Une menuiserie de douze personnes reçoit un courriel d'un client : « Que faites-vous de mon adresse et de mon numéro de téléphone ? » La gérante ouvre la page « Politique de confidentialité » de son site. Elle a été copiée il y a trois ans depuis le site d'un confrère. Le nom de l'autre entreprise apparaît encore au troisième paragraphe. La page parle d'une newsletter que la menuiserie n'a jamais envoyée, ne dit rien de la durée de conservation des devis, et ne cite aucune base juridique. Elle ne répond pas à la question du client. Cet article explique ce que les articles 13 et 14 du RGPD demandent, mention par mention, et comment écrire cette page en une demi-journée en partant d'un document que vous avez peut-être déjà : le registre des traitements.
Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les textes cités sont ceux en vigueur à la date de rédaction ; pour une situation particulière, consultez un professionnel du droit.
Avant de tout réécrire, cherchez ces cinq éléments dans votre page actuelle. Ce sont ceux qui manquent le plus souvent.
Si ces cinq points sont présents, votre page a déjà une ossature. Sinon, la suite vous donne la liste complète et une méthode pour la remplir.
Le RGPD distingue deux cas selon l'origine des données.
| Situation | Article | Quand informer |
|---|---|---|
| Les données sont collectées auprès de la personne elle-même : formulaire de contact, devis, commande, inscription à une lettre d'information. | Article 13 | « Au moment où les données en question sont obtenues », c'est-à-dire au moment du formulaire. |
| Les données n'ont pas été collectées auprès de la personne : fichier acheté ou loué, annuaire professionnel, réseau social, données transmises par un partenaire. | Article 14 | Dans un délai raisonnable ne dépassant pas un mois ; au plus tard lors de la première communication si les données servent à contacter la personne ; au plus tard lors de la première transmission si elles sont communiquées à un autre destinataire (article 14, paragraphe 3). |
La liste des mentions est presque la même dans les deux articles. L'article 14 ajoute deux éléments : les catégories de données concernées (paragraphe 1, point d) et la source des données, avec l'indication qu'elles proviennent ou non de sources accessibles au public (paragraphe 2, point f). Une PME qui n'utilise que ses propres formulaires relève de l'article 13. Dès qu'elle prospecte à partir d'un fichier acheté ou d'un annuaire, l'article 14 s'applique aussi, et le délai d'un mois court à partir de l'obtention du fichier.
Ce que vous pouvez faire dès maintenant : noter, pour chaque catégorie de personnes (clients, prospects, candidats, visiteurs du site), d'où viennent leurs données. Ce tri décide quel article s'applique.
L'article 12, paragraphe 1, du RGPD fixe la forme. L'information est fournie « d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». Elle est donnée par écrit, y compris par voie électronique. Le paragraphe 5 du même article précise qu'elle est fournie gratuitement.
Concrètement, pour une page web :
La CNIL admet une information à plusieurs niveaux : l'essentiel sous le formulaire (qui collecte, pourquoi, lien vers la page complète), le détail sur la page de politique de confidentialité. Ce que vous pouvez faire dès maintenant : relire votre page à voix haute ; chaque phrase qu'un client ne comprendrait pas est à réécrire.
Voici les mentions que les articles 13 et 14 du RGPD demandent, et où trouver l'information dans votre organisation. La colonne « Registre » renvoie au champ correspondant du registre des traitements de l'article 30.
| Mention | Art. 13 | Art. 14 | Registre (art. 30) |
|---|---|---|---|
| Identité et coordonnées du responsable du traitement (et de son représentant, le cas échéant) | §1 a) | §1 a) | §1 a) : nom et coordonnées |
| Coordonnées du délégué à la protection des données, si vous en avez un | §1 b) | §1 b) | §1 a) |
| Finalités du traitement et base juridique de chaque finalité | §1 c) | §1 c) | §1 b) : finalités (la base juridique n'y figure pas ; ajoutez une colonne) |
| Intérêts légitimes poursuivis, si c'est la base retenue | §1 d) | §2 b) | Même colonne ajoutée |
| Catégories de données concernées | Non exigé | §1 d) | §1 c) |
| Destinataires ou catégories de destinataires | §1 e) | §1 e) | §1 d) |
| Transfert hors UE, existence ou absence d'une décision d'adéquation, garanties appropriées et moyen d'en obtenir copie | §1 f) | §1 f) | §1 e) |
| Durée de conservation ou critères de détermination | §2 a) | §2 a) | §1 f) : délais d'effacement |
| Droits d'accès, de rectification, d'effacement, de limitation, d'opposition et à la portabilité | §2 b) | §2 c) | Texte commun à tous les traitements |
| Droit de retirer son consentement à tout moment (traitements fondés sur le consentement) | §2 c) | §2 d) | Colonne base juridique = consentement |
| Droit d'introduire une réclamation auprès d'une autorité de contrôle | §2 d) | §2 e) | Texte commun |
| Caractère réglementaire ou contractuel de la fourniture des données, et conséquences d'un refus | §2 e) | Non exigé | À déduire de la finalité (un devis sans adresse ne peut pas être établi) |
| Source des données, et si elles viennent de sources accessibles au public | Non exigé | §2 f) | À ajouter au registre si absent |
| Existence d'une décision automatisée, y compris un profilage, et logique sous-jacente | §2 f) | §2 g) | Rare pour une PME ; le dire quand il n'y en a pas est une bonne pratique |
Les bases juridiques possibles sont listées à l'article 6, paragraphe 1 : consentement, contrat ou mesures précontractuelles, exigence légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes. Pour une PME, trois reviennent presque toujours : le contrat (devis, commande, facture), l'exigence légale (conservation comptable) et le consentement (lettre d'information, traceurs non nécessaires). Ce que vous pouvez faire dès maintenant : ajouter une colonne « base juridique » à votre registre et la remplir ligne par ligne.
Le registre des traitements de l'article 30 du RGPD contient déjà, pour chaque traitement, les finalités, les catégories de personnes et de données, les destinataires, les transferts hors UE et les délais d'effacement. Ce sont, à deux colonnes près, les mentions des articles 13 et 14. Si vous ne l'avez pas encore, ou si vous pensez en être dispensé, lisez d'abord notre article sur le registre et l'exemption « moins de 250 salariés » : un registre de six lignes suffit à une petite entreprise et se construit en une matinée.
La méthode tient en quatre étapes :
L'avantage de cette méthode est la cohérence : la politique ne peut pas annoncer un traitement absent du registre, ni l'inverse. Quand un nouvel outil arrive (un logiciel de devis, un chat sur le site), une ligne s'ajoute au registre et un bloc à la page, le même jour.
Voici l'ossature que nous recommandons pour chaque traitement, à compléter avec vos propres données. La page commence par un bloc commun (responsable, DPO éventuel, droits, réclamation), puis répète ce bloc autant de fois qu'il y a de lignes dans le registre.
Responsable du traitement
[Dénomination] – [adresse] – [courriel de contact]
Délégué à la protection des données (le cas échéant) : [coordonnées]
Traitement : [Gestion des devis et des commandes]
Finalité : établir un devis, exécuter la commande, facturer
Base juridique : contrat ou mesures précontractuelles
; exigence légale pour la conservation
comptable
Données : identité, coordonnées, contenu de la demande,
données de facturation
Fourniture : nécessaire à l'établissement du devis ;
sans ces données, la demande ne peut pas
être traitée
Destinataires : [hébergeur], [logiciel de devis],
[expert-comptable], [prestataire de paiement]
Transfert hors UE : [aucun] / [pays, garantie, où en obtenir copie]
Conservation : [durée de la relation commerciale + N ans] ;
pièces comptables : [durée légale]
Source (art. 14 uniquement) : [fichier, annuaire, partenaire]
Vos droits
Accès, rectification, effacement, limitation, opposition,
portabilité ; retrait du consentement à tout moment pour les
traitements fondés sur celui-ci.
Pour les exercer : [courriel / adresse]
Réclamation : vous pouvez saisir la CNIL (www.cnil.fr)
Dernière mise à jour : [date]La vérification gratuite Sitetals examine votre page d'accueil et signale, entre autres, l'absence d'une page de mentions légales ou de politique de confidentialité accessible, ainsi que les services tiers chargés par votre site. C'est un point de départ pour la relecture décrite ci-dessus, pas un substitut à celle-ci.
À lire également :
Sources : Règlement (UE) 2016/679, articles 6, 7, 12, 13, 14 et 30 · CNIL, « Conformité RGPD : comment informer les personnes et assurer la transparence ? » · Loi n° 78-17 du 6 janvier 1978, article 82 · Méthodologie Sitetals.
Rédaction Sitetals