Information RGPD : retrouver les versions affichées

Pour retrouver l’information RGPD fournie à une date donnée, il faut conserver le texte et le relier au parcours effectivement utilisé. La date inscrite sur la notice actuelle ne prouve pas ce qu’affichait un formulaire six mois auparavant. Un historique utile distingue le contenu validé, sa diffusion et, lorsque c’est nécessaire, sa remise à une personne.

Cette preuve peut être construite sans enregistrer toutes les lectures. Le but est de pouvoir répondre honnêtement : quelle information était disponible, où, pendant quelle période et avec quelles limites de vérification ? Voici un dossier d’historique renseigné et une méthode pour traiter les versions manquantes.

Ce qu’il faut retenir

• Un fichier conservé prouve l’existence d’un contenu, pas automatiquement sa présence dans chaque formulaire.
• Reliez les versions aux canaux, langues, populations et périodes réelles de diffusion.
• La preuve d’information et la preuve de consentement sont distinctes.
• Une correction actuelle ne doit pas être présentée comme une publication ancienne.

Définir ce que vous devez démontrer

Lors d’une collecte auprès de la personne, les Art. 13(1) et 13(2) prévoient l’information à fournir au moment où les données sont obtenues. L’Art. 14 encadre les autres situations, avec ses délais et exceptions. L’Art. 12(1) exige une information concise, compréhensible et aisément accessible. RGPD, Art. 12 à 14.

Il ne suffit donc pas de retrouver « une politique de confidentialité ». Il faut savoir si elle concernait le bon traitement et si la personne pouvait y accéder dans le parcours pertinent. Un lien vers une page sans rapport avec le formulaire ne devient pas une information adéquate parce qu’il porte le bon intitulé.

Distinguez trois questions : quel texte avait été approuvé ; quel texte était publié sur un canal ; quel élément permet de rattacher une inscription ou un envoi à ce canal ? La réponse peut reposer sur plusieurs pièces. Les bonnes pratiques relatives à l’Art. 12 concernent aussi la présentation : une notice techniquement présente mais masquée derrière un composant inutilisable ne résout pas le problème.

Conserver le contenu complet et ses dépendances

Attribuez un identifiant à chaque version, par exemple N-2026-03. Gardez le texte de première information et la notice détaillée auxquels il renvoie. Conservez aussi les éléments nécessaires pour comprendre les liens : si la notice renvoyait à une liste de destinataires ou à une durée détaillée sur une autre page, le seul lien actuel peut ne plus restituer l’information ancienne.

L’identifiant facilite le rapprochement ; il ne remplace pas le contenu. Une empreinte numérique peut aider à constater que deux fichiers sont identiques, mais elle ne reconstitue pas un texte disparu et ne prouve pas, seule, la date d’affichage. Ne transformez pas un outil d’intégrité en certificat général de transparence.

Le dossier peut réunir le fichier source, la version destinée à l’impression, une capture sans donnée personnelle et la référence de mise en ligne. Ce sont des moyens pratiques, pas un format de journal imposé par le RGPD. L’obligation de pouvoir démontrer le respect des principes découle de l’Art. 5(2).

Exemple : une même notice sur trois canaux

Le dossier suivant est hypothétique. Atelier des Aulnes reçoit des demandes de réparation sur son site, dans un formulaire intégré à un portail et sur papier à l’accueil. La version N-1 couvre la gestion de la réparation. Une version N-2 ajoute une nouvelle finalité d’analyse des délais, dont la licéité a été examinée séparément. L’objectif ici est de retracer l’information, pas de supposer que la notice autorise à elle seule cette analyse.

Le responsable éditorial valide N-2 le 10 septembre. Le changement doit être diffusé le 14 septembre. La réception documentaire du 16 septembre établit cependant les éléments suivants :

Le journal ne porte donc pas « N-2 diffusée partout depuis le 14 ». Il décrit trois états. Le contrôle du 16 constitue une observation à cette date ; les autres pièces permettent de documenter la mise en ligne du site sans prétendre avoir observé chaque consultation passée.

Le 19 septembre, le composant intégré est remplacé et les formulaires papier N-1 sont retirés du circuit d’accueil. Le responsable de publication conserve la nouvelle version, la référence de modification et un exemplaire vierge du nouveau lot P-09. Les anciennes pièces restent dans l’historique avec leur période connue ; elles ne sont pas réétiquetées N-2.

Utiliser un journal de diffusion renseigné

Pour le formulaire intégré de cet exemple, une ligne exploitable peut être rédigée ainsi :

Entrée H-17 — portail réparation, français, particuliers. Contenu N-1 constaté le 16 septembre 2026. Remplacement par N-2 le 19 septembre, référence de modification M-42. Contrôle effectué sur le parcours complet après modification : première information et lien détaillé cohérents. Motif : ajout d’une finalité d’analyse des délais. Pièces conservées : copie N-1, copie N-2, capture sans données réelles et compte rendu du contrôle. Responsable : chargée de publication. Réserve historique : aucune preuve ne permet d’affirmer que N-2 était présente avant le remplacement.

Cette ligne ne contient pas le nom des clients. Elle suffit à décrire le canal et son évolution. Si l’organisme doit rattacher une demande particulière au parcours, il peut s’appuyer sur une information déjà nécessaire à la gestion du dossier, par exemple son origine « portail » ou « accueil ». Il ne doit pas ajouter automatiquement une surveillance détaillée des gestes et du temps de lecture.

Pour un site multilingue ou une application, une version française ne démontre pas le contenu anglais ni celui d’une ancienne application encore utilisée. Ajoutez les variantes réellement diffusées et les situations où un ancien écran demeure accessible. Le bon niveau de détail est celui qui permet de distinguer les informations différentes, sans multiplier les copies identiques sans raison.

Une nouvelle finalité demande plus qu’un historique

Lors d’un changement de finalité, les Art. 13(3) et 14(4) prévoient une information préalable dans leurs champs respectifs. Archiver N-2 ne prouve pas que les personnes déjà concernées ont reçu cette information avant la réutilisation. Les exceptions doivent être examinées selon leurs conditions, et non présumées parce que la population est nombreuse.

Dans l’exercice, Atelier des Aulnes ne lance pas la nouvelle analyse sur les dossiers provenant du portail et de l’accueil avant d’avoir fourni l’information requise aux personnes concernées. Il inclut aussi les dossiers du site collectés avant la diffusion de N-2. Il identifie les populations concernées à partir des canaux et dates connus, prépare le message complémentaire et documente sa diffusion. La nouvelle notice dans les formulaires ne remplace pas ce travail sur les données déjà collectées.

Si l’origine de certains dossiers ne peut être déterminée, la responsable conformité consigne cette incertitude et définit une information adaptée au périmètre concerné avant la réutilisation. Elle ne conclut pas que l’absence de preuve de l’ancienne version signifie que la nouvelle était forcément fournie. La décision reste liée au traitement envisagé et aux faits disponibles.

Une simple correction orthographique appelle un suivi différent d’un nouvel usage. Le journal doit expliquer le motif du changement pour que l’équipe sache si elle doit seulement publier une version corrigée ou également revoir les personnes à informer et le calendrier.

Ne pas confondre information et consentement

Une notice décrit le traitement. Elle n’est pas, par nature, un contrat à accepter ni un accord permettant toutes les utilisations. Une case obligatoire « j’ai lu et accepté » ne corrige ni une base légale absente ni une information incomplète.

Si le traitement repose sur le consentement, l’Art. 7(1) impose en plus de pouvoir démontrer que la personne l’a donné. Le contenu présenté à ce moment est une partie de cette preuve ; il faut également pouvoir établir le choix exprimé et les conditions pertinentes. Une ancienne notice retrouvée dans un dossier ne démontre pas qu’une personne a coché une case ou accepté une finalité. Art. 7(1) à 7(4).

À l’inverse, lorsqu’aucun consentement n’est requis pour le traitement retenu, l’historique ne doit pas fabriquer un accord fictif. Présentez la pièce pour ce qu’elle montre : information publiée, document remis ou message adressé. Une preuve d’envoi ne prouve pas nécessairement une lecture ; le dossier doit conserver cette distinction.

Reconstituer une période mal documentée

Commencez par les sources existantes : anciennes versions du site, exemplaires papier vierges, pièces jointes envoyées, historique de publication et documentation du prestataire. Comparez les dates, les contenus et les canaux. Évitez de considérer la date de modification locale d’un fichier comme la preuve de sa première diffusion.

Classez ensuite vos conclusions. Une version peut être effectivement conservée ; une autre peut être reconstruite à partir de pièces concordantes ; une période peut rester indéterminée. Indiquez la méthode et les limites. Il est possible d’améliorer le dossier aujourd’hui, mais impossible de créer rétroactivement un constat qui n’a jamais été effectué.

Si la recherche révèle qu’une information nécessaire manquait, corrigez le dispositif actuel et examinez les mesures à prendre pour les personnes déjà concernées. Documentez l’écart, ses dates connues et la correction. Ne remplacez pas les archives anciennes par le nouveau texte en conservant leur ancien nom : cela détruirait précisément l’historique recherché.

Limiter et maintenir le dossier de preuve

Les principes de minimisation et de conservation limitée s’appliquent aux traces elles-mêmes. Séparez l’archive documentaire, qui peut ne contenir aucune donnée de lecteur, des traces nominatives de remise ou de consentement. Définissez pour ces dernières la finalité, le fondement, les accès et une durée proportionnée ; ne gardez pas tout sans échéance sous la seule étiquette « preuve RGPD ».

Le dossier historique doit rester lisible et accessible aux personnes habilitées. Restreignez sa modification pour éviter l’écrasement accidentel d’une ancienne version. Les contrôles portent sur les parcours qui changent et sur leurs dépendances : page centrale, formulaire intégré, documents imprimés et liens associés.

Attribuez enfin un responsable à la publication et reliez les changements à la revue du registre des traitements. Le registre décrit l’activité ; le journal de notices montre ce qui a été diffusé. Leur rapprochement doit faire apparaître une nouvelle finalité non encore reflétée dans l’information, plutôt que donner une impression de cohérence purement documentaire.

FAQ

Faut-il suivre individuellement toutes les consultations ?

Non. Un historique des contenus et de leur diffusion peut répondre à une partie importante du besoin. Une collecte nominative supplémentaire doit être justifiée ; prouver la transparence ne dispense pas de minimiser les données.

Une capture d’écran constitue-t-elle une preuve suffisante ?

Elle peut montrer un état observé, mais son utilité dépend du parcours, de la date et du contenu visible. Elle ne démontre pas automatiquement les périodes antérieures ni le contenu d’un lien non ouvert.

Peut-on supprimer les anciennes versions dès la mise à jour ?

Cela ferait perdre la possibilité de retrouver l’information antérieure. Organisez un historique proportionné et distinguez les textes archivés des traces personnelles, dont la conservation demande sa propre justification.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.