Mentions d'information RGPD : modèle et exemples 2026

L’essentiel. Les mentions d’information RGPD sont l’ensemble des informations que le responsable de traitement doit fournir aux personnes dont il collecte les données — identité, finalités, base légale, durées, droits, transferts. Elles reposent sur les articles 13 (collecte directe) et 14 (collecte indirecte) du RGPD. L’article 13 impose de les délivrer au moment de la collecte ; l’article 14, dans un délai raisonnable (un mois maximum). Le langage doit être clair et accessible (art. 12). Une information incomplète ou illisible est un manquement fréquemment relevé par la CNIL.

Informer, c’est la première obligation du RGPD envers les personnes. Avant même de collecter une donnée, le responsable de traitement doit dire qui il est, pourquoi il collecte, sur quelle base, combien de temps il conserve et quels droits la personne peut exercer. Ces « mentions d’information » — parfois appelées à tort « mentions légales » — matérialisent le principe de transparence, pierre angulaire du règlement.

Ce guide détaille la liste complète des informations à fournir, la différence entre collecte directe (article 13) et indirecte (article 14), le moment et la forme de l’information, les exceptions, et propose un modèle prêt à adapter.

Pourquoi ces mentions sont obligatoires

La transparence figure parmi les principes fondamentaux du traitement : l’article 5(1)(a) du RGPD impose que les données soient traitées « de manière licite, loyale et transparente ». Les articles 12, 13 et 14 en tirent les conséquences pratiques.

• L’article 12 fixe la forme : l’information doit être concise, transparente, compréhensible, aisément accessible, formulée en termes clairs et simples, et fournie gratuitement. Nos bonnes pratiques de l’article 12 détaillent ces exigences de lisibilité.
• L’article 13 fixe le contenu lorsque les données sont collectées directement auprès de la personne.
• L’article 14 fixe le contenu lorsque les données sont obtenues indirectement (auprès d’un tiers, d’un partenaire, d’une source publique).

Fournir une information complète n’est pas qu’une contrainte : c’est aussi ce qui rend effectifs les droits des personnes — droit d’accès, droit d’opposition, rectification, effacement. On ne peut exercer un droit dont on ignore l’existence.

Article 13 vs Article 14 : collecte directe ou indirecte

C’est la distinction la plus importante — et la plus souvent négligée. Elle détermine à la fois le contenu et le calendrier de l’information.

Critère	Article 13 (collecte directe)	Article 14 (collecte indirecte)
Source des données	La personne elle-même (formulaire, achat, inscription)	Un tiers, un partenaire, une source publique
Moment de l’information	Au moment de la collecte	Délai raisonnable, 1 mois maximum ; ou à la 1ʳᵉ communication ; ou avant divulgation à un autre destinataire
Mentions spécifiques	—	Catégories de données concernées + source des données
Exemple	Inscription à une newsletter	Achat d’un fichier de prospection, enrichissement de base

En pratique, l’article 14 est un piège classique en matière de prospection commerciale : une entreprise qui achète ou loue un fichier doit informer les personnes concernées — qu’elle n’a jamais rencontrées — dans le mois, en précisant d’où proviennent les données.

La liste complète des mentions obligatoires

L’information se compose de deux blocs : les informations de base (toujours dues) et les informations complémentaires (nécessaires pour garantir un traitement loyal et transparent).

Informations de base

• L’identité et les coordonnées du responsable du traitement et, le cas échéant, de son représentant ;
• Le cas échéant, les coordonnées du délégué à la protection des données (DPO) ;
• Les finalités du traitement et la base légale (art. 6) ;
• Lorsque le traitement repose sur l’article 6(1)(f), les intérêts légitimes poursuivis ;
• Les destinataires ou catégories de destinataires ;
• Le cas échéant, l’intention de transférer les données hors UE et l’existence (ou l’absence) d’une décision d’adéquation, ou la référence aux garanties appropriées et les moyens d’en obtenir copie.

Informations complémentaires

• La durée de conservation ou, à défaut, les critères pour la déterminer (voir notre tableau des durées de conservation) ;
• L’existence des droits : accès, rectification, effacement, limitation, opposition, portabilité ;
• Lorsque le traitement repose sur le consentement (art. 6(1)(a) ou art. 9(2)(a)), le droit de le retirer à tout moment ;
• Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
• Le caractère réglementaire, contractuel ou facultatif de la fourniture des données, et les conséquences d’un défaut de fourniture ;
• L’existence d’une décision automatisée ou d’un profilage au sens de l’article 22, avec des informations utiles sur la logique sous-jacente et les conséquences.

Lorsque des données sensibles sont en jeu (santé, opinions, etc.), l’information doit être d’autant plus soignée, la base légale relevant alors de l’article 9.

Quand et comment informer

Le moment est aussi important que le contenu. En collecte directe (art. 13), l’information doit être fournie avant ou au moment de la collecte — sur le formulaire, la page d’inscription, le bon de commande. En collecte indirecte (art. 14), elle doit intervenir dans un délai raisonnable (un mois au plus), ou dès la première communication avec la personne.

Sur la forme, la CNIL recommande une information à plusieurs niveaux (approche dite « en cascade ») :

1. Premier niveau — court, au plus près de la collecte : l’essentiel (identité du responsable, finalité principale, droits, renvoi vers le détail).
2. Second niveau — une politique de confidentialité complète, accessible d’un clic, reprenant l’ensemble des mentions.

Cette approche concilie deux exigences en tension : la concision (art. 12) et l’exhaustivité (art. 13/14). L’information peut être écrite, orale (par exemple pour un accueil téléphonique, avec preuve de la procédure) ou fournie par tout moyen approprié, y compris des icônes normalisées.

Le support importe autant que le contenu. Sur un formulaire web, l’information de premier niveau doit être visible avant la validation, et non reléguée dans une page annexe que l’utilisateur ne consultera jamais. Sur un support papier, elle figure au plus près du point de collecte (bulletin d’inscription, bon de commande). Pour un traitement fondé sur le consentement, l’information conditionne d’ailleurs la validité même du consentement : un consentement recueilli sans information suffisante n’est pas « éclairé » au sens du RGPD, et devient donc contestable. Autrement dit, une mention d’information bâclée ne fragilise pas seulement la transparence : elle peut faire tomber la base légale du traitement tout entier. C’est pourquoi il est prudent de dater et de versionner chaque version de la politique de confidentialité, afin de pouvoir démontrer, pour chaque collecte, quelle information était affichée à ce moment-là.

Les exceptions à l’obligation d’information

L’obligation n’est pas absolue. Elle est écartée dans plusieurs cas :

• La personne dispose déjà de l’information (art. 13(4) et 14(5)(a)) — inutile de répéter une information déjà donnée.
• Collecte indirecte uniquement (art. 14(5)) : lorsque l’information se révèle impossible ou exigerait des efforts disproportionnés ; lorsque l’obtention ou la communication est expressément prévue par la loi ; ou lorsque les données doivent rester confidentielles en vertu d’une obligation de secret professionnel.

Ces exceptions s’interprètent strictement. L’« effort disproportionné » ne se présume pas : il doit être documenté, et des mesures alternatives (information publique, par exemple) peuvent être exigées.

Exemple pratique de mention d’information

Voici un exemple de mention de premier niveau pour l’inscription à une newsletter (à compléter par une politique de confidentialité détaillée) :

L’inscription vous permet de recevoir nos communications sur la conformité RGPD et nos offres de produits et services. La base légale est votre consentement (art. 6(1)(a) du RGPD), que vous pouvez retirer à tout moment via le lien de désinscription présent dans chaque email. Les destinataires sont le responsable de traitement — la société [X] —, ses services internes en charge de la gestion de la liste de diffusion, et le prestataire assurant l’envoi des emails. Vos données sont conservées le temps de votre inscription, puis supprimées. Si un prestataire est situé hors UE, le transfert est encadré par les clauses contractuelles types (décision (UE) 2021/914) ou, le cas échéant, par la certification du prestataire au titre du EU-US Data Privacy Framework. Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit d’introduire une réclamation auprès de la CNIL. La fourniture de votre email est nécessaire pour recevoir ces communications et reste facultative. Détails complets : [lien vers la politique de confidentialité].

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2026.1 — dernière mise à jour : 10 juillet 2026.

Deux mises à jour importantes par rapport aux modèles anciens : la mention des transferts hors UE doit désormais viser explicitement les clauses contractuelles types de la décision (UE) 2021/914 et, pour les prestataires américains certifiés, le EU-US Data Privacy Framework (décision d’adéquation de juillet 2023, toujours en vigueur selon l’état du droit consulté en juillet 2026).

Erreurs fréquentes

• Confondre mentions légales et mentions d’information : les premières identifient l’éditeur d’un site (LCEN), les secondes informent sur le traitement des données. Ce sont deux obligations distinctes.
• Oublier l’article 14 : ne pas informer les personnes dont les données ont été obtenues indirectement (fichiers achetés, enrichissement).
• Omettre la base légale ou la mentionner de façon vague (« pour des raisons légitimes ») sans préciser la finalité.
• Renvoyer vers une politique introuvable ou illisible : l’information doit être aisément accessible et rédigée en termes clairs.
• Ne pas mentionner le droit de retrait du consentement quand le traitement repose sur celui-ci.
• Figer les mentions : elles doivent évoluer avec les traitements (nouveaux destinataires, nouveaux transferts, nouvelles finalités).

Cookies et traceurs : une information spécifique

L’information sur les cookies et traceurs obéit à un régime distinct et complémentaire des mentions des articles 13 et 14. Il ne suffit pas de mentionner les cookies dans la politique de confidentialité : le dépôt de traceurs non strictement nécessaires (mesure d’audience non exemptée, publicité, réseaux sociaux) suppose un consentement préalable recueilli via un bandeau conforme.

Ce bandeau doit permettre d’accepter ou de refuser aussi facilement, informer sur les finalités avant tout dépôt, et donner accès à un paramétrage par catégorie. L’information sur les cookies renvoie ensuite vers une politique dédiée, listant les traceurs, leurs finalités et leurs durées. Une mention d’information générale qui passerait sous silence les traceurs — ou qui présenterait un bandeau ne permettant que d’accepter — constitue un manquement fréquemment relevé, souvent cumulé avec d’autres griefs lors d’un contrôle.

Cas particuliers : mineurs, données sensibles, sous-traitants

Plusieurs situations imposent une information renforcée ou adaptée.

• Mineurs. Lorsque le traitement vise des enfants, l’information doit être rédigée dans des termes particulièrement clairs et adaptés à leur compréhension (considérant 58 du RGPD). Pour les services en ligne proposés directement à un enfant sur la base du consentement, la question de l’âge et de l’autorisation parentale doit être traitée explicitement.
• Données sensibles. Le traitement de données de santé, d’opinions ou d’autres données sensibles suppose une base légale spécifique (art. 9) : l’information doit préciser cette base (souvent le consentement explicite) et les garanties associées. La transparence y est d’autant plus scrutée que le risque pour les personnes est élevé.
• Sous-traitants et destinataires. L’information doit permettre à la personne d’identifier, au moins par catégories, qui accède à ses données : services internes, prestataires (hébergeur, routeur d’emails, support), et le cas échéant partenaires. Ces destinataires doivent correspondre exactement à ceux documentés dans le registre et encadrés par contrat.
• Information orale. Lorsqu’une donnée est collectée par téléphone, l’information de premier niveau peut être délivrée oralement, à condition de pouvoir prouver le script et la procédure, et de renvoyer vers une information écrite complète.

Dans tous ces cas, la règle directrice reste celle de l’article 12 : une information adaptée à son public, compréhensible et loyale. Une information techniquement complète mais illisible ne satisfait pas à l’obligation.

Mentions d’information et registre : la cohérence avant tout

Les mentions d’information ne s’inventent pas : elles se déduisent du registre des activités de traitement. Chaque fiche du registre (finalité, base légale, destinataires, durée, transferts) alimente directement les mentions correspondantes. Cette cohérence est essentielle : une divergence entre ce que dit la politique de confidentialité et ce que fait réellement l’organisation est un manquement classique.

Cette cohérence conditionne aussi la bonne gestion des droits : une personne correctement informée exercera son droit d’accès ou son droit d’opposition dans un cadre clair. Quand les traitements se multiplient, maintenir la cohérence entre registre, mentions et politique de confidentialité devient chronophage : un logiciel RGPD permet d’industrialiser la génération et la mise à jour de ces documents à partir d’une source unique.

FAQ

Quelle différence entre mentions légales et mentions d’information RGPD ?

Les mentions légales identifient l’éditeur d’un site (raison sociale, hébergeur, directeur de publication) au titre de la LCEN. Les mentions d’information RGPD informent les personnes sur le traitement de leurs données (finalités, base légale, droits). Ce sont deux obligations juridiques distinctes, à ne pas confondre ni fusionner sans discernement.

Quand faut-il fournir les mentions d’information ?

En collecte directe (article 13), au moment de la collecte — sur le formulaire ou la page concernée. En collecte indirecte (article 14), dans un délai raisonnable d’un mois maximum, ou dès la première communication avec la personne, ou avant toute divulgation à un autre destinataire.

Doit-on informer les personnes dont on a acheté le fichier ?

Oui. L’article 14 impose d’informer les personnes dont les données ont été obtenues indirectement, en précisant notamment la source des données et les catégories concernées. C’est une étape souvent oubliée en prospection, et une source fréquente de plaintes.

Peut-on se contenter d’un lien vers la politique de confidentialité ?

L’approche à plusieurs niveaux recommandée par la CNIL est admise : une mention courte au point de collecte, renvoyant vers une politique détaillée. Mais le premier niveau doit tout de même délivrer l’essentiel (identité, finalité, droits) ; un simple lien sans aucune information immédiate est insuffisant.

Les mentions changent-elles avec le RGPD et le Data Privacy Framework ?

Le contenu obligatoire des articles 13 et 14 reste stable, mais la partie « transferts hors UE » doit être tenue à jour : référence aux clauses contractuelles types (décision (UE) 2021/914) et, pour les prestataires américains certifiés, au EU-US Data Privacy Framework. Vérifiez régulièrement le statut de vos prestataires.

Que risque-t-on en cas de mentions incomplètes ?

Un défaut d’information est un manquement aux articles 12 à 14, susceptible de sanction par la CNIL, et il fragilise l’ensemble de la conformité (il révèle souvent des traitements mal documentés). Au-delà du risque juridique, une information claire est un facteur de confiance auprès des utilisateurs.

---

Les mentions d’information sont la vitrine de votre conformité : elles montrent, noir sur blanc, ce que vous faites des données et comment les personnes peuvent agir. Bien construites, cohérentes avec le registre et tenues à jour, elles transforment une obligation réglementaire en signal de confiance.