Règlement (UE) 2016/679, articles 12 à 14

La politique de confidentialité et les mentions d'information

L'information des personnes est la seule obligation du règlement (UE) 2016/679 dont l'exécution est publiquement vérifiable : n'importe qui peut lire une politique de confidentialité et constater qu'il y manque une mention imposée. C'est aussi la première pièce examinée lors d'un contrôle en ligne, avant toute demande adressée à l'organisation.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Deux régimes selon la provenance des données

L'article 13 s'applique lorsque les données sont collectées auprès de la personne elle-même : formulaire, compte, contrat, échange direct. L'information est alors due au moment où les données sont obtenues.

L'article 14 s'applique lorsqu'elles n'ont pas été collectées auprès d'elle : fichier acquis, données transmises par un partenaire, informations issues d'une source publique. L'information est due dans un délai raisonnable ne dépassant pas un mois, ou, si les données servent à communiquer avec la personne, au plus tard lors de la première communication, ou encore, si une communication à un autre destinataire est envisagée, au plus tard lors de la première communication des données.

L'article 14 impose deux mentions supplémentaires que l'article 13 ne prévoit pas : les catégories de données concernées, et la source d'où proviennent les données, en précisant le cas échéant si elles sont issues de sources accessibles au public. Son paragraphe 5 prévoit des exceptions, notamment lorsque l'information se révèle impossible ou exigerait des efforts disproportionnés ; ces exceptions s'apprécient strictement et doivent être motivées par écrit.

Les mentions qui manquent le plus souvent

La base légale de chaque finalité

L'article 13.1 c) impose d'indiquer les finalités et la base juridique du traitement. Une politique qui énumère des finalités sans les rattacher chacune à une base ne satisfait pas cette exigence, et elle révèle en général que l'arbitrage n'a pas été fait.

L'intérêt légitime poursuivi

Lorsque le traitement repose sur l'article 6.1 f), l'article 13.1 d) impose d'indiquer les intérêts légitimes poursuivis par le responsable ou par un tiers. Écrire « intérêt légitime » sans dire lequel ne remplit pas l'obligation.

La durée de conservation

L'article 13.2 a) impose la durée, ou, lorsque ce n'est pas possible, les critères utilisés pour la déterminer. Une durée par finalité, et non une durée unique pour l'ensemble du site.

Les transferts hors Union

L'article 13.1 f) impose d'indiquer l'intention de transférer, l'existence ou l'absence d'une décision d'adéquation, et, le cas échéant, la référence aux garanties appropriées ainsi que les moyens d'en obtenir une copie.

Le droit de réclamation et le retrait du consentement

L'article 13.2 d) impose de mentionner le droit d'introduire une réclamation auprès d'une autorité de contrôle ; le point c) impose, lorsque le traitement repose sur le consentement, le droit de le retirer à tout moment sans porter atteinte à la licéité du traitement antérieur.

La décision automatisée

L'article 13.2 f) impose d'informer de l'existence d'une décision automatisée, y compris un profilage, et de fournir des informations utiles concernant la logique sous-jacente ainsi que l'importance et les conséquences prévues du traitement.

L'exigence de clarté n'est pas décorative

L'article 12.1 impose de fournir les informations d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Cette exigence est une obligation de résultat sur la forme, et une politique exacte mais illisible est en écart.

Elle commande deux arbitrages de rédaction. Une politique unique couvrant tous les publics d'une organisation — clients, salariés, candidats, fournisseurs — devient si longue qu'elle cesse d'être compréhensible : mieux vaut des documents distincts par public. Et l'information peut être délivrée par niveaux, une mention courte au point de collecte renvoyant à un document complet, dès lors que le premier niveau contient ce qui est déterminant pour la personne.

La politique se déduit du registre, pas l'inverse

Une politique de confidentialité rédigée avant le recensement des traitements décrit ce que l'organisation croit faire. Une politique rédigée à partir du registre décrit ce qu'elle fait. La seconde est la seule qui résiste à une vérification, parce que chaque mention publiée y correspond à une ligne documentée en interne.

Le sens de lecture compte aussi pour la mise à jour : un traitement ajouté au registre appelle la révision de la politique, et la date de dernière mise à jour affichée est le signal le plus simple de la vitalité du dispositif. Une politique dont la dernière version est antérieure au dernier changement d'outil est contredite par les faits.

Questions fréquentes

Une politique de confidentialité est-elle obligatoire ?

Le règlement (UE) 2016/679 n'impose pas un document portant ce nom : il impose, aux articles 13 et 14, la délivrance d'informations déterminées aux personnes concernées. La politique de confidentialité est le support habituel de cette obligation pour un site, mais l'information peut aussi être délivrée par des mentions au point de collecte, à condition d'être complète et accessible.

Peut-on reprendre le modèle d'un autre site ?

Les mentions exigées sont les mêmes, mais leur contenu — finalités, bases légales, destinataires, durées, transferts — est propre à chaque organisation, et c'est exactement ce contenu qu'un contrôle examine. Une politique recopiée décrit les traitements d'une autre entité et constitue, en plus d'un écart, une information inexacte délivrée aux personnes.

Faut-il informer quand les données viennent d'un tiers ?

Oui, au titre de l'article 14 du règlement, dans un délai raisonnable ne dépassant pas un mois, ou au plus tard lors de la première communication avec la personne. L'information doit en outre préciser les catégories de données et la source dont elles proviennent, deux mentions que l'article 13 ne prévoit pas pour la collecte directe.

Une politique doit-elle mentionner les cookies ?

Les traceurs relèvent d'un régime propre, distinct des articles 13 et 14, qui repose sur le consentement préalable recueilli par un dispositif dédié. Une politique de confidentialité peut renvoyer à une politique de gestion des traceurs, mais elle ne s'y substitue pas : le consentement ne peut pas être recueilli par la seule lecture d'un document.

Ce que ce régime déclenche ailleurs

L'information sur les traceurs et le recueil de leur consentement obéissent à des règles distinctes de celles des articles 13 et 14.

Le régime propre aux traceurs

Annoncer des droits dans une politique engage : le circuit interne doit permettre d'y répondre dans le délai d'un mois de l'article 12.3.

L'exercice des droits annoncés

Consentement préalable et ses conditions, exemptions limitées, refus aussi simple que l'acceptation, durée de vie des traceurs et conservation de la preuve.

Cookies et traceurs

Ce que le règlement met à la charge du délégué, à qui la formation s'adresse réellement, ce qu'elle doit couvrir par métier, et la trace à conserver.

Formation RGPD

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.