Les articles 13 et 14 du RGPD obligent toute entreprise à informer les personnes au moment où elle collecte leurs données : qui traite, pourquoi, sur quelle base légale, qui les reçoit, combien de temps, et quels droits elles peuvent exercer. L’article 13 s’applique quand les données viennent de la personne elle-même ; l’article 14, quand elles viennent d’ailleurs (fichier acheté, partenaire, source publique), avec un délai d’un mois pour informer. En pratique, une politique de confidentialité complète et une mention sous chaque formulaire couvrent l’obligation.
L’essentiel
- Information obligatoire au moment de la collecte (article 13) ou dans le mois qui suit (article 14), avant tout usage pour une autre finalité et avant toute première communication à un tiers.
- Treize informations à fournir, dont la base légale, les durées de conservation et le droit de réclamation auprès de la CNIL.
- Deux niveaux : une mention courte à l’endroit de la collecte, et une politique de confidentialité détaillée accessible en un clic.
- Des exceptions limitées pour l’article 14 : information impossible ou disproportionnée, ou collecte prévue par un texte.
Ce que disent les articles 13 et 14
| Information à fournir | Référence |
|---|---|
| Identité et coordonnées du responsable, et de son représentant le cas échéant | 13.1.a / 14.1.a |
| Coordonnées du délégué à la protection des données, s’il existe | 13.1.b / 14.1.b |
| Finalités et base légale du traitement ; intérêts légitimes poursuivis le cas échéant | 13.1.c-d / 14.1.c, 14.2.b |
| Catégories de données (article 14 seulement) | 14.1.d |
| Destinataires ou catégories de destinataires | 13.1.e / 14.1.e |
| Transfert hors Union européenne et garanties | 13.1.f / 14.1.f |
| Durée de conservation ou critères pour la déterminer | 13.2.a / 14.2.a |
| Droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité | 13.2.b / 14.2.c |
| Droit de retirer le consentement | 13.2.c / 14.2.d |
| Droit d’introduire une réclamation auprès d’une autorité de contrôle | 13.2.d / 14.2.e |
| Caractère obligatoire ou facultatif de la fourniture des données et conséquences (article 13 seulement) | 13.2.e |
| Source des données, y compris publique (article 14 seulement) | 14.2.f |
| Existence d’une décision automatisée ou d’un profilage, logique et conséquences | 13.2.f / 14.2.g |
Le moment compte autant que le contenu : au plus tard lors de la collecte pour l’article 13 ; dans un délai raisonnable n’excédant pas un mois, lors de la première communication avec la personne, ou lors de la première transmission à un tiers pour l’article 14. L’article 14 prévoit des exceptions lorsque la personne dispose déjà de l’information, lorsque l’informer est impossible ou exigerait des efforts disproportionnés, ou lorsque la collecte est prévue par un texte.
Ce que cela change pour une PME
Une mention courte à chaque point de collecte
Formulaire de contact, devis, inscription à un événement, bulletin papier, appel téléphonique enregistré : chaque point de collecte porte une mention de deux ou trois phrases qui dit la finalité, le responsable et renvoie à la politique de confidentialité. Un lien en pied de page ne suffit pas s’il n’est pas visible au moment où la personne saisit ses données.
Une politique de confidentialité qui reprend les treize points
La politique détaille, finalité par finalité, les treize informations du tableau. Notre générateur gratuit produit cette structure ; il reste à y reporter vos propres finalités, destinataires et durées, qui viennent du registre des traitements.
Informer aussi les salariés et les candidats
Les articles 13 et 14 ne concernent pas que les clients : une notice d’information RH remise à l’embauche, une mention sur les offres d’emploi et une information sur la vidéosurveillance ou les outils de contrôle font partie du socle. Les salariés sont les premiers à exercer leurs droits en cas de conflit.
Penser à l’article 14 pour les données indirectes
Fichier de prospection acheté, coordonnées transmises par un partenaire, données issues des réseaux sociaux ou d’un annuaire : la personne ne vous a rien donné, vous devez l’informer dans le mois, en indiquant la source. C’est le point le plus souvent oublié dans la prospection B2B.
Rédiger pour être lu
L’article 12 exige une information concise, transparente, compréhensible et aisément accessible, en termes clairs et simples. Une politique de dix pages copiée d’un grand groupe ne remplit pas cette condition pour une TPE ; une page bien structurée, avec des titres par finalité, oui.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Google LLC, 21 janvier 2019 | 50 millions d’euros | Information trop diluée dans plusieurs documents et nécessitant jusqu’à cinq ou six actions pour atteindre les éléments essentiels ; finalités et durées décrites de façon trop générale (articles 12 et 13), en plus d’un consentement non valable pour la publicité personnalisée. |
| Amazon France Logistique, 27 décembre 2023 | 32 millions d’euros (toutes causes) | Parmi les manquements : intérimaires non informés avant la collecte de leurs données par les scanners, et information insuffisante des salariés et des visiteurs sur la vidéosurveillance (articles 12 et 13). |
| Clearview AI, 17 octobre 2022 | 20 millions d’euros (toutes causes) | Absence d’information des personnes dont les photographies avaient été collectées sur le web (articles 12 et 14), en plus de l’absence de base légale. |
Ces décisions montrent les deux formes du manquement : ne pas informer du tout (collecte indirecte, intérimaires, visiteurs) et informer sans être compréhensible (dispersion, généralités). Pour une PME, la seconde est aussi fréquente que la première.
Les questions que je pose en audit
- Montrez-moi chaque formulaire de votre site et de vos documents papier : une mention d’information figure-t-elle à côté du bouton de validation ?
- Votre politique de confidentialité indique-t-elle une durée de conservation et une base légale pour chaque finalité, ou une phrase générale pour l’ensemble ?
- Les salariés ont-ils reçu une notice d’information à l’embauche, et les candidats sont-ils informés sur les offres ?
- Achetez-vous ou recevez-vous des fichiers de contacts, et comment informez-vous ces personnes dans le mois ?
- Les coordonnées du DPO ou du contact données sont-elles exactes et toujours actives ?
- Votre politique a-t-elle été relue depuis le dernier changement d’outil ou de prestataire ?
- Un client qui lit votre politique comprend-il, en une minute, ce que vous faites de ses données ?
Prêt à l’emploi : trois mentions d’information
Sous un formulaire de contact ou de devis : « Les informations recueillies sont traitées par [entreprise] pour répondre à votre demande et, le cas échéant, établir un devis (base légale : mesures précontractuelles). Elles sont conservées 3 ans après notre dernier échange et ne sont transmises qu’à nos prestataires techniques. Vous disposez de droits d’accès, de rectification, d’effacement et d’opposition, que vous pouvez exercer à [adresse] ; vous pouvez aussi saisir la CNIL. Détails dans notre politique de confidentialité. »
Sur une offre d’emploi ou un formulaire de candidature : « Vos données de candidature sont traitées par [entreprise] pour évaluer votre profil en vue d’un éventuel recrutement (mesures précontractuelles). Elles sont accessibles au service RH et aux responsables du poste, et conservées 2 ans au plus si votre candidature n’est pas retenue, sauf opposition de votre part. Droits et contact : [adresse]. »
Information au titre de l’article 14 (contact dont les données viennent d’un tiers) : « Nous avons obtenu vos coordonnées professionnelles auprès de [source] afin de vous présenter nos services, sur le fondement de notre intérêt légitime de développement commercial. Vous pouvez vous opposer à tout moment à ces sollicitations en répondant à ce message ou à [adresse]. Vos données seront supprimées 3 ans après notre dernier échange. Politique de confidentialité : [lien]. »
Et en Suisse ?
La nLPD contient une obligation équivalente aux articles 19 et 20 : informer la personne lors de la collecte, avec au minimum l’identité du responsable, la finalité, les destinataires et, nouveauté suisse, les pays vers lesquels les données sont communiquées. Les exceptions sont proches de celles de l’article 14. Notre fiche sur le devoir d’informer sous la nLPD en donne le détail.
Ce que je constate en mission. Les politiques de confidentialité que je relis sont presque toujours incomplètes sur deux points : les durées de conservation, remplacées par « le temps nécessaire aux finalités », et les destinataires, où manquent les prestataires réels (hébergeur, outil d’e-mailing, cabinet de paie). Ces deux lignes se remplissent en dix minutes à partir du registre, et ce sont celles que la CNIL lit en premier.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Faut-il une politique de confidentialité distincte des mentions légales ?
Oui. Les mentions légales identifient l’éditeur du site ; la politique de confidentialité décrit les traitements de données. Les deux peuvent être sur une même page, à condition que la partie données soit complète et clairement titrée.
Que faire si la personne a déjà l’information ?
L’article 13 comme l’article 14 dispensent de répéter ce que la personne connaît déjà, par exemple lors d’une nouvelle commande d’un client existant. Il faut toutefois pouvoir prouver qu’elle a bien été informée une première fois.
Peut-on informer par un simple lien vers la politique ?
Au point de collecte, une mention courte avec un lien vers la politique complète est admise, à condition que la mention indique au moins la finalité et le responsable, et que le lien soit visible à ce moment précis.
Vérifier votre information
La relecture des mentions et de la politique de confidentialité fait partie de tout audit RGPD ; l’étape 3 de notre guide mise en conformité en 7 étapes permet de la faire soi-même.
📋 Êtes-vous vraiment prêts à informer vos utilisateurs ?
Cochez les éléments que vous appliquez déjà dans vos mentions d’information
Sources
- Règlement (UE) 2016/679, articles 12, 13 et 14
- CNIL – Informer les personnes
- CNIL – Les sanctions prononcées (Google 2019, Clearview AI 2022)
- Lefebvre Dalloz – La CNIL sanctionne Amazon France Logistique (décembre 2023)
