Article 14 RGPD : guide, délais et checklist 2026

L’essentiel. L’article 14 du RGPD s’applique dès que vous obtenez des données personnelles ailleurs qu’auprès de la personne elle-même : fichier de prospection acheté, enrichissement de CRM, scraping, transfert d’un partenaire, reprise d’un fonds de commerce. Vous devez alors informer chaque personne, avec des mentions précises (dont la source des données), dans un délai d’un mois maximum — et au plus tard lors du premier contact. Les quatre exceptions de l’article 14(5) sont strictement encadrées : « l’effort disproportionné » ne couvre jamais un fichier commercial exploitable.

Acheter un fichier de prospects, enrichir son CRM via une base externe, récupérer les contacts d’une société rachetée : dans tous ces cas, les données ne viennent pas de la personne elle-même. L’article 14 du RGPD impose alors une obligation d’information spécifique, avec un délai court et peu d’exceptions réellement utilisables. C’est l’un des articles les moins respectés en pratique — et l’un des plus contrôlés par la CNIL, notamment sur les fichiers commerciaux B2B. Cet article détaille les mentions obligatoires, les délais, les exceptions, les erreurs récurrentes en audit, et vous donne un modèle de mention d’information ainsi qu’une checklist de mise en conformité.

Ce que dit l’article 14 du RGPD

L’article 14 s’intitule « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée ». Il fonctionne en miroir de l’article 13, qui régit l’information en cas de collecte directe. Les deux articles poursuivent le même objectif — rendre le traitement transparent — mais la situation est fondamentalement différente : quand les données proviennent d’un tiers, la personne ignore généralement que ses données circulent, ce qui renforce l’obligation pesant sur le responsable de traitement.

L’article est structuré en cinq paragraphes :

• l’article 14(1) liste les informations systématiquement obligatoires ;
• l’article 14(2) liste les informations complémentaires nécessaires à un traitement loyal et transparent ;
• l’article 14(3) fixe le délai dans lequel l’information doit être délivrée ;
• l’article 14(4) impose une nouvelle information en cas de changement de finalité ;
• l’article 14(5) prévoit quatre exceptions strictement encadrées.

Le manquement à l’article 14 relève du plafond haut de l’article 83(5) : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. C’est le même régime que pour une violation des principes fondamentaux de l’article 5 ou d’une base légale défaillante. Le sujet n’est donc pas mineur : il figure au niveau de sanction le plus élevé du règlement, au même titre que les sanctions RGPD les plus lourdes.

Quand l’article 14 s’applique concrètement

Le critère déclencheur est simple : les données n’ont pas été fournies par la personne elle-même au responsable de traitement. En pratique, six situations reviennent constamment en entreprise.

L’achat ou la location de fichiers commerciaux

Tout fichier de prospection acheté ou loué auprès d’un fournisseur de données fait entrer l’acquéreur dans le champ de l’article 14. Peu importe que le fichier soit B2B ou B2C : la règle est identique dès qu’il contient des données personnelles, ce qui est toujours le cas pour les coordonnées d’un contact nommément identifié — un email professionnel nominatif (prenom.nom@societe.fr) est une donnée personnelle.

L’enrichissement de CRM

Utiliser un outil d’enrichissement pour compléter des fiches existantes — ajouter une adresse, un poste, un téléphone — déclenche l’obligation d’information. La personne n’a pas fourni l’information : on est allé la chercher. C’est un point que les équipes marketing et commerciales sous-estiment presque toujours, parce que l’enrichissement se fait « en arrière-plan », sans interaction avec la personne.

Le scraping ou la collecte sur des sources publiques

Récupérer des profils professionnels, des coordonnées sur des annuaires ou des emails via un scraping de pages web relève également de la collecte indirecte. Le fait que la source soit publique ne dispense pas de l’article 14. La CNIL l’a rappelé de la façon la plus nette dans la sanction Clearview AI (délibération SAN-2022-019, 20 millions d’euros) : aspirer des données librement accessibles en ligne ne fait pas disparaître les obligations d’information et de licéité.

La réception de données d’un partenaire ou d’un prestataire

Quand un courtier transmet les coordonnées d’un prospect à un assureur, quand un recruteur externe transmet le CV d’un candidat à l’entreprise cliente, quand un cabinet comptable partage la liste des salariés d’un client, le destinataire devient responsable de traitement d’une collecte indirecte et doit appliquer l’article 14. La question de la répartition des rôles avec le partenaire relève, elle, de l’article 28 du RGPD et du contrat de sous-traitance.

Les fusions-acquisitions et reprises d’activité

L’acquisition d’un fonds de commerce, d’une société ou d’un portefeuille clients s’accompagne d’un transfert de données. L’acquéreur doit informer les personnes concernées de ce transfert. C’est un point de due diligence RGPD régulièrement omis dans les opérations de e-commerce et de reprise de bases clients.

Les données issues de tiers dans les parcours utilisateur

Connexion via un réseau social qui transmet des attributs non demandés, partenaire commercial qui communique une liste de contacts, prestataire qui remet un fichier : à chaque fois, l’obligation se déclenche pour l’entité qui reçoit et exploite ces données.

Les informations à fournir systématiquement (article 14(1))

Huit mentions sont obligatoires, quelle que soit la situation. Le tableau ci-dessous les met en regard de l’article 13 pour visualiser les différences.

Mention	Art. 14 (collecte indirecte)	Art. 13 (collecte directe)
Identité et coordonnées du responsable (et représentant)	Oui	Oui
Coordonnées du DPO, le cas échéant	Oui	Oui
Finalités et base légale (art. 6)	Oui	Oui
Catégories de données traitées	Oui (spécifique)	Non (la personne les connaît)
Destinataires ou catégories de destinataires	Oui	Oui
Transfert hors UE et garanties	Oui	Oui
Durée de conservation ou critères	Oui	Oui
Droits + réclamation CNIL + retrait du consentement	Oui	Oui
Source des données	Oui (art. 14(2))	Sans objet
Délai d’information	1 mois max	Au moment de la collecte

La mention des catégories de données est l’une des différences majeures avec l’article 13. Elle oblige l’entreprise à lister concrètement ce qu’elle détient : nom, prénom, email professionnel, numéro de téléphone, intitulé de poste, entreprise, historique d’interactions, etc. Une formulation vague (« données commerciales ») n’est pas conforme. Cette exigence rejoint directement le principe de minimisation : on ne peut décrire précisément que ce que l’on a délibérément choisi de collecter.

Sur les modalités concrètes de rédaction — langage clair, accessibilité, forme concise — l’article 12 fixe le cadre. Nos bonnes pratiques de l’article 12 valent aussi bien pour l’information directe qu’indirecte.

Les informations complémentaires (article 14(2))

Trois catégories d’information supplémentaire sont exigées :

• l’existence d’une décision automatisée au sens de l’article 22, avec une explication de la logique sous-jacente et des conséquences prévues — particulièrement pertinent pour les systèmes de scoring, de priorisation commerciale ou fondés sur l’IA ;
• quand le traitement repose sur l’intérêt légitime, la description des intérêts poursuivis par le responsable de traitement ou par le tiers ;
• la source dont proviennent les données, et le cas échéant le fait qu’elles proviennent de sources accessibles au public.

C’est cette dernière mention — l’indication de la source — qui est la plus fréquemment omise. Elle oblige à tracer la provenance des données, ce qui suppose une cartographie rigoureuse en amont. Un fichier acheté doit pouvoir mentionner le fournisseur ; un enrichissement CRM doit préciser l’outil utilisé ; un import partenaire doit nommer le partenaire. La CNIL considère qu’une formulation générique du type « diverses sources externes » ne satisfait pas l’obligation. La question de la source est devenue un point de contrôle central, à mesure que se développent les chaînes de courtiers en données.

Les délais de l’article 14(3) : un mois maximum

Le calendrier imposé par l’article 14(3) est l’aspect le plus contraignant. Trois échéances coexistent et la première atteinte emporte l’obligation d’informer :

• un mois maximum après l’obtention des données, en tenant compte des circonstances du traitement — c’est le délai plafond en toutes hypothèses ;
• au plus tard lors de la première communication avec la personne, si elle intervient avant l’expiration du mois — typiquement, avant l’envoi d’un premier email de prospection ;
• au plus tard au moment de la première communication des données à un autre destinataire, si elle intervient avant les deux échéances précédentes.

En pratique, pour un fichier de prospection B2B acheté le 1er avril, si le premier email part le 10 avril, l’information doit figurer dans cet email ou l’avoir précédé. Si aucune action n’est entreprise, l’information doit avoir été délivrée au plus tard le 1er mai. La CNIL vérifie systématiquement ce délai lors de ses contrôles sur les bases commerciales : dans plusieurs affaires portant sur de la prospection, l’absence d’information dans le délai imposé a été retenue comme un manquement autonome, indépendamment de la question de la base légale.

Les exceptions de l’article 14(5) : strictement limitées

L’article 14(5) prévoit quatre cas de dispense. Contrairement à une croyance répandue, aucune ne libère totalement le responsable de son devoir de transparence.

(a) La personne dispose déjà de l’information

Si la personne a déjà reçu l’information par une autre voie — par exemple via le responsable initial qui l’a transmise —, la redélivrer n’est pas exigée. Mais la charge de la preuve pèse sur le responsable : il doit pouvoir démontrer que l’information a été faite et reçue, avec quelles mentions et à quelle date. En cas de doute, il vaut mieux refaire l’information.

(b) L’information est impossible ou exige des efforts disproportionnés

C’est l’exception la plus invoquée, et la plus encadrée. Les lignes directrices européennes sur la transparence rappellent qu’elle ne s’applique que lorsqu’il est matériellement impossible de joindre les personnes ou que le coût serait manifestement disproportionné — typiquement pour des traitements statistiques ou de recherche portant sur des masses d’enregistrements sans coordonnées exploitables.

Elle ne s’applique pas à la prospection commerciale : si l’entreprise dispose des coordonnées pour prospecter, elle dispose aussi des coordonnées pour informer. Invoquer la « disproportion » pour un fichier commercial exploitable est une stratégie perdante en contentieux. Lorsque cette exception est réellement fondée, l’article 14(5)(b) impose de prendre des mesures appropriées pour protéger les droits des personnes, incluant la mise à disposition publique de l’information — une politique de confidentialité détaillée et accessible, par exemple.

© Le traitement est expressément prévu par la loi

Certains traitements sont organisés par un texte national ou européen qui définit lui-même l’information des personnes. La dispense s’applique alors, à condition que le texte prévoie « des mesures appropriées visant à protéger les intérêts légitimes de la personne ». Cas rare, limité à certains traitements régaliens.

(d) Les données sont couvertes par le secret professionnel

Les données couvertes par une obligation de secret professionnel prévue par le droit de l’Union ou national — secret médical, secret de l’instruction, secret bancaire — peuvent être exemptées. Cette exception ne couvre pas les obligations contractuelles de confidentialité (NDA), qui ne valent pas secret professionnel au sens du RGPD. Pour distinguer les deux, voir notre analyse de la clause de confidentialité.

Modèle de mention d’information article 14

Voici un modèle de bloc à intégrer, par exemple, en pied d’un premier email de prospection ou sur une page dédiée du site vers laquelle l’email renvoie.

Information sur vos données (article 14 du RGPD). [Société], responsable de traitement, a obtenu vos coordonnées professionnelles (nom, prénom, fonction, email et téléphone professionnels, société) auprès de [source précise : nom du fournisseur / annuaire / partenaire]. Ces données sont traitées à des fins de prospection commerciale B2B, sur le fondement de notre intérêt légitime (art. 6(1)(f) du RGPD). Elles sont conservées [durée] et destinées à [catégories de destinataires]. Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition, que vous pouvez exercer à [contact / DPO], ainsi que du droit d’introduire une réclamation auprès de la CNIL. Politique de confidentialité complète : [lien].

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — juillet 2026.

Erreurs fréquentes à corriger dans votre organisation

Voici les manquements les plus courants relevés en audit :

1. Aucune information envoyée après achat d’un fichier de prospection : l’onboarding fournisseur n’intègre pas l’obligation article 14 et personne ne se l’approprie en interne.
2. Information faite mais hors délai : le premier email part, puis on réalise qu’il manquait la mention, et on corrige plusieurs semaines après — le délai d’un mois est déjà dépassé.
3. Absence de mention de la source : la politique de confidentialité parle des finalités et des droits mais ne dit pas qu’une partie des données provient d’enrichissement externe ou de partenaires.
4. Mention de source trop générique : « nos partenaires commerciaux » ne satisfait pas l’article 14(2)(f) — il faut préciser les catégories de sources, idéalement les nommer.
5. Exception de l’effort disproportionné invoquée à tort, pour couvrir une inaction, ce qui ne résiste pas à un contrôle.
6. Mélange des régimes art. 13 et art. 14 : une même politique sert pour tous les traitements, sans distinguer collecte directe et indirecte.
7. Oubli de l’information en cas d’acquisition : les clients du fonds de commerce racheté continuent d’être prospectés sans avoir été informés du transfert.
8. Information limitée au premier envoi : correct pour le premier email, mais aucune trace pérenne dans la politique de confidentialité du site.

Sur un audit de conformité, j’inclus systématiquement un test article 14 : « prenez n’importe quelle fiche de prospect dans votre CRM et démontrez-moi quand et comment cette personne a été informée ». C’est souvent à ce moment que les failles apparaissent.

Article 14 et prospection commerciale B2B : le point d’attention

La prospection commerciale concentre l’essentiel des contentieux liés à l’article 14. Trois règles doivent être tenues simultanément :

• une base légale valable pour la prospection — généralement l’intérêt légitime en B2B, sous réserve d’un triple test documenté ;
• une information article 14 délivrée dans le délai d’un mois ou au plus tard lors du premier contact ;
• un droit d’opposition immédiat et sans frais, conforme à l’article 21 du RGPD et à l’article L. 34-5 du Code des postes et communications électroniques. Sur la mécanique consentement / opposition selon les canaux, voir opt-in et opt-out et le droit d’opposition.

Un lien de désabonnement dans l’email ne dispense pas de l’information préalable : c’est une obligation complémentaire, pas alternative. Maintenir la traçabilité des sources, documenter la base légale et envoyer l’information dans les temps est exactement le type de processus qu’un logiciel RGPD permet d’industrialiser, via la cartographie des flux d’enrichissement et le suivi des délais d’information.

Checklist de mise en conformité article 14

• [ ] Cartographier toutes les entrées de données indirectes (achats, enrichissement, scraping, partenaires, reprises).
• [ ] Pour chaque flux, tracer et documenter la source (fournisseur, outil, partenaire nommé).
• [ ] Préparer un bloc d’information article 14 complet (8 mentions + source + intérêts).
• [ ] Intégrer cette information dans le premier point de contact (email, page dédiée).
• [ ] Vérifier le respect du délai d’un mois par un contrôle interne daté.
• [ ] Distinguer, dans la politique de confidentialité, les traitements art. 13 et art. 14.
• [ ] Documenter la base légale et le triple test intérêt légitime.
• [ ] Prévoir un droit d’opposition opérationnel dès le premier envoi.
• [ ] Vérifier les durées de conservation applicables aux prospects.
• [ ] Confirmer la présence des coordonnées du DPO quand il est obligatoire.

Ce qu’il faut retenir

• L’article 14 s’applique dès que les données ne sont pas fournies directement par la personne : fichiers achetés, enrichissement CRM, scraping, transferts de partenaires, fusions-acquisitions.
• Huit mentions sont obligatoires en toute hypothèse (art. 14(1)) et trois complémentaires (art. 14(2)), dont la mention de la source — particulièrement mal traitée en pratique.
• Le délai d’information est d’un mois maximum, ou avant le premier contact si celui-ci intervient plus tôt (art. 14(3)).
• Les quatre exceptions de l’article 14(5) sont strictement encadrées ; « l’effort disproportionné » ne couvre pas un fichier commercial exploitable.
• Les sanctions relèvent du plafond haut : 20 M€ ou 4 % du chiffre d’affaires mondial (art. 83(5)).

FAQ

Quelle différence entre l’article 13 et l’article 14 du RGPD ?

L’article 13 régit l’information quand les données sont collectées directement auprès de la personne — formulaire web rempli, bulletin d’inscription, contrat signé. L’article 14 s’applique quand les données proviennent d’un tiers — achat de fichier, enrichissement, scraping, partenaire. Les informations à fournir sont proches, mais l’article 14 ajoute la mention des catégories de données et de la source, et impose un délai d’un mois pour informer. Les deux articles ne s’excluent pas : un même traitement peut relever des deux si certaines données sont collectées directement et d’autres indirectement.

Est-il obligatoire d’informer individuellement chaque prospect ?

En principe, oui : l’information doit être individuelle et effectivement mise à disposition. Publier une politique de confidentialité sur son site ne suffit pas — encore faut-il que la personne ait été mise en mesure d’y accéder, par exemple par un lien dans le premier email de contact. La CNIL admet qu’un email de prospection contenant l’information article 14 (ou un lien direct vers celle-ci) satisfait l’obligation, à condition que l’email ait été reçu dans les délais de l’article 14(3).

Peut-on prospecter en B2B sans consentement préalable ?

Oui, la prospection B2B par email vers des personnes exerçant leur activité professionnelle peut reposer sur l’intérêt légitime, sans consentement préalable, conformément à la doctrine de la CNIL et à l’article L. 34-5 du CPCE. Mais cette base légale exige un test de mise en balance documenté, une information article 14 dans les délais et un droit d’opposition immédiat dans chaque envoi. Pour les emails vers des particuliers, ou des emails génériques (contact@, info@) redirigés vers une boîte individuelle, les règles changent et le consentement peut redevenir nécessaire.

Un fournisseur de données peut-il prendre en charge l’obligation d’information article 14 ?

Le fournisseur peut prévoir contractuellement qu’il informe lui-même les personnes avant la cession, ce qui peut activer l’exception de l’article 14(5)(a) — la personne dispose déjà de l’information. C’est la pratique de certains acteurs sérieux du marché français. Mais la charge de la preuve reste sur l’acquéreur : il doit pouvoir démontrer que l’information a bien été faite, avec quelles mentions et à quelle date. Une simple clause contractuelle sans preuve d’exécution ne protège pas en cas de contrôle. Il est prudent d’intégrer cette exigence dans votre questionnaire d’évaluation des sous-traitants et fournisseurs.

La source publique d’une donnée dispense-t-elle de l’information ?

Non. Qu’une donnée soit accessible publiquement (annuaire, profil professionnel, registre) ne fait pas disparaître l’obligation d’information ni les autres obligations du RGPD. C’est précisément ce que la CNIL a rappelé dans la sanction Clearview AI. La seule conséquence de la source publique est qu’elle doit être indiquée comme telle dans la mention d’information (art. 14(2)(f)).

Que faire en cas de changement de finalité après la collecte indirecte ?

L’article 14(4) impose de fournir une nouvelle information avant tout traitement ultérieur pour une finalité différente de celle initialement prévue. Concrètement, si vous avez collecté des données pour de la prospection et que vous décidez de les utiliser pour du profilage ou une décision automatisée, vous devez réinformer la personne sur cette nouvelle finalité avant de commencer.

---

Thiébaut Devergranne, docteur en droit (Paris II, 2007), est le fondateur de donneespersonnelles.fr et de Legiscope, logiciel de conformité RGPD. Il forme des DPO et accompagne des entreprises en mise en conformité depuis plus de vingt ans.