Article 14 RGPD : guide, délais et checklist 2026
Collecte indirecte de données : ce que l'article 14 du RGPD impose, sous quel délai informer, les 4 exceptions et une checklist prête à l'emploi.
Vous importez un fichier de contacts, recevez des candidatures d’un partenaire ou enrichissez votre CRM : les personnes doivent pouvoir comprendre pourquoi vous détenez leurs données et d’où elles viennent. L’article 14 du RGPD organise cette information lorsque les données n’ont pas été collectées auprès d’elles.
La priorité est de relier chaque entrée de données à sa source, à sa finalité et à une échéance d’information. Une clause du fournisseur ou une politique de confidentialité publiée sur votre site ne prouve pas, à elle seule, que la personne a été informée.
Quand appliquer l’article 14 ?
L’article 14 du RGPD vise la collecte indirecte. Cela peut concerner un fichier obtenu auprès d’un partenaire, une source publique, un fournisseur de données ou une autre personne. Le caractère professionnel d’une adresse nominative ne retire pas sa nature de donnée personnelle.
Il faut d’abord qualifier les rôles. Un prestataire qui reçoit des données uniquement pour les traiter sur instructions n’en devient pas automatiquement responsable de traitement. La transmission entre deux responsables distincts n’exige pas, par ce seul fait, un contrat de sous-traitance de l’article 28. Le guide des responsables distincts et accords de partage aide à formaliser cette analyse.
De même, une acquisition de titres ne change pas nécessairement l’identité du responsable de traitement. Une cession de fichier ou un changement effectif d’entité appelle une analyse différente. Vérifiez ce qui change réellement avant d’annoncer un transfert de toutes les données.
La collecte directe relève de l’article 13, y compris certaines données observées par un dispositif. Un traitement peut combiner des données obtenues directement et indirectement ; documentez les deux circuits.
Quelles informations fournir ?
Les paragraphes 1 et 2 prévoient plusieurs rubriques, dont certaines dépendent du traitement. La CNIL présente le contenu et les modalités de l’information.
| Rubrique | Ce que la notice doit permettre de comprendre |
|---|---|
| Responsable et contacts | L’entité qui traite les données, ses coordonnées, son représentant et son DPO lorsqu’ils sont concernés |
| Finalités et fondement | L’usage précis et sa base légale ; les intérêts poursuivis si l’intérêt légitime est retenu |
| Catégories de données | Ce qui a été reçu ou constitué : coordonnées, fonction, informations de candidature, etc. |
| Source | D’où proviennent les données et, le cas échéant, leur origine publique |
| Destinataires | Qui reçoit les données ou quelles catégories d’acteurs les reçoivent |
| Transferts internationaux | Les transferts envisagés, le mécanisme pertinent et l’accès aux garanties dans les cas prévus |
| Conservation | La durée ou, lorsqu’elle ne peut pas être fixée, les critères permettant de la déterminer |
| Droits | Les droits pertinents, le retrait du consentement lorsqu’il s’applique et la réclamation auprès d’une autorité de contrôle |
| Décision automatisée | Son existence dans les cas visés par l’Art. 22(1) et (4), la logique utile, l’importance et les conséquences prévues |
Évitez les mentions qui promettent indistinctement tous les droits sans expliquer leurs conditions. Un texte consacré uniquement aux données saisies par le client ne décrit pas correctement un enrichissement effectué auprès d’un tiers.
Nommer la source utile
Le nom de l’outil d’import n’est pas nécessairement la source des données. Distinguez le fournisseur, la source sous-jacente connue et la date d’obtention. Les lignes directrices WP260 rev.01, paragraphe 60 demandent de pouvoir retracer les sources ; l’usage de plusieurs sources n’autorise pas une formule vague lorsqu’il est possible de les identifier.
Le registre opérationnel d’import peut contenir une ligne par lot, puis un rattachement à la fiche concernée. La fiche traçabilité de l’enrichissement CRM permet de structurer ces contrôles.
Quel délai pour informer ?
L’Art. 14(3) combine trois contraintes : un délai raisonnable après l’obtention, au maximum un mois, une information au plus tard lors de la première communication avec la personne, et au plus tard lors de la première transmission à un autre destinataire lorsque cette transmission est envisagée.
Le mois est un plafond, pas une autorisation générale d’attendre. Si une première communication ou transmission intervient avant, l’information doit être fournie au plus tard à ce moment.
Exemple fictif : Bureau Horizon reçoit des contacts le 5 octobre et programme un premier message le 12 octobre. La notice doit être accessible dans le parcours du 12 octobre au plus tard ; il ne suffit pas de prévoir une campagne d’information début novembre. Si les données sont transmises à un autre destinataire le 8 octobre, cette transmission doit également être prise en compte dans l’échéance.
Inscrivez dans le suivi la date d’obtention, la première communication prévue, la première transmission éventuelle, l’échéance retenue et la preuve de l’information. Un mois ne doit pas être remplacé automatiquement par un compteur de trente jours.
Les quatre exceptions de l’Art. 14(5)
Une exception se justifie pour une situation et un périmètre précis. Elle ne dispense pas d’examiner les autres obligations du RGPD.
a — La personne possède déjà les informations
La dispense s’applique seulement dans la mesure où les informations sont déjà détenues. Si un fournisseur a informé les personnes, vérifiez le contenu communiqué, votre identification lorsque nécessaire, les finalités couvertes et les éléments de preuve. La seule promesse contractuelle d’informer ne démontre pas son exécution.
b — Impossibilité, efforts disproportionnés ou objectifs gravement compromis
Le texte prévoit ces hypothèses, notamment dans certains traitements d’archives, de recherche ou de statistiques, avec les conditions et garanties requises. Il ne limite pas littéralement l’exception à ces seules finalités. Il serait donc inexact d’affirmer qu’elle est juridiquement impossible dans tout traitement commercial.
En pratique, disposer de coordonnées pour contacter des prospects rend particulièrement difficile une justification fondée sur l’impossibilité de les informer. Le volume ou le coût, invoqués seuls, ne suffisent pas : documentez la mise en balance et les conséquences pour les personnes. Lorsque le point b s’applique, des mesures appropriées sont requises, notamment la disponibilité publique des informations. Voir les paragraphes 61 à 65 de WP260.
c — Obtention ou communication expressément prévue par le droit
Il faut identifier la disposition de droit de l’Union ou national applicable à l’obtention ou à la communication et les mesures protégeant les intérêts légitimes des personnes. La simple existence d’une obligation légale dans le secteur ne dispense pas de cette vérification.
d — Secret professionnel réglementé
Il faut que les données doivent rester confidentielles en vertu du secret professionnel prévu par le droit applicable. Une clause contractuelle de confidentialité ne suffit pas. Le fait d’exercer une profession soumise au secret n’exonère pas automatiquement de toute information : vérifiez ce que la communication révélerait et le périmètre couvert.
Informer ne donne pas le droit de prospecter
La notice de l’article 14 n’autorise pas un traitement dépourvu de fondement. Il faut examiner séparément la licéité de l’obtention, la base légale de chaque finalité et les règles propres au canal de prospection.
La CNIL rappelle les règles applicables aux communications électroniques, notamment la distinction entre particuliers et professionnels. L’analyse ne se résume pas au domaine de l’adresse ou à la présence de « contact@ ». Le guide de la prospection commerciale et du RGPD complète cette vérification.
Lorsqu’un partenaire transmet des contacts pour de la prospection nécessitant un consentement, il faut contrôler ce qui a effectivement été accepté. La fiche CNIL sur les transmissions aux partenaires précise aussi l’information due par les destinataires, notamment la source.
Une trame de premier niveau à construire
Au lieu de recopier un pied de message universel, préparez un bloc comprenant :
- l’identité de votre organisme et un contact utile ;
- les catégories de données reçues et leur source réelle ;
- la finalité de ce contact et le fondement retenu ;
- le droit pertinent, avec un moyen effectif de l’exercer ;
- un accès direct aux informations complémentaires applicables.
Exemple fictif limité à la source et à la finalité : « Bureau Horizon a reçu votre nom, votre fonction et votre adresse professionnelle de la société Atelier Atlas, le 5 octobre, pour vous contacter au sujet de votre demande de démonstration. » Cette phrase ne constitue pas une notice complète : la base légale, les destinataires, la durée et les droits restent à préciser selon le traitement réel.
La méthode de l’article 12 aide à rendre cette information claire et accessible. Contrôlez le lien depuis le message réellement envoyé, y compris sur mobile, et conservez la version correspondante.
Checklist avant le prochain import
- Identifier le rôle de chaque acteur et l’origine des données.
- Vérifier les finalités, le fondement et les règles du canal utilisé.
- Préparer les rubriques de l’article 14 applicables à ce lot.
- Calculer l’échéance avec les premières communications et transmissions prévues.
- Enregistrer la notice effectivement fournie et son mode de délivrance.
- Justifier précisément toute exception invoquée et ses garanties.
- Prévoir une information préalable avant une autre finalité, conformément à l’Art. 14(4), sans confondre information et autorisation de réutiliser.
Ce qu’il faut retenir
- La collecte indirecte impose de qualifier les acteurs, la source et l’usage réel des données.
- L’information doit être fournie dans un délai raisonnable plafonné à un mois, parfois plus tôt selon le premier contact ou la première transmission.
- Les exceptions sont conditionnelles et doivent être documentées ; elles ne se présument ni par secteur ni par volume.
- Informer ne régularise pas une collecte ou une prospection illicite.
- La preuve relie chaque lot de données à une notice et à sa délivrance effective.
FAQ
Une donnée trouvée sur un site public échappe-t-elle à l’article 14 ?
Non, son accessibilité ne crée pas une dispense générale. Il faut examiner les obligations d’information et les éventuelles exceptions, ainsi que la licéité et la finalité de la réutilisation.
Le fournisseur peut-il informer à ma place ?
L’information peut être organisée avec lui, mais vous devez vérifier ce qui a été communiqué et dans quelle mesure la personne possède déjà les éléments requis. Une clause contractuelle sans preuve ne suffit pas.
Puis-je attendre un mois avant de contacter la personne ?
Le texte exige un délai raisonnable, plafonné à un mois. Si vous communiquez avec la personne ou transmettez les données à un autre destinataire plus tôt, l’information doit intervenir au plus tard à l’échéance correspondante.
Une politique de confidentialité en ligne suffit-elle ?
Sa seule présence sur le site ne démontre pas que la personne a reçu une information accessible. Prévoyez un dispositif adapté au contact réel ; une exception justifiée peut appeler d’autres mesures, notamment une information publique.
Recevez nos analyses pratiques sur le RGPD et la conformité.
Thiébaut Devergranne, Docteur en droit privé (Paris II), plus de 20 ans d’expérience en droit des nouvelles technologies. Fondateur de donneespersonnelles.fr et de Legiscope.