Comment informer les personnes sur l'utilisation de leurs données ?

Une obligation de transparence

Le principe de transparence de l'article 5 se traduit par une obligation concrète : chaque personne dont les données sont collectées doit savoir qui les utilise, pour quoi faire, sur quelle base, pendant combien de temps, avec qui elles sont partagées et comment exercer ses droits. L'article 12 précise la forme, en exigeant une information concise, transparente, compréhensible et aisément accessible, formulée en des termes clairs et simples, en particulier pour les enfants. Les articles 13 et 14 en fixent le contenu selon que les données sont collectées directement auprès de la personne ou obtenues par un autre moyen.

Les mentions obligatoires

Lorsque les données sont collectées auprès de la personne, l'article 13 impose de lui fournir plusieurs informations au moment même de la collecte. Les plus importantes doivent figurer directement sur le support de collecte ; les autres peuvent être renvoyées vers une page détaillée, souvent appelée politique de confidentialité.

Quand informer ?

En cas de collecte directe, l'information est due au moment de la collecte : sur le formulaire, au début de l'appel téléphonique, dans le contrat, à l'entrée de la zone filmée. En cas de collecte indirecte (fichier acheté, données transmises par un partenaire, informations trouvées sur un site public), l'article 14 impose d'informer la personne dans un délai raisonnable ne dépassant pas un mois, ou au plus tard lors de la première communication avec elle, et d'indiquer en plus la source des données et les catégories de données concernées. Des exceptions existent lorsque l'information est impossible ou exigerait des efforts disproportionnés, notamment pour la recherche ou l'archivage, mais elles s'interprètent strictement.

L'information en deux niveaux

Pour concilier exhaustivité et lisibilité, la CNIL et le CEPD recommandent une information à plusieurs niveaux. Le premier niveau, sur le support de collecte, contient l'essentiel : l'identité du responsable, la finalité, les droits et un lien vers la suite. Le second niveau détaille toutes les mentions dans une page accessible en permanence. Des pictogrammes, des tableaux et des formulations directes aident à la compréhension ; les textes juridiques interminables, au contraire, ne remplissent pas l'exigence de clarté.

Exemple de mention de premier niveau sous un formulaire de contact : « Les informations saisies sont utilisées par la société Dupont Rénovation pour répondre à votre demande et, si vous le souhaitez, vous envoyer un devis. Elles sont conservées 3 ans à compter de notre dernier échange. Vous pouvez accéder à vos données, les rectifier ou les faire effacer en écrivant à rgpd@dupont-renovation.fr. En savoir plus : notre politique de confidentialité. »Exemple fictif, à adapter à chaque traitement

Les supports d'information selon les situations

L'information prend des formes différentes selon le canal : une mention sous un formulaire en ligne, une clause dans un contrat ou des conditions générales, une notice remise à l'embauche, un message lu au début d'un appel enregistré, un panneau à l'entrée d'un lieu filmé, un écran d'accueil dans une application. Pour les salariés, le Code du travail impose en plus qu'aucune information les concernant personnellement ne soit collectée par un dispositif qui n'a pas été porté préalablement à leur connaissance (article L. 1222-4). Le guide de la politique de confidentialité propose une structure de page complète pour un site internet.

Les erreurs fréquentes

La CNIL relève souvent une information absente au moment de la collecte, renvoyée à des conditions générales que personne ne lit, incomplète sur les durées de conservation ou les destinataires, ou formulée de façon si vague qu'elle ne permet pas de comprendre ce qui est fait des données. Autre erreur classique : une politique de confidentialité copiée d'un autre site, qui décrit des traitements que l'organisme ne réalise pas et ignore ceux qu'il réalise. L'information doit refléter fidèlement le registre des traitements.

Prouver que l'information a été donnée

En vertu du principe de responsabilité, l'organisme doit pouvoir démontrer qu'il a informé les personnes. Il conserve donc les versions successives de ses mentions et de sa politique de confidentialité, avec leurs dates de mise en ligne, les modèles de formulaires et de notices, ainsi que les preuves de remise aux salariés. Lorsque les traitements changent de manière importante, il doit informer les personnes de la modification avant qu'elle ne s'applique.

Les articles 12, 13 et 14 en détail

Trois articles organisent la transparence. L'article 12 fixe les modalités : l'information doit être concise, transparente, compréhensible et aisément accessible, formulée en des termes clairs et simples, en particulier lorsqu'elle s'adresse à un enfant ; elle est fournie par écrit ou par d'autres moyens, y compris électroniques, et gratuitement. L'article 13 liste les informations à fournir lorsque les données sont collectées directement auprès de la personne, au moment de la collecte. L'article 14 liste celles à fournir lorsque les données sont obtenues auprès d'un tiers, par exemple d'un fichier acheté, d'un partenaire ou d'une source publique, dans un délai raisonnable ne dépassant pas un mois, ou lors de la première communication avec la personne. L'article 14 ajoute deux mentions : les catégories de données concernées et la source dont elles proviennent, y compris si elles sont issues de sources accessibles au public.

Les exceptions à l'obligation d'information

L'obligation d'information connaît des exceptions limitées. Lorsque la personne dispose déjà des informations, il n'est pas nécessaire de les lui répéter, à condition de pouvoir le démontrer. Pour la collecte indirecte, l'article 14, paragraphe 5, prévoit d'autres exceptions : lorsque la fourniture des informations se révèle impossible ou exigerait des efforts disproportionnés, notamment pour des traitements à des fins de recherche ou de statistique ; lorsque l'obtention ou la communication des données est expressément prévue par un texte qui prévoit des mesures de protection ; ou lorsque les données doivent rester confidentielles en raison d'un secret professionnel réglementé par la loi. Même dans ces cas, le responsable doit prendre des mesures appropriées, comme rendre l'information publiquement disponible. La Cour de justice interprète ces exceptions strictement.

Adapter l'information au public

L'exigence de clarté varie selon le public. Pour des enfants, l'information doit être rédigée dans un langage qu'ils peuvent comprendre, avec des phrases courtes, des illustrations ou des vidéos. Pour des personnes âgées ou en situation de handicap, l'accessibilité des supports est essentielle : taille des caractères, contraste, compatibilité avec les lecteurs d'écran, version en facile à lire et à comprendre. Pour des salariés, l'information peut être intégrée au livret d'accueil, au règlement intérieur ou à l'intranet, avec une présentation lors de l'arrivée. Pour des clients en ligne, une information contextuelle au moment de la saisie est plus efficace qu'un long document en bas de page. Dans tous les cas, l'information doit être disponible dans la langue du public visé : un service destiné à des personnes en France doit informer en français.

Les outils visuels de l'information

Le RGPD encourage l'usage d'icônes normalisées pour donner un aperçu facilement visible et compréhensible du traitement (article 12, paragraphe 7). Si la Commission n'a pas encore adopté d'icônes officielles, de nombreux organismes utilisent des pictogrammes, des tableaux synthétiques, des schémas ou des vidéos courtes pour rendre l'information plus accessible. La CNIL a elle-même publié des exemples de mentions présentées sous forme de questions-réponses ou de tableaux. Ces formats ne remplacent pas l'information complète, mais ils permettent à la personne d'en saisir l'essentiel en quelques secondes et d'accéder au détail si elle le souhaite.

Des exemples de mentions courtes

La mention de premier niveau, placée au plus près du formulaire, résume les informations essentielles en quelques lignes. Pour un formulaire de contact : « Les informations saisies sont utilisées par [la société] pour répondre à votre demande, sur la base de notre intérêt légitime à traiter les demandes reçues. Elles sont conservées trois ans. Vous pouvez exercer vos droits d'accès, de rectification, d'effacement et d'opposition à l'adresse [contact]. En savoir plus : politique de confidentialité. » Pour une inscription à une lettre d'information, on ajoute la base légale du consentement et le lien de désinscription présent dans chaque envoi. Pour un recrutement, la mention précise la durée de conservation du dossier en cas de candidature non retenue et la possibilité de s'y opposer.

L'information en cas de changement de finalité

Lorsqu'un responsable envisage de traiter des données pour une finalité autre que celle pour laquelle elles ont été collectées, l'article 13, paragraphe 3, et l'article 14, paragraphe 4, lui imposent d'informer préalablement la personne de cette nouvelle finalité et de lui fournir toute information pertinente. Cette information doit intervenir avant le début du nouveau traitement, et non après coup. Elle s'accompagne d'une analyse de compatibilité de la nouvelle finalité avec la finalité initiale, selon les critères de l'article 6, paragraphe 4, ou d'une nouvelle base légale comme le consentement. Un changement de prestataire, une fusion ou l'utilisation de données clients pour entraîner un outil d'intelligence artificielle sont des situations typiques où cette information est nécessaire.

Les sanctions pour défaut d'information

Le défaut d'information figure parmi les manquements les plus fréquemment relevés par la CNIL et ses homologues. En 2019, la CNIL a sanctionné Google d'une amende de 50 millions d'euros, notamment parce que les informations sur les traitements publicitaires étaient dispersées dans plusieurs documents et nécessitaient jusqu'à cinq ou six actions pour être trouvées. La Commission irlandaise a infligé à WhatsApp en 2021 une amende de 225 millions d'euros pour manque de transparence, en particulier sur le partage de données avec les autres sociétés du groupe. Plus près des petites entreprises, de nombreuses décisions de la procédure simplifiée retiennent l'absence d'information des salariés sur la vidéosurveillance ou la géolocalisation, ou l'absence de mention sur les formulaires d'un site.

L'information des salariés

Les salariés doivent être informés de chacun des traitements qui les concernent : gestion administrative, paie, évaluation, contrôle des horaires, vidéosurveillance, géolocalisation, outils de messagerie et de travail collaboratif, contrôle de l'usage d'internet. Le Code du travail ajoute une obligation spécifique : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L. 1222-4). Le comité social et économique doit par ailleurs être informé et consulté, préalablement à leur mise en œuvre, sur les moyens et techniques permettant un contrôle de l'activité des salariés (article L. 2312-38). Un dispositif de contrôle mis en place sans information est illicite et les preuves qu'il fournit peuvent être écartées par le juge, même si la jurisprudence récente admet sous conditions des preuves obtenues de façon déloyale lorsqu'elles sont indispensables à l'exercice du droit à la preuve.

Vérifier la qualité de son information

Pour évaluer la qualité de ses mentions, un organisme peut se poser quelques questions simples. Une personne sans formation juridique comprend-elle ce qui est fait de ses données en lisant la mention de premier niveau ? Les finalités sont-elles décrites précisément, sans formules fourre-tout comme « améliorer nos services » ? Les durées sont-elles chiffrées ? Les destinataires sont-ils identifiables ? Le contact pour exercer ses droits fonctionne-t-il réellement ? L'information est-elle cohérente avec le registre et avec la réalité des traitements ? Faire relire les mentions par une personne extérieure au projet, voire tester leur compréhension auprès de quelques utilisateurs, permet de repérer rapidement les zones d'ombre. Une information réellement comprise réduit d'ailleurs les demandes de précisions et les réclamations, car les personnes savent à quoi s'attendre et comment agir.

L'information sur les décisions automatisées

Lorsqu'un traitement comporte une décision entièrement automatisée au sens de l'article 22, y compris un profilage, l'information doit mentionner son existence, fournir des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne. La Cour de justice a précisé, dans l'arrêt SCHUFA du 7 décembre 2023 (C-634/21), qu'un score de crédit calculé par une agence et déterminant pour l'octroi d'un prêt constitue une telle décision. Dans l'arrêt Dun & Bradstreet Austria du 27 février 2025 (C-203/22), elle a ajouté que la personne a droit à une explication de la procédure et des principes effectivement appliqués, de manière à comprendre quelles données ont été utilisées et comment, sans que le secret des affaires puisse justifier un refus pur et simple. Les organismes qui recourent à des scores ou à des algorithmes de décision doivent donc préparer une explication compréhensible de leur fonctionnement.

L'information dans les situations particulières

Certaines situations appellent des modalités adaptées. Pour un appel téléphonique enregistré, l'information est donnée oralement en début d'appel, avec un renvoi vers une information plus complète, par exemple sur le site ou par une touche du clavier. Pour la vidéosurveillance, des panneaux affichés à l'entrée des zones filmées indiquent l'existence du dispositif, le responsable, la finalité et le moyen d'exercer ses droits. Pour les objets connectés, l'information peut figurer dans l'application associée et sur l'emballage. Pour un événement où des photographies sont prises, un affichage à l'entrée et une mention dans l'invitation informent les participants. Pour un salon professionnel où des badges sont scannés, l'exposant informe le visiteur au moment du scan et ne l'inscrit à sa prospection que dans le respect des règles applicables, ce qui suppose une mention claire sur le stand ou dans la confirmation adressée après le salon. Dans chacun de ces cas, l'information courte renvoie à une information complète facile à trouver, par exemple grâce à un code QR ou à une adresse web simple.

Information et cookies

L'information relative aux cookies obéit aux mêmes exigences de clarté, avec une particularité : elle doit être fournie avant le dépôt des traceurs et avant le recueil du consentement. Le premier niveau, affiché dans le bandeau, présente les finalités principales en termes simples, comme la mesure d'audience, la publicité personnalisée ou le partage sur les réseaux sociaux, et indique que l'utilisateur peut accepter, refuser ou personnaliser son choix. Le second niveau, accessible depuis le bandeau et depuis un lien permanent en bas de page, détaille chaque finalité, la liste des partenaires et la durée de vie des traceurs. La CNIL recommande que la liste des partenaires soit tenue à jour et accessible à tout moment, et que l'utilisateur puisse revenir sur son choix aussi facilement qu'il l'a exprimé.