Mentions RGPD 2026 : modèle + 8 mentions obligatoires

L’essentiel. Les mentions d’information RGPD sont les informations que vous devez communiquer à une personne au moment où vous collectez ses données (formulaire, contrat, inscription). Elles sont imposées par les articles 12 à 14 du RGPD et figurent parmi les tout premiers points contrôlés par la CNIL, car sans information il n’y a pas de droits effectifs. Huit mentions forment le socle obligatoire : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits des personnes, droit de réclamation auprès de la CNIL, transferts hors UE. Ce guide fournit un modèle prêt à copier et la méthode d’affichage recommandée.

Afficher ses mentions RGPD lors de la collecte de données personnelles est l’une des mesures de conformité les plus importantes — et l’une des plus visibles. C’est souvent la première chose que l’on regarde lors d’un audit, et l’un des premiers manquements que la CNIL relève lors d’un contrôle. Pourtant, beaucoup d’organisations se contentent d’un renvoi vague vers une « politique de confidentialité », ou oublient purement et simplement d’informer au point de collecte.

Cet article explique ce que sont les mentions d’information, pourquoi elles sont un point de contrôle prioritaire, quelles sont les huit mentions obligatoires, comment les afficher sans nuire à l’expérience utilisateur, et propose un modèle prêt à adapter.

Que sont les mentions d’information RGPD ?

Les mentions d’information (parfois appelées « mentions légales RGPD » ou « mentions de collecte ») sont l’ensemble des informations que le responsable de traitement doit fournir à une personne dont il collecte les données. Elles matérialisent le principe de transparence : la personne doit savoir qui traite ses données, pourquoi, sur quel fondement, pour combien de temps, et quels droits elle peut exercer.

Le RGPD distingue deux situations :

• Collecte directe (article 13) : vous obtenez les données directement de la personne (elle remplit un formulaire, signe un contrat, s’inscrit à une newsletter). L’information doit être donnée au moment de la collecte.
• Collecte indirecte (article 14) : vous obtenez les données par un tiers (achat de fichier, source publique, partenaire). L’information doit être fournie dans un délai raisonnable, au plus tard un mois après l’obtention, ou dès la première communication avec la personne.

Dans les deux cas, l’article 12 impose que l’information soit délivrée « de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». Le style juridique abscons est proscrit : une mention illisible équivaut, aux yeux de la CNIL, à une absence d’information.

Les 8 mentions obligatoires (article 13)

Voici le socle à afficher lors d’une collecte directe. Ce sont les huit mentions dont l’absence est la plus fréquemment relevée.

#	Mention	Ce qu’il faut indiquer
1	Identité du responsable	Nom / raison sociale et coordonnées de celui qui décide du traitement (et de son représentant le cas échéant)
2	Finalités	À quoi servent les données collectées (gérer une commande, envoyer une newsletter…) — voir le principe de finalité
3	Base légale	Le fondement juridique du traitement (consentement, contrat, obligation légale, intérêt légitime…) — voir base légale RGPD
4	Destinataires	Qui reçoit les données (services internes, sous-traitants, partenaires)
5	Durée de conservation	Combien de temps les données sont conservées, ou les critères de détermination — voir le tableau des durées de conservation
6	Droits des personnes	Accès, rectification, effacement, limitation, opposition, portabilité, et comment les exercer
7	Réclamation CNIL	Le droit d’introduire une réclamation auprès de la CNIL
8	Transferts hors UE	L’existence d’éventuels transferts hors Union européenne et les garanties associées

À ce socle s’ajoutent, selon les cas, plusieurs mentions complémentaires imposées par l’article 13 :

• les coordonnées du DPO, lorsque l’organisation en a désigné un ;
• lorsque le traitement repose sur l’intérêt légitime, la précision de cet intérêt ;
• lorsque le traitement repose sur le consentement, le droit de le retirer à tout moment ;
• le caractère obligatoire ou facultatif de la fourniture des données et les conséquences d’un défaut de réponse ;
• l’existence, le cas échéant, d’une décision automatisée ou d’un profilage.

En cas de collecte indirecte (article 14), il faut en outre indiquer la source des données et les catégories de données concernées.

Pourquoi les mentions sont un point de contrôle prioritaire

Elles prouvent qu’un travail de conformité a été fait

Lors d’un audit, l’examen des supports de collecte est révélateur. Des mentions présentes, à jour et cohérentes signalent qu’une réflexion de conformité a eu lieu : l’organisation a identifié ses finalités, sa base légale, ses durées de conservation. À l’inverse, leur absence trahit immédiatement un défaut de fond, pas seulement de forme. La mention est la partie émergée d’un traitement bien documenté (registre, base légale, durées) : on ne peut pas rédiger de bonnes mentions sans avoir fait le travail en amont.

Elles conditionnent l’exercice des droits

La seconde raison, plus fondamentale, tient à l’effectivité des droits. La CNIL est particulièrement attentive à la présence des mentions car, selon un raisonnement constant, une personne non informée ne peut pas exercer ses droits. Si vous n’indiquez pas au moment de la collecte qu’une personne dispose d’un droit d’accès, d’un droit d’opposition ou d’un droit de rectification, elle ignore qu’elle peut agir. Ne pas informer revient, en pratique, à priver la personne de ses droits — ce qui explique la sévérité de l’autorité sur ce point. La bonne gestion des demandes suppose d’ailleurs d’avoir correctement informé en amont : voir notre guide sur la réponse à une demande de droit d’accès.

Comment afficher autant d’informations sans nuire à l’UX

La difficulté est réelle : le volume d’informations à délivrer est important (identité, finalités, base légale, destinataires, durées, droits, réclamation, transferts…), alors que l’article 12 exige concision et clarté. Comment concilier exhaustivité et lisibilité ?

L’information en cascade (approche par couches)

La méthode recommandée par la CNIL est l’information en plusieurs niveaux, dite « en cascade » ou « par couches ». On affiche au plus près du champ de collecte une première couche courte comportant l’essentiel — identité du responsable, finalité principale, droits, renvoi vers l’information complète — puis on donne accès, par un lien, à une politique de confidentialité détaillée contenant l’ensemble des mentions.

Cette doctrine est utile et pragmatique, mais il faut avoir conscience qu’elle relève de l’interprétation que la CNIL fait des articles 12 et 13, et non d’une obligation textuelle stricte. Le règlement n’impose pas la cascade : il impose que l’information soit complète, claire et accessible.

L’approche complète sur le support de collecte

Personnellement, je recommande souvent une approche « double » : informer de manière simple au point de collecte (première couche) tout en offrant une information complète sur le même support, sans obliger la personne à naviguer ailleurs pour comprendre l’essentiel. Sur un formulaire de contact, par exemple, une phrase claire sous le bouton d’envoi, complétée d’un lien vers la politique détaillée, remplit l’objectif de transparence sans alourdir le parcours.

L’important est que la personne puisse réellement voir l’information au moment où elle décide de confier ses données — une mention noyée en pied de page, jamais lue, ne satisfait pas l’exigence d’accessibilité.

Modèle de mentions d’information RGPD

Voici un modèle de première couche, à placer directement sous un formulaire de collecte, à adapter à votre situation.

Protection de vos données. Les informations recueillies via ce formulaire sont enregistrées par [Nom / raison sociale], responsable de traitement, pour [finalité, ex. : traiter votre demande de contact]. La base légale du traitement est [ex. : votre consentement / notre intérêt légitime à répondre à vos demandes]. Vos données sont destinées à [destinataires, ex. : notre service commercial] et conservées [durée, ex. : 3 ans à compter du dernier contact]. Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit d’introduire une réclamation auprès de la CNIL. Pour exercer vos droits : [adresse e-mail / postale]. Aucun transfert hors Union européenne n’est réalisé [ou : des transferts sont réalisés vers … avec les garanties suivantes …]. Pour en savoir plus, consultez notre [politique de confidentialité].

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version : juillet 2026.

Adaptez systématiquement :

• la base légale : si vous utilisez le consentement, ajoutez la mention du droit de retrait et assurez-vous que le recueil est conforme (voir notre modèle de consentement RGPD) ;
• la durée de conservation : elle doit correspondre à la finalité réelle, pas à une valeur générique ;
• les transferts hors UE : ne les mentionnez que s’ils existent, et précisez alors la garantie utilisée.

Adapter les mentions selon le contexte de collecte

Les mentions ne sont pas identiques d’un traitement à l’autre. Quelques cas fréquents :

Formulaire web (contact, devis, newsletter). Première couche sous le formulaire + lien vers la politique. Pour une newsletter, la base légale est en principe le consentement ; pour un formulaire de contact professionnel, l’intérêt légitime peut convenir.

Prospection commerciale. Les règles de la prospection commerciale imposent une information spécifique sur l’usage des données à des fins de démarchage et sur le droit de s’y opposer. La collecte indirecte (achat de fichier) déclenche les obligations de l’article 14.

Salariés. L’information doit couvrir les traitements RH (paie, évaluation, outils de contrôle, badgeuse, vidéosurveillance). Elle est souvent délivrée via une note d’information interne ou une charte, et complétée dans le contrat de travail.

Vidéosurveillance. Un panneau d’information visible sur les lieux filmés est obligatoire, avec une information complète accessible sur demande.

E-commerce. Le parcours d’achat cumule plusieurs finalités (commande, facturation, fidélité, prospection) : voir notre guide dédié au RGPD e-commerce pour articuler information et bases légales.

Ces bonnes pratiques rejoignent notre article détaillé sur les bonnes pratiques de l’article 12 RGPD.

Les erreurs fréquentes à éviter

Renvoyer uniquement vers une politique générique. Un lien « Politique de confidentialité » en pied de page ne remplace pas une information au point de collecte. Il faut une première couche visible là où les données sont saisies.

Copier les mentions d’une autre organisation. Les finalités, la base légale et les durées sont propres à chaque traitement. Des mentions recopiées décrivent un traitement qui n’est pas le vôtre — un défaut immédiatement visible en contrôle.

Oublier la base légale ou la choisir au hasard. La base légale n’est pas cosmétique : elle détermine les droits de la personne et la licéité du traitement. Un intérêt légitime invoqué sans analyse, ou un consentement mal recueilli, fragilise tout le traitement.

Indiquer une durée « indéfinie ». Conserver « aussi longtemps que nécessaire » sans critère précis contrevient au principe de limitation de la conservation. Fixez une durée ou un critère clair.

Ne pas mettre à jour. Un nouveau traitement, un nouveau sous-traitant, un transfert hors UE : chaque évolution doit se refléter dans les mentions. Une information périmée est une information fausse.

Automatiser la génération et le suivi des mentions

Rédiger et maintenir à jour des mentions cohérentes pour chaque traitement suppose d’avoir cartographié ses traitements, leurs finalités, leurs bases légales et leurs durées. C’est exactement ce qu’un registre bien tenu contient. Un logiciel RGPD permet d’industrialiser cette documentation : à partir du registre, on génère des mentions cohérentes, on les met à jour lorsque le traitement évolue et on garde une trace des versions — ce qui sécurise la démonstration de conformité en cas de contrôle. L’outil ne dispense pas de vérifier la pertinence juridique des choix (base légale, durées, transferts), mais il supprime le travail répétitif et les incohérences.

Cas particuliers : mineurs, données sensibles, cookies

Certaines collectes appellent une vigilance renforcée dans la rédaction des mentions.

Mineurs. Lorsque le service s’adresse à des enfants, l’information doit être formulée dans des termes particulièrement clairs et adaptés à leur compréhension. Le recueil du consentement peut, selon les cas, nécessiter l’accord du titulaire de l’autorité parentale ; les mentions doivent en tenir compte.

Données sensibles. Le traitement de données sensibles (santé, opinions, orientation sexuelle, données biométriques) obéit à un régime dérogatoire : il est en principe interdit, sauf exception. Lorsque vous en collectez, les mentions doivent être irréprochables et la base légale spécifique clairement identifiée. C’est un point que la CNIL examine avec une attention accrue.

Cookies et traceurs. Les traceurs déposés à des fins publicitaires ou de mesure d’audience relèvent d’un régime spécifique (consentement préalable via un bandeau, avec un refus aussi simple que l’acceptation). Les mentions d’information « générales » ne suffisent pas : elles se combinent avec l’interface de gestion des cookies. Ne confondez pas les deux dispositifs.

Checklist de vérification de vos mentions

Avant de publier un formulaire ou un support de collecte, vérifiez que vos mentions répondent « oui » à chaque question :

• [ ] L’identité et les coordonnées du responsable de traitement sont-elles indiquées ?
• [ ] La ou les finalités sont-elles décrites en termes clairs ?
• [ ] La base légale est-elle précisée (et, si intérêt légitime, explicitée) ?
• [ ] Les destinataires ou catégories de destinataires sont-ils mentionnés ?
• [ ] La durée de conservation (ou son critère) figure-t-elle ?
• [ ] Les droits des personnes et la manière de les exercer sont-ils rappelés ?
• [ ] Le droit de réclamation auprès de la CNIL est-il mentionné ?
• [ ] Les transferts hors UE (s’ils existent) et leurs garanties sont-ils signalés ?
• [ ] Le DPO est-il indiqué, le cas échéant ?
• [ ] L’information est-elle visible au point de collecte, et non seulement en pied de page ?

Un seul « non » signale un manquement à corriger avant mise en ligne.

FAQ

Quelle est la différence entre mentions légales et mentions RGPD ?

Les mentions légales (identité de l’éditeur, hébergeur, directeur de publication) répondent à des obligations propres aux sites internet et aux activités commerciales. Les mentions RGPD, ou mentions d’information, répondent aux articles 12 à 14 du RGPD et informent sur le traitement des données personnelles. Les deux sont distinctes et cumulatives : un site doit afficher les unes et les autres.

Où faut-il afficher les mentions RGPD ?

Au point de collecte : sous chaque formulaire, lors de l’inscription, dans le contrat, sur le panneau de vidéosurveillance. La méthode recommandée est l’information en cascade : une première couche courte et visible au plus près de la collecte, complétée par un lien vers une politique de confidentialité détaillée regroupant l’ensemble des mentions.

Faut-il le consentement pour toute collecte de données ?

Non. Le consentement n’est qu’une des bases légales possibles. Un traitement peut aussi reposer sur l’exécution d’un contrat, une obligation légale, l’intérêt légitime ou d’autres fondements. Ce qui est obligatoire, c’est d’avoir une base légale valable et de l’indiquer dans les mentions — pas de recueillir un consentement dans tous les cas. Voir notre article sur la base légale RGPD.

Que risque-t-on en l’absence de mentions d’information ?

Un défaut d’information est un manquement au principe de transparence, susceptible de mise en demeure et de sanction par la CNIL. C’est aussi un signal d’alerte qui conduit souvent à un examen plus poussé de l’ensemble des traitements. Au-delà de la sanction, l’absence d’information prive les personnes de la possibilité d’exercer leurs droits, ce qui aggrave la situation en cas de plainte.

Les mentions sont-elles obligatoires pour un simple formulaire de contact ?

Oui. Dès qu’un formulaire collecte un nom, un e-mail ou tout autre élément identifiant, il y a traitement de données personnelles et l’obligation d’information s’applique. Une première couche concise sous le formulaire, renvoyant vers la politique détaillée, suffit à remplir cette obligation.

Comment informer quand les données ne viennent pas de la personne ?

En cas de collecte indirecte (fichier acheté, source tierce), l’article 14 s’applique : l’information doit être fournie dans un délai raisonnable, au plus tard un mois après l’obtention, ou dès la première communication avec la personne. Elle doit en outre préciser la source des données et les catégories concernées, en plus des mentions habituelles.