de façon récurrente dans les décisions de la formation restreinte, aux côtés d’un manquement de fond. Quatre décisions, avec leur référence Légifrance :

• SAN-2022-020 Discord (10 novembre 2022, 800 000 €) — manquements aux Art. 5(1)(e), 13, 25(2), 32 et 35 ; l’information sur les durées de conservation était insuffisante ;
• SAN-2023-009 Criteo (15 juin 2023, 40 millions d’euros) — manquements aux Art. 7(1), 12, 13, 15(1), 17(1) et 26 ; la politique de confidentialité ne décrivait pas de façon complète les traitements de ciblage publicitaire ;
• SAN-2023-021 Amazon France Logistique (27 décembre 2023, 32 millions d’euros, ramenés à 15 millions par le Conseil d’État le 23 décembre 2025, n° 492830) — le Conseil d’État a réformé les manquements à l’Art. 6(1)(f), mais les manquements aux Art. 12 et 13 (intérimaires non informés de la politique RH, affichage incomplet de la vidéosurveillance) n’étaient pas contestés et subsistent ;
• SAN-2024-021 (19 décembre 2024, 40 000 €, PME de l’immobilier non nommée) — logiciel de surveillance des postes en télétravail sans information écrite suffisante ; l’information orale invoquée n’a pas été retenue faute de trace.

Le cas Amazon est instructif à double titre : la sanction a été divisée par deux parce que le Conseil d’État a donné raison à l’entreprise sur la base légale, mais le défaut d’information, lui, n’a même pas été discuté. Le défaut d’information est le manquement le plus simple à éviter et le plus difficile à contester une fois constaté.

Au-delà de la CNIL, la CJUE a précisé dans l’arrêt RW c/ Österreichische Post (C-154/21) que la personne a droit, sur demande, à l’identité nominative des destinataires ; cette lecture éclaire la manière de rédiger la mention « destinataires » de l’Art. 13(1)(e). Sur le terrain civil, l’arrêt C-300/21 Österreichische Post du 4 mai 2023 a posé qu’un dommage moral ouvre droit à réparation au titre de l’Art. 82 sans seuil de gravité, à condition d’établir un dommage et un lien de causalité avec la violation — un défaut d’information peut donc fonder une action, mais ne suffit pas à lui seul. Enfin, la loi n° 2025-391 du 30 avril 2025 a unifié les régimes d’action de groupe, y compris en matière de données personnelles, pour les actions introduites à compter du 2 mai 2025.

Quand cette tâche devient lourde — cartographie des collectes, alignement des bases légales, mise à jour des mentions sur plusieurs parcours et plusieurs langues, traçabilité de la délivrance — c’est le type de processus que Legiscope automatise.

Pour suivre les décisions CNIL et CJUE qui font évoluer l’obligation d’information, inscrivez-vous à la newsletter : une analyse par semaine, sans remplissage.

Ce qu’il faut retenir

• L’Art. 13 s’applique en collecte directe — formulaire, contrat, appel téléphonique, IoT — et impose 12 mentions cumulables : 6 systématiques (Art. 13(1)) et 6 complémentaires (Art. 13(2)).
• L’information doit être délivrée au moment de la collecte, sans délai, contrairement à l’Art. 14 qui ménage un mois pour la collecte indirecte.
• L’Art. 13(3) impose une nouvelle information préalable en cas de finalité ultérieure, en plus du test de compatibilité Art. 6(4).
• L’exception de l’Art. 13(4) est restrictivement appliquée : la personne doit effectivement disposer de l’ensemble des informations, et la charge de la preuve pèse sur le responsable de traitement.
• L’information doit être écrite ou électronique et accessible dans le temps (Art. 12(1)) : une information orale sans trace n’a pas été retenue par la CNIL (SAN-2024-021).
• Les sanctions relèvent du plafond haut : 20 M€ ou 4 % du chiffre d’affaires mondial (Art. 83(5)(b)). Le manquement à l’Art. 13 est le plus souvent retenu en complément d’un manquement de fond (Discord, Criteo, Amazon France Logistique).

FAQ

Quelle différence entre l’article 13 et l’article 14 du RGPD ?

L’Art. 13 s’applique quand la personne fournit elle-même ses données — formulaire web, signature de contrat, appel téléphonique. L’Art. 14 s’applique quand les données proviennent d’un tiers — fichier acheté, enrichissement CRM, scraping. Les mentions à délivrer sont presque identiques, mais l’Art. 14 ajoute la mention de la source et des catégories de données, et ménage un délai d’un mois pour informer, là où l’Art. 13 exige une information au moment exact de la collecte.

L’information doit-elle figurer dans le formulaire ou peut-elle être renvoyée à la politique de confidentialité ?

L’EDPB et la CNIL acceptent une information « en couches » : une mention courte au moment de la collecte (typiquement à côté du bouton de validation) avec un lien direct vers une politique de confidentialité complète. Mais la mention courte doit déjà identifier le responsable de traitement, les finalités, la base légale et le lien vers la politique détaillée. Renvoyer l’intégralité à un lien isolé en pied de page, sans aucune mention à côté du formulaire, n’est pas conforme.

Faut-il une nouvelle information à chaque mise à jour de la politique de confidentialité ?

Pas systématiquement. Une mise à jour cosmétique (changement de wording, ajout d’un canal de contact DPO) ne nécessite pas une réinformation individuelle. En revanche, dès qu’une nouvelle finalité est introduite, qu’une nouvelle catégorie de destinataires apparaît, qu’un nouveau transfert hors UE est mis en place, ou qu’une décision automatisée est ajoutée, une information préalable au titre de l’Art. 13(3) est obligatoire avant que le nouveau traitement ne démarre.

Une mention d’information dans les CGV vaut-elle politique de confidentialité ?

Non, sauf cas particulier où les CGV intègrent l’ensemble des mentions Art. 13(1) et (2) sous une rubrique dédiée et facilement identifiable. La pratique recommandée est de séparer : les CGV régissent la relation contractuelle, la politique de confidentialité régit le traitement des données. Cette séparation facilite les mises à jour (une politique de confidentialité évolue plus souvent que des CGV) et la lisibilité côté utilisateur. Pour les sites de e-commerce, mon guide sur les mentions légales RGPD détaille comment articuler les deux documents.