1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes:
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement
b) le cas échéant, les coordonnées du délégué à la protection des données;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers;
e) les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition;
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent:
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée;
b) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle;
e) des informations sur la question de savoir si l'exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d'un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.
3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.
4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations.
L'article 13 du RGPD fixe la liste des informations que le responsable de traitement doit donner à une personne lorsqu'il collecte ses données directement auprès d'elle : un formulaire en ligne, un contrat signé, un dossier de candidature, une caméra de vidéosurveillance. C'est la traduction concrète du principe de transparence posé à l'article 5 et des modalités prévues à l'article 12.
Il appartient au chapitre III du RGPD, consacré aux droits de la personne concernée. Son voisin immédiat, l'article 14, traite le cas inverse : les données obtenues auprès d'un tiers. Et l'article 15 organise le droit d'accès, c'est-à-dire ce que la personne peut demander elle-même, après coup.
Les informations obligatoires de l'article 13
L'article 13 distingue deux listes : les informations à fournir « au moment où les données sont obtenues » (paragraphe 1) et celles à fournir lorsqu'elles sont « nécessaires pour garantir un traitement équitable et transparent » (paragraphe 2). Dans leurs lignes directrices sur la transparence (WP260 rév.01), reprises par le Comité européen de la protection des données le 25 mai 2018, les autorités européennes considèrent que cette distinction ne joue pas : les informations des deux paragraphes sont d'égale importance et doivent toutes être fournies. Lire les lignes directrices WP260 (PDF, CNIL).
Paragraphe 1 : au moment de la collecte
- L'identité et les coordonnées du responsable du traitement et, le cas échéant, de son représentant dans l'Union ;
- les coordonnées du délégué à la protection des données (DPO), lorsqu'il en a été désigné un ;
- les finalités du traitement et sa base juridique (consentement, contrat, obligation légale, intérêt légitime, etc., voir l'article 6) ;
- les intérêts légitimes poursuivis, lorsque le traitement repose sur l'article 6.1.f ;
- les destinataires ou catégories de destinataires des données (services internes, sous-traitants, partenaires) ;
- le cas échéant, l'intention de transférer les données hors de l'Union, l'existence ou l'absence d'une décision d'adéquation, ou la référence aux garanties appropriées (article 46) et les moyens d'en obtenir une copie. Pour les flux vers les États-Unis, voir notre guide sur les transferts de données personnelles vers les États-Unis.
Paragraphe 2 : pour un traitement équitable et transparent
- La durée de conservation des données ou, à défaut, les critères utilisés pour la déterminer (voir notre guide sur la durée de conservation des données) ;
- l'existence des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité ;
- le droit de retirer son consentement à tout moment, lorsque le traitement repose sur le consentement ;
- le droit d'introduire une réclamation auprès d'une autorité de contrôle, en France la CNIL ;
- le caractère réglementaire ou contractuel de la collecte : la personne doit savoir si elle est tenue de fournir ses données et ce qui se passe si elle ne le fait pas ;
- l'existence d'une prise de décision automatisée, y compris un profilage, au sens de l'article 22, avec des informations utiles sur la logique sous-jacente, ainsi que sur l'importance et les conséquences prévues du traitement pour la personne.
Article 13 ou article 14 : collecte directe ou indirecte
Les deux articles pèsent sur le même acteur : le responsable de traitement, c'est-à-dire l'organisme qui détermine les finalités et les moyens du traitement (article 4). Ce qui les distingue, c'est la source des données, pas la qualité de celui qui les traite.
- Article 13, collecte directe : la personne remplit elle-même un formulaire, signe un contrat, passe devant une caméra. L'information est due au moment même de la collecte.
- Article 14, collecte indirecte : les données viennent d'un tiers (fichier acheté ou loué, partenaire, source publique). L'information est due dans un délai raisonnable, au plus tard un mois après l'obtention, ou lors de la première communication avec la personne. La liste ajoute la source des données et les catégories de données concernées, et les exceptions y sont plus larges (information impossible ou exigeant des efforts disproportionnés, par exemple).
Le sous-traitant, lui, n'est pas le débiteur de cette information : il traite les données pour le compte du responsable de traitement et sur ses instructions. C'est au responsable de traitement de l'avoir mentionné parmi les destinataires.
Nouvelle finalité : informer avant de réutiliser
Le paragraphe 3 vise le traitement ultérieur. Si le responsable de traitement entend utiliser les données pour une autre finalité que celle annoncée à la collecte, il doit en informer la personne avant ce nouveau traitement, en lui donnant les informations pertinentes du paragraphe 2.
Cette obligation se lit avec l'article 5.1.b, qui exige que la nouvelle finalité soit compatible avec la finalité initiale. En pratique, le responsable de traitement doit donc :
- vérifier que la nouvelle finalité est compatible avec celle d'origine, ou disposer d'une base légale propre ;
- informer la personne de ce changement avant de commencer le nouveau traitement.
La seule exception : la personne est déjà informée
Le paragraphe 4 écarte l'obligation lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations. L'exception est étroite : c'est au responsable de traitement de prouver que la personne a reçu chacune des informations, et une information partielle ne dispense que de ce qui a déjà été donné. Contrairement à l'article 14, l'article 13 ne prévoit pas d'exception pour efforts disproportionnés.
Sous quelle forme informer ?
L'article 13 dit quoi fournir, pas comment. La forme relève de l'article 12 : une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Les lignes directrices WP260 recommandent une approche à plusieurs niveaux : l'essentiel au point de collecte, et un lien direct vers l'information complète.
Sur un site internet, cette information complète prend le plus souvent la forme d'une politique de confidentialité (voir notre guide pour créer une politique de confidentialité conforme), à ne pas confondre avec les mentions légales. Chaque traitement concerné doit par ailleurs figurer à votre registre des traitements : c'est de lui que la mention d'information tire ses finalités, ses bases légales et ses durées.
Exemple de mention sous un formulaire de contact
Les informations recueillies sur ce formulaire sont traitées par [raison sociale], [adresse], afin de répondre à votre demande, sur la base de notre intérêt légitime à traiter les demandes qui nous sont adressées. Elles sont destinées à notre équipe commerciale et à notre prestataire d'hébergement, et conservées trois ans à compter de notre dernier échange. Vous pouvez accéder à vos données, les rectifier, demander leur effacement ou la limitation de leur traitement, et vous opposer au traitement en écrivant à [adresse du DPO]. Vous pouvez également introduire une réclamation auprès de la CNIL. Pour en savoir plus, consultez notre politique de confidentialité.
Les champs à adapter sont la base légale, les destinataires et la durée : ils doivent correspondre à la fiche du traitement dans votre registre.
Exemple de la vidéosurveillance sur le lieu de travail
Pour une caméra, la CNIL admet une information à deux niveaux. Un panneau affiché en permanence indique au minimum :
- les finalités du traitement ;
- la durée de conservation des images ;
- le nom ou les coordonnées du responsable et du DPO ;
- l'existence des droits des personnes ;
- le droit d'introduire une réclamation auprès de la CNIL.
Les autres informations (base légale, destinataires, transferts hors Union, décision automatisée le cas échéant) sont rendues accessibles par un autre moyen, par exemple une page internet ou une note interne. Le détail est dans notre guide sur la vidéosurveillance et le RGPD.
Ce que la CNIL sanctionne
Le défaut d'information est l'un des manquements les plus fréquemment relevés. Deux exemples tirés de la liste des sanctions prononcées par la CNIL :
- 21 janvier 2019 : 50 millions d'euros à l'encontre d'un éditeur de système d'exploitation, pour un manque de transparence, une information insatisfaisante et l'absence de consentement valable. L'information existait, mais elle était dispersée sur plusieurs documents et plusieurs clics.
- 21 novembre 2019 : 500 000 euros à l'encontre d'une société d'installation d'équipements d'isolation, notamment pour défaut d'information des personnes, aux côtés d'autres manquements (données excessives, non-respect du droit d'opposition, transferts hors Union non encadrés).
Les amendes européennes qui visent l'article 13 sont listées en bas de cette page, et l'ensemble des décisions est recensé sur notre page sanctions RGPD.
Pour tenir vos mentions d'information alignées sur votre registre, traitement par traitement, sans les réécrire à chaque changement, demandez une démo de Leto.
