Cet article fournit une information générale. Voir les Mentions légales & avertissement.
En bref. À chaque collecte de données personnelles, les articles 13 et 14 du RGPD vous imposent d'indiquer qui vous êtes, pourquoi vous utilisez les données et sur quelle base légale, qui les reçoit, si elles quittent l'EEE, combien de temps vous les gardez et quels droits ont les personnes. L'article 13 vise les données collectées auprès de la personne. L'article 14 vise celles obtenues ailleurs et ajoute deux informations : les catégories de données et leur source. L'article 12 fixe la forme : une information concise, claire et facile à trouver. Cette année, 25 autorités européennes de protection des données contrôlent ces obligations dans une action coordonnée. Les décisions récentes de la CNIL font ressortir trois manquements récurrents : des finalités sans base légale indiquée, des durées de conservation absentes et des informations périmées sur les transferts.
- Article 13 (collecte directe) : 13 informations obligatoires à fournir au moment de la collecte, de l'identité du responsable et des bases légales par finalité aux durées de conservation et aux droits.
- Article 14 (collecte indirecte) : ajoute les catégories de données personnelles (art. 14, § 1, d) et leur source (art. 14, § 2, f), dans un délai d'un mois au plus ou plus tôt au premier contact ou à la première communication.
- Article 12 (forme et accessibilité) : information à deux niveaux (mention courte au point de collecte + accès en un clic à la politique complète) et trace écrite et datée.
- Contrôle coordonné 2026 : 25 autorités de contrôle vérifient le respect des articles 12 à 14 du RGPD, dont les manquements relèvent du plafond d'amende de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (art. 83, § 5, b).
Les politiques de confidentialité sous contrôle en 2026
Le 19 mars 2026, le Comité européen de la protection des données (CEPD) a lancé sa cinquième action coordonnée de contrôle (en anglais). Vingt-cinq autorités de contrôle évaluent la manière dont les responsables de traitement respectent les articles 12, 13 et 14 du RGPD. En France, la CNIL coordonne ces travaux avec le CEPD et vérifie que l'information remise aux personnes est transparente et complète. Les autorités mettront leurs constats en commun, puis le CEPD publiera un rapport assorti de recommandations.
L'enjeu financier relève du plafond le plus élevé. Selon l'article 83, paragraphe 5, point b), du RGPD, un manquement aux articles 12 à 14 peut coûter jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les autorités adaptent l'amende à l'entreprise : dans une affaire récente, la CNIL a infligé 40 000 euros à une petite société en tenant compte de sa situation financière et de sa taille.
La checklist de l'article 13
L'article 13 s'applique lorsque vous collectez les données auprès de la personne : formulaire en ligne, contrat, candidature, création de compte. Vous fournissez l'information au moment de la collecte.
| # | Votre politique doit indiquer | RGPD | Ce qu'il faut vérifier |
|---|---|---|---|
| 1 | Votre identité et vos coordonnées, ainsi que celles de votre représentant dans l'UE le cas échéant | Art. 13, § 1, a) | La dénomination de la personne morale à côté de la marque, et un canal de contact où quelqu'un répond |
| 2 | Les coordonnées de votre délégué à la protection des données, si vous en avez un | Art. 13, § 1, b) | Un canal dédié ; vous n'êtes pas tenu de nommer le DPO |
| 3 | Chaque finalité du traitement et sa base légale | Art. 13, § 1, c) | Une base légale par finalité, indiquée en regard. La CNIL a sanctionné une politique qui ne reliait pas les deux |
| 4 | Les intérêts légitimes poursuivis, lorsque vous vous fondez dessus | Art. 13, § 1, d) | Vous nommez l'intérêt pour chaque finalité fondée sur l'art. 6, § 1, f) |
| 5 | Les destinataires ou catégories de destinataires | Art. 13, § 1, e) | La liste correspond à vos sous-traitants et partenaires réels, plateformes publicitaires et de mesure d'audience comprises |
| 6 | Les transferts hors EEE et les garanties appliquées | Art. 13, § 1, f) | Vous citez un mécanisme en vigueur et indiquez comment obtenir une copie des garanties |
| 7 | La durée de conservation, ou les critères qui la déterminent | Art. 13, § 2, a) | Une durée ou des critères concrets pour chaque finalité. « Le temps nécessaire » ne donne au lecteur rien à vérifier |
| 8 | Les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et à la portabilité | Art. 13, § 2, b) | Les six droits, et la marche à suivre pour les exercer |
| 9 | Le droit de retirer son consentement à tout moment | Art. 13, § 2, c) | Mentionné pour chaque finalité fondée sur le consentement |
| 10 | Le droit d'introduire une réclamation auprès d'une autorité de contrôle | Art. 13, § 2, d) | Nommez l'autorité compétente, comme la CNIL en France |
| 11 | Le caractère réglementaire ou contractuel de la fourniture des données, et les conséquences d'un refus | Art. 13, § 2, e) | Vos formulaires indiquent quels champs sont obligatoires, et pourquoi |
| 12 | Toute prise de décision automatisée, y compris le profilage, avec des informations utiles sur la logique et les conséquences | Art. 13, § 2, f) | À vérifier dès qu'un outil d'IA ou de scoring prend des décisions concernant des personnes |
| 13 | Toute nouvelle finalité, avant de réutiliser les données pour celle-ci | Art. 13, § 3 | Vous informez les personnes avant le début de la réutilisation |
Données venant d'autres sources : l'article 14
L'article 14 s'applique lorsque les données vous parviennent d'un partenaire, d'un fichier acheté, d'une société du groupe ou d'une source publique. Il reprend l'essentiel de l'article 13 et ajoute deux informations :
- les catégories de données personnelles concernées (art. 14, § 1, d) ;
- la source des données, en précisant si elles proviennent de sources accessibles au public (art. 14, § 2, f).
Vous disposez de plus de temps, dans certaines limites. L'article 14, § 3, vous accorde un délai raisonnable d'un mois au maximum, ramené à votre premier contact avec la personne ou à la première communication des données à un autre destinataire. L'article 14, § 5, prévoit des exceptions étroites, par exemple lorsque l'information se révèle impossible ou exigerait des efforts disproportionnés.
L'article 12 : la forme compte
L'article 12, § 1, du RGPD exige une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Les lignes directrices sur la transparence du groupe de travail « article 29 », reprises par le CEPD, recommandent en ligne une information à plusieurs niveaux : l'essentiel au point de collecte, et un lien vers le texte complet. Concrètement, pour vous :
- Gardez la politique à une étape. Dans une décision publiée en janvier 2026, la CNIL a reproché à une société d'imposer à ses visiteurs un parcours à travers plusieurs documents pour comprendre l'usage de leurs données.
- Ajoutez une mention courte à chaque point de collecte. Formulaires, candidatures et pages d'inscription reprennent l'essentiel et renvoient vers la politique complète. La fiche pratique de la CNIL « Informer les personnes » propose des modèles de mentions.
- Conservez une trace écrite et datée. Vous devez pouvoir montrer quelle information les personnes ont reçue, et quand.
Deux décisions de la CNIL
3,5 millions d'euros, 30 décembre 2025 (délibération SAN-2025-017). Une société transmettait les coordonnées des membres de son programme de fidélité à un réseau social pour de la publicité ciblée. Sur l'information, la CNIL a relevé que le site ne reliait pas les finalités à leurs bases légales. La politique omettait la finalité publicitaire et la durée de conservation des données des adhérents, et invoquait encore le « Privacy Shield », que la Cour de justice a invalidé en 2020.
40 000 euros, 19 décembre 2024. Une petite société du secteur immobilier surveillait les ordinateurs de ses salariés. Ses documents écrits informaient insuffisamment le personnel sur le logiciel de surveillance. La société invoquait une information orale ; faute de trace écrite, la CNIL a estimé qu'elle ne pouvait pas démontrer que l'information était complète.
Dans les deux affaires, le manquement à l'information s'ajoutait à d'autres griefs, et la CNIL l'a établi à partir des propres documents de l'entreprise.
Vérifiez votre politique en six étapes
- Listez vos traitements. Clients, prospects, visiteurs du site, salariés et candidats doivent tous être couverts ; salariés et candidats appellent en général leur propre notice.
- Associez à chaque finalité une base légale et une durée de conservation. Une ligne par finalité. Une case vide signale une information manquante dans votre politique.
- Comparez destinataires et transferts avec votre liste de prestataires. Incluez cloud, messagerie, mesure d'audience, paie et outils d'IA.
- Relisez la section sur les droits. Six droits, retrait du consentement le cas échéant, droit de réclamation.
- Testez l'accès à la politique. À chaque point de collecte, et à une étape de n'importe quelle page de votre site.
- Datez et versionnez chaque politique. Conservez les versions antérieures pour montrer ce qui s'appliquait à une date donnée.
Pour le reste de vos obligations RGPD, voir notre checklist de conformité RGPD pour les PME. Si vos équipes utilisent l'IA générative sur des données personnelles, lisez ChatGPT, Copilot et le RGPD.
Une exemption à l'étude
Le Conseil de l'UE a arrêté sa position sur l'Omnibus numérique le 21 octobre 2026. Il propose un nouvel article 13, § 5, qui lèverait l'obligation d'information lorsque les personnes savent déjà qui vous êtes et pourquoi vous traitez leurs données, et que le traitement n'est pas à risque élevé. L'exemple retenu par le Conseil est celui d'un artisan et de ses clients. Les traitements complexes, les grands volumes de données, les données sensibles et le domaine de l'emploi restent en dehors. Ce texte est une proposition et n'oblige personne aujourd'hui : voir ce que l'Omnibus numérique changerait pour les PME.
Themio et votre politique de confidentialité
Themio prépare le lancement de ses modules RGPD et AI Act. Vous téléversez votre politique de confidentialité et vos politiques associées. Themio les met en regard des articles du RGPD et signale les informations requises que vos documents omettent. Chaque constat cite la clause de votre document et l'article concerné, et vous pouvez exporter les résultats en PDF avec un plan d'action priorisé.
Themio n'utilise pas vos documents pour entraîner des modèles et les traite dans l'UE. Il aide à préparer la conformité et ne fournit pas de conseil juridique ; pour l'interprétation, les cas complexes ou les questions propres à un pays, faites appel à un avocat ou à votre DPO.
Questions fréquentes
Sources
- Règlement (UE) 2016/679 (RGPD), articles 12, 13, 14 et 83, EUR-Lex
- CEPD, CEF 2026: EDPB launches coordinated enforcement action on transparency and information obligations under the GDPR, 19 mars 2026 (en anglais)
- CNIL, Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives, 3 avril 2026
- CNIL, Informer les personnes, fiche pratique
- CNIL, Transmission de données à un réseau social à des fins publicitaires : sanction de 3,5 millions d'euros, 22 janvier 2026 ; délibération SAN-2025-017
- CNIL, Surveillance excessive des salariés : sanction de 40 000 euros, 4 février 2025
- Groupe de travail « article 29 », lignes directrices sur la transparence au sens du règlement 2016/679 (WP260 rev.01), reprises par le CEPD (en anglais)
- Conseil de l'UE, mandat de négociation avec le Parlement européen, ST 14756/26, 22 octobre 2026 (en anglais)
Cet article fournit une information générale, à jour à la date indiquée, et ne constitue pas un conseil juridique. Pour toute décision concernant votre organisation, consultez un avocat ou votre DPO. Pour signaler une erreur, contactez l'équipe Themio.