Mentions d’information RGPD : rédiger une notice

Une notice RGPD doit expliquer ce que votre organisation fait réellement des données. Copier un texte qui annonce tous les droits, tous les transferts possibles et une conservation indéfinie crée des incohérences. La bonne méthode consiste à partir du traitement, puis à organiser l’information au moment où la personne en a besoin.

Distinguer trois documents

Les mentions légales du site identifient notamment son éditeur. La notice RGPD explique les traitements de données. Les conditions contractuelles organisent la relation de service. Ces documents répondent à des obligations différentes ; accepter les conditions ne constitue pas, par principe, un consentement aux traitements.

Les Art. 12 à 14 encadrent l’information. L’Art. 13 concerne la collecte directe, y compris certaines observations de l’activité ; l’Art. 14 s’applique lorsque les données proviennent d’une autre source. Référence : chapitre III du RGPD.

1. Décrire chaque finalité et son fondement

Distinguez, par exemple, répondre à une demande, exécuter une commande et envoyer des offres. Évitez une formule générale comme « améliorer nos services et nos relations » pour couvrir des usages hétérogènes. Les finalités doivent être déterminées, explicites et légitimes ; les rédiger largement ne dispense pas d’examiner la compatibilité d’une réutilisation.

Pour chaque finalité, indiquez la base légale retenue. Si vous invoquez l’intérêt légitime, précisez l’intérêt poursuivi. Si vous retenez le consentement, expliquez le retrait et son absence d’effet sur la licéité du traitement antérieur. Une newsletter commerciale ne relève pas automatiquement d’un régime unique : audience, canal et situation doivent être examinés.

2. Identifier les acteurs et les flux

Indiquez le responsable de traitement et ses coordonnées, puis les coordonnées du DPO lorsqu’il est désigné. N’utilisez pas une adresse de DPO fictive si cette fonction n’existe pas.

L’Art. 13(1)(e) permet d’indiquer les destinataires ou leurs catégories. Il n’impose pas de nommer chaque salarié habilité. Les catégories doivent rester suffisamment précises pour comprendre les communications. Ne présentez pas non plus toute autorité comme un destinataire systématique : l’Art. 4(9) prévoit une règle particulière pour certaines communications aux autorités publiques dans le cadre d’une mission d’enquête.

Pour les transferts concernés, décrivez le mécanisme réellement applicable et les moyens d’obtenir une copie des garanties ou de les consulter. La formule « clauses contractuelles types et, le cas échéant, adéquation » ne remplace pas cette vérification.

3. Énoncer les durées et les droits pertinents

Indiquez une durée ou des critères intelligibles. « Aussi longtemps que nécessaire » ne permet généralement pas de comprendre votre règle. Distinguez, si nécessaire, l’usage courant, l’archivage imposé et les preuves conservées après une désinscription. Ne promettez pas la suppression de toute information dès le retrait si certains éléments restent nécessaires pour une autre finalité licite.

Présentez les droits applicables et leur mode d’exercice. L’opposition et la portabilité dépendent notamment du fondement et des conditions du traitement ; tous les droits ne produisent pas le même résultat dans tous les dossiers. Ajoutez le droit de réclamation auprès de la CNIL.

En collecte directe, précisez aussi si la fourniture est réglementaire, contractuelle ou nécessaire à la conclusion d’un contrat, si elle est obligatoire et les conséquences d’un refus. Une obligation imposée à l’organisme n’implique pas mécaniquement que la personne doive remplir chaque champ du formulaire.

4. Ajouter les informations propres à la situation

L’Art. 13(2)(f) vise l’existence d’une décision automatisée, y compris le profilage, visée à l’Art. 22(1) et (4), avec les informations requises sur sa logique et ses conséquences. Tout profilage ne relève pas automatiquement de cet article, mais il doit toujours être expliqué de manière transparente lorsqu’il fait partie du traitement.

En collecte indirecte, ajoutez les catégories de données et leur source, y compris son éventuel caractère public. L’Art. 14(3) prévoit un délai raisonnable d’au plus un mois ; si les données servent à communiquer avec la personne, l’information intervient au plus tard lors de la première communication, et si une transmission est prévue, au plus tard lors de la première communication à un autre destinataire. Les exceptions des Art. 13(4) et 14(5) doivent être examinées précisément, pas présumées.

5. Utiliser une trame sans publier de promesse fictive

Voici une structure de rédaction, à compléter avec les faits vérifiés avant diffusion :

Cette trame n’est pas une notice universelle prête à publier. Elle sert à repérer les informations manquantes avant la rédaction. Vérifiez la concordance avec le registre et la configuration des outils.

6. Présenter et maintenir l’information

Placez les éléments essentiels près du formulaire, avec un accès immédiat à la notice complète. La CNIL recommande une présentation adaptée et, lorsque nécessaire, plusieurs niveaux d’information. La concision ne justifie pas l’omission de rubriques.

Conservez les versions et la preuve de leur présentation. Une modification substantielle appelle une information adaptée ; une nouvelle finalité doit être expliquée avant sa mise en œuvre selon les Art. 13(3) et 14(4). Toute correction typographique n’impose pas une nouvelle campagne de consentement. Le guide pour afficher les mentions RGPD aide à organiser les supports.

Ce qu’il faut retenir

• La notice décrit des traitements précis, avec des fondements et durées vérifiés.
• Les droits et les informations complémentaires dépendent de la situation.
• La collecte indirecte comporte des rubriques et des délais spécifiques.
• Une notice lisible doit rester complète, accessible et cohérente avec les pratiques.

FAQ

Faut-il faire accepter la politique de confidentialité ?

L’information n’est pas un contrat à accepter. Si un traitement exige un consentement, recueillez celui-ci de manière distincte et conforme à ses conditions.

Peut-on regrouper plusieurs traitements dans une page ?

Oui, si la personne comprend facilement les caractéristiques de chacun. Organisez la page par usage et dirigez-la vers la partie pertinente au point de collecte.

Faut-il citer le nom de tous les prestataires ?

L’information peut utiliser des catégories de destinataires suffisamment précises. Des exigences plus spécifiques peuvent s’appliquer à certaines situations ; une formule vague ne suffit pas.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.