Mentions RGPD : préparer une information complète

Une mention RGPD décrit ce que votre organisme fait réellement des données. Une formule générale du type « conformément au RGPD, vous disposez de droits » ne précise ni les usages, ni les destinataires, ni les durées. Commencez par établir les faits du traitement avant de rédiger la notice.

Choisir la règle selon l’origine des données

Lorsque vous collectez les informations auprès de la personne, les Art. 13(1) et 13(2) imposent l’information au moment de la collecte. Cela concerne notamment un formulaire ou les informations recueillies pendant un échange.

Lorsque les données viennent d’un tiers, l’Art. 14(3) prévoit un délai raisonnable ne dépassant pas un mois. Si une communication à la personne intervient avant, l’information doit être fournie au plus tard lors de cette première communication ; si une divulgation à un autre destinataire est prévue avant, au plus tard lors de cette première divulgation. Le mois ne constitue donc pas un délai d’attente automatique. Art. 13 et 14 du RGPD.

Les guides de l’article 13 et de l’article 14 détaillent ces deux situations. Pour un fichier ancien, vérifiez aussi la provenance des données déjà détenues.

La grille de rédaction des mentions

Cette grille transforme les obligations des Art. 13(1)-(2) et 14(1)-(2) en rubriques de travail. Une même notice peut couvrir plusieurs usages, à condition que le lecteur puisse comprendre les règles de chacun. Texte des obligations d’information.

Ne présentez pas tous les droits comme inconditionnels. La portabilité obéit à l’Art. 20(1) ; l’opposition aux conditions de l’Art. 21 ; l’effacement connaît les exceptions de l’Art. 17(3). La notice doit expliquer les droits pertinents sans créer une promesse que votre procédure refusera ensuite.

De même, ne citez pas systématiquement le Data Privacy Framework et les clauses contractuelles types. Identifiez d’abord les transferts réels et le mécanisme effectivement applicable. Une liste de mécanismes possibles ne renseigne pas le lecteur sur son traitement.

Présenter une information lisible au bon endroit

L’Art. 12(1) exige une information concise, transparente, compréhensible, accessible et rédigée simplement. Une présentation en plusieurs niveaux peut rendre la notice plus lisible : information essentielle au point de collecte, puis accès direct au détail. La CNIL explique cette approche dans ses conseils sur l’information et la transparence.

Avant publication, faites relire le parcours par une personne qui ne connaît pas le dossier. Peut-elle identifier le responsable, comprendre l’utilisation des champs obligatoires et trouver le contact pour exercer ses droits ? Vérifiez également la version mobile, les formulaires intégrés et le support papier.

Cas rempli : une demande de devis de mobilier

Exemple entièrement hypothétique. Atelier Exemple Mobilier fabrique des meubles à la demande. Son formulaire recueille le nom, l’email et une description du projet. Le téléphone reste facultatif : il sert uniquement lorsqu’un rappel est demandé. L’atelier ne veut ni inscrire les demandeurs à une newsletter ni communiquer leurs coordonnées à des partenaires commerciaux.

Le responsable décrit d’abord les flux. Deux personnes préparent les devis ; le technicien reçoit seulement les indications nécessaires à l’étude. Dans ce cas fictif, l’hébergeur et le prestataire de maintenance agissent sur instructions, avec stockage et accès limités à l’Union européenne. L’atelier a vérifié ce périmètre contractuel et technique : ce n’est pas une conclusion à déduire du seul domicile français d’un fournisseur.

La base retenue est l’Art. 6(1)(b), pour les mesures précontractuelles demandées par le particulier. Les demandes sans commande sont conservées trois mois après la dernière réponse utile, pour permettre de reprendre le projet pendant ce délai. Ce choix est illustratif et doit être justifié ; une relance automatique ne redémarre pas artificiellement le compteur. Si un contrat est conclu, seules les données nécessaires rejoignent le dossier client, avec sa propre information.

Premier niveau, placé avant le bouton d’envoi

Atelier Exemple Mobilier utilise vos coordonnées et la description du projet pour préparer le devis demandé. Les champs marqués d’un astérisque sont nécessaires à cette réponse ; le téléphone est facultatif et sert à un rappel demandé. Vous disposez de droits sur vos données, expliqués avec les durées et les destinataires dans la notice « Données de votre demande de devis » accessible ici.

Le lien doit ouvrir directement la notice correspondante, avant l’envoi du formulaire. Il ne conduit pas à une page générale obligeant à chercher le bon traitement. Si une utilisation inattendue ou particulièrement importante existait, elle devrait également apparaître clairement dans ce premier niveau ; le cas présenté n’en comporte pas.

Notice détaillée rédigée pour ce cas

Les coordonnées suivantes sont fictives ; ce texte montre une notice renseignée, pas un document prêt à publier pour n’importe quelle entreprise.

Responsable. Atelier Exemple Mobilier, adresse fictive : 12 rue Exemple, 00000 Ville-Exemple. Pour une question ou pour exercer vos droits : donnees@example.invalid. Aucun délégué à la protection des données n’est désigné dans cette hypothèse.

Objectif et fondement. Nous utilisons votre nom, votre email et les informations nécessaires sur votre projet pour étudier votre demande et préparer un devis. Ce traitement repose sur les mesures précontractuelles prises à votre demande, conformément à l’Art. 6(1)(b) du RGPD. Le téléphone est utilisé uniquement si vous demandez un rappel. Votre demande ne vous inscrit à aucune prospection commerciale.

Informations nécessaires. Le nom, l’email et la description utile du projet sont nécessaires à l’étude et à l’envoi de notre réponse ; sans ces informations, nous ne pouvons pas traiter ce formulaire. Le téléphone est facultatif. N’incluez pas de document d’identité ni d’information sensible dans la description.

Destinataires. Les personnes habilitées à préparer les devis et les techniciens concernés accèdent aux seuls éléments utiles à leur mission. Nos prestataires d’hébergement et de maintenance peuvent traiter les données sur nos instructions. Aucun transfert hors de l’Union européenne n’est prévu pour ce traitement dans le dispositif décrit.

Conservation. En l’absence de commande, nous supprimons la demande trois mois après notre dernière réponse utile. Si vous commandez, les données nécessaires à l’exécution rejoignent le dossier client dont les règles vous sont présentées séparément. En cas de différend identifié, les éléments indispensables sont isolés avec accès limité jusqu’à sa clôture définitive, compte tenu des délais de recours applicables. Cet archivage poursuit notre intérêt légitime à défendre nos droits, selon l’Art. 6(1)(f).

Vos droits. Vous pouvez demander l’accès, la rectification, l’effacement ou la limitation dans les conditions prévues par le RGPD. Vous pouvez aussi exercer la portabilité pour les données et traitements remplissant les conditions de l’Art. 20(1). Pour l’archivage fondé sur l’intérêt légitime, vous pouvez vous opposer pour des raisons tenant à votre situation particulière, dans les conditions de l’Art. 21(1). Adressez votre demande au contact indiqué ci-dessus. Vous pouvez introduire une réclamation auprès de la CNIL. Aucune décision relevant de l’Art. 22 n’est prise dans ce traitement.

Cette notice ne cite pas de droit de retrait du consentement pour le devis, puisque sa base n’est pas le consentement. Elle n’invente pas non plus un DPO : le contact opérationnel et un délégué formellement désigné ne sont pas interchangeables. Les droits doivent rester aussi clairs dans la procédure de réponse que dans le texte présenté au public.

Vérifier la diffusion, pas seulement le texte

Dans le cas fictif, la première recette révèle que la notice s’ouvre seulement après acceptation des cookies facultatifs du site. L’atelier ne valide pas ce parcours. L’accès à l’information sur les données ne doit pas être subordonné à un tel accord. Il rend la notice accessible indépendamment, puis vérifie le formulaire intégré et la version mobile sans accepter ces cookies.

Un second contrôle porte sur les pièces réellement transmises : si le prestataire reçoit aussi un export utilisé pour ses propres campagnes, la notice précédente devient inexacte et la question dépasse sa rédaction. Le responsable suspend ce flux non prévu, qualifie le traitement et ses conditions avant toute reprise. Ajouter « partenaires » au pied du formulaire ne rendrait pas cet usage licite.

Le dossier de validation conserve le formulaire, la notice datée, le lien fonctionnel et les constats de ces vérifications. Il ne prétend pas que chaque personne a lu toute la notice ; il démontre comment l’information a été rendue disponible au moment requis. Sur papier, la notice doit également être accessible lors du recueil, sans imposer au demandeur de posséder un smartphone.

Les exceptions ne sont pas une dispense générale

Les Art. 13(4) et 14(5)(a) limitent l’obligation lorsque, et dans la mesure où, la personne possède déjà les informations. Une ancienne notice incomplète ne suffit pas à établir cette condition.

En collecte indirecte, l’Art. 14(5) prévoit aussi certaines exceptions : information impossible ou efforts disproportionnés sous les conditions du texte, obtention ou communication expressément prévue par une loi assortie de garanties, ou obligation de secret professionnel réglementée. L’exception liée aux efforts disproportionnés exige des mesures appropriées de protection, dont la mise à disposition publique des informations. Une difficulté pratique ou une clause contractuelle de confidentialité ne justifie pas à elle seule l’absence d’information. Art. 13(4) et 14(5).

Conserver une preuve et gérer les changements

Archivez la version de la notice, sa période d’utilisation et les emplacements où elle était présentée. Pour un envoi individualisé, conservez une preuve adaptée de l’information, sans accumuler inutilement des données. L’historique des versions d’une notice RGPD facilite cette organisation.

Les Art. 13(3) et 14(4) imposent une information préalable lorsqu’une autre finalité est envisagée. Modifier silencieusement la page du site ne garantit pas que les personnes auront reçu cette information ; et les informer ne suffit pas à rendre licite le nouvel usage. Art. 13(3) et 14(4).

Ce qu’il faut retenir

• Établissez les faits du traitement avant de rédiger la mention.
• Distinguez information lors de la collecte et délais de collecte indirecte.
• Décrivez les bases, durées, droits et transferts effectivement applicables.
• Gardez les versions diffusées et réexaminez la notice lorsque l’usage change.

FAQ

Faut-il faire accepter la notice par une case à cocher ?

L’obligation d’information ne constitue pas une demande de consentement. Une case d’acceptation ne remplace ni une information accessible ni l’analyse de la base légale du traitement.

Peut-on utiliser la même notice partout ?

Oui si elle reste exacte et adaptée aux traitements concernés. Les formulaires doivent toutefois présenter les informations utiles au moment opportun et permettre d’accéder simplement au détail pertinent.

Une adresse électronique pour exercer les droits suffit-elle ?

Non. Elle facilite la démarche, mais ne remplace pas les autres rubriques imposées par les Art. 13 et 14.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.