Quand et comment informer les personnes concernées ?
En bref
Les personnes doivent être informées au moment où leurs données sont collectées, dans un langage clair et sans qu'elles aient à chercher. En pratique, l'information se donne à deux niveaux : une mention courte à l'endroit même de la collecte, et une politique de confidentialité complète accessible en permanence. Quand les données viennent d'ailleurs, l'information reste due.
Informer n'est pas une formalité de fin de projet. Le RGPD demande une information concise, transparente et facile d'accès, donnée au bon moment. Une page complète mais introuvable ne remplit pas l'obligation. Voici comment organiser cette information sans alourdir vos parcours. Cet article donne des repères généraux et ne constitue pas un conseil juridique.
Le principe : informer au moment de la collecte
L'information se donne lorsque les données sont recueillies, pas après. Une personne qui remplit un formulaire doit savoir, avant de valider, qui traitera ses données, pour quoi faire et comment exercer ses droits. La logique est simple : elle décide en connaissance de cause.
Quand les données ne viennent pas de la personne elle-même, par exemple un fichier acheté ou une liste transmise par un partenaire, l'obligation demeure. L'information doit intervenir dans un délai raisonnable et, au plus tard, lors du premier contact. Vous devez alors préciser la source des données.
Informer à deux niveaux
Tout dire à l'endroit de la collecte rendrait le parcours illisible. La méthode retenue par la CNIL consiste à superposer deux couches.
| Niveau | Contenu | Emplacement |
|---|---|---|
| Mention courte | Qui traite les données, pour quel objectif, la durée ou le critère de conservation, le lien vers le détail. | Sous le formulaire, à l'écran de création de compte, au pied d'un bulletin de participation. |
| Information complète | Objectifs, bases légales, destinataires, transferts, durées, droits, contact, réclamation auprès de la CNIL. | La politique de confidentialité, accessible depuis toutes les pages. |
Les moments à ne pas oublier
- Formulaire de contact ou de devis : une phrase sous les champs suffit, comme le détaille notre article sur le formulaire de contact et le RGPD.
- Création d'un compte ou d'un espace client : l'information figure à l'inscription, pas seulement dans les conditions générales.
- Candidature : la page de recrutement indique ce que devient le dossier et combien de temps il est conservé.
- Appel téléphonique enregistré : la personne est prévenue au début de l'appel, et non par un message inaudible.
- Caméra ou badge : un panneau visible à l'entrée, complété par une note interne.
- Fichier de prospection acquis auprès d'un tiers : information dès le premier message, avec la source.
- Changement d'usage : si vous décidez d'utiliser des données pour un nouvel objectif, prévenez avant de commencer.
Écrire une mention que les gens lisent
Le règlement exige des termes clairs et simples. Cela se traduit par des choix d'écriture concrets : parlez au lecteur, citez les outils par leur nom, remplacez les formules creuses par des faits.
| À éviter | À préférer |
|---|---|
| « Vos données sont traitées conformément à la réglementation en vigueur. » | « Nous utilisons votre e-mail uniquement pour répondre à votre message. » |
| « Des tiers peuvent être destinataires. » | « Votre message est stocké chez notre hébergeur et lu par notre service commercial. » |
| « Vous disposez de droits sur vos données. » | « Écrivez à cette adresse pour consulter, corriger ou faire supprimer vos informations. » |
Comment vérifier votre site
- Listez tous les points où des données arrivent : formulaires, comptes, prise de rendez-vous, dépôt de fichier, chat.
- Pour chacun, vérifiez qu'une mention courte est visible avant validation.
- Contrôlez que le lien vers la politique de confidentialité fonctionne et mène à la bonne section.
- Relisez la page en vous demandant si un visiteur non spécialiste la comprendrait.
- Datez la page et reprenez ce contrôle à chaque nouvel outil.
Selon les cas, des exceptions existent, notamment lorsque l'information se révèle impossible à fournir : reportez-vous aux ressources de la CNIL. NexSecure met ces mentions en place sur vos parcours dans le cadre de son offre de conformité RGPD.
Questions fréquentes
Une case « J'accepte les conditions générales » suffit-elle à informer ?
Non. L'information doit être visible sans avoir à ouvrir un document long. Une mention courte près du champ, avec un lien vers le détail, répond mieux à l'exigence de clarté et d'accessibilité.
Faut-il informer si les données viennent d'un partenaire ?
Oui. L'obligation subsiste lorsque les données n'ont pas été collectées auprès de la personne. Vous devez alors indiquer en plus d'où proviennent ces informations, au plus tard lors du premier contact.
Que faire si l'on change l'usage des données ?
Prévenez les personnes avant d'utiliser leurs données pour un nouvel objectif, et vérifiez que ce nouvel usage repose sur une base légale valable. Mettez à jour la politique de confidentialité en même temps.
Un panneau suffit-il pour une caméra ?
Un affichage visible à l'entrée est nécessaire, mais il constitue seulement le premier niveau d'information. Une note complète doit préciser les objectifs, les destinataires des images et les modalités d'exercice des droits.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet