L’article 14 du RGPD oblige un organisme à informer toute personne dont il a obtenu les données auprès d’un tiers, par exemple un fichier acheté, un partenaire ou une source publique. Il doit lui indiquer notamment l’origine des données, dans un délai raisonnable qui ne dépasse pas un mois.
Si ces données servent à contacter la personne ou sont transmises à un autre destinataire, l’information doit arriver au plus tard lors de cette première communication. Cet article détaille le champ de la règle, la liste des mentions, le calcul du délai, les exceptions et la frontière avec l’article 13.
A lire aussi : Zupimage et confidentialité : quelles données sont vraiment visibles ?
Ce que couvre l’article 14 du RGPD : la collecte indirecte
L’article 14 porte sur les données personnelles non collectées auprès de la personne concernée. Dès que l’information ne vient pas directement de l’individu (formulaire, inscription, achat), c’est cet article qui s’applique.
Les cas typiques sont nombreux : un fichier de prospects acheté ou loué, l’enrichissement d’un CRM avec des données externes, des coordonnées transmises par un partenaire commercial, ou des informations relevées sur des sources accessibles au public.
A lire en complément : Conformité RGPD : Qui est concerné par le règlement sur la protection des données ?
Le texte vise tous les organismes soumis au règlement, quelle que soit leur taille, dès lors qu’ils traitent des données de personnes physiques.
Les informations obligatoires à fournir
Le paragraphe 1 de l’article 14 impose un premier socle, auquel le paragraphe 2 ajoute des mentions destinées à garantir un traitement équitable. Au total, la personne doit recevoir les éléments suivants.
- L’identité et les coordonnées du responsable de traitement, de son représentant éventuel et du délégué à la protection des données.
- Les finalités du traitement et sa base juridique, ainsi que les catégories de données concernées.
- Les destinataires des données et, le cas échéant, les transferts vers un pays tiers.
- La durée de conservation, ou les critères qui la déterminent, et les intérêts légitimes invoqués lorsque le traitement repose dessus.
- Les droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, le droit de retirer son consentement et celui de saisir l’autorité de contrôle.
- La source des données, y compris, le cas échéant, le fait qu’elles proviennent de sources accessibles au public.
- L’existence d’une décision automatisée, profilage compris.
Ces mentions incombent au responsable de traitement, dont l’identité et les rôles se définissent selon la décision sur les finalités. La mention de la source est la spécificité de cet article : la personne doit savoir d’où l’organisme tient ses données, ce qu’elle n’a aucun moyen de deviner dans une collecte indirecte.
Pour détailler les fondements d’une démarche globale, consultez les grands principes de conformité qui encadrent aussi ces mentions.
Le délai pour informer les personnes concernées
Le paragraphe 3 fixe trois échéances. L’information est donnée dans un délai raisonnable, un mois au maximum après l’obtention des données, en tenant compte des circonstances de leur traitement.
Deux événements peuvent raccourcir ce délai. Si les données servent à communiquer avec la personne, l’information intervient au plus tard lors du premier contact. Si une communication à un autre destinataire est envisagée, elle intervient au plus tard lors de la première transmission.
Prenons une campagne de prospection par e-mail à partir d’un fichier loué : le premier message doit déjà contenir les mentions de l’article 14, même si le mois n’est pas écoulé. Un traitement pour une nouvelle finalité impose aussi d’informer la personne avant de le démarrer (paragraphe 4).
Les exceptions à l’obligation d’information
Le paragraphe 5 prévoit quatre cas où l’obligation tombe. Ils s’interprètent strictement, et c’est à l’organisme de justifier qu’il en relève.
- La personne dispose déjà de ces informations.
- La fournir est impossible ou demanderait des efforts disproportionnés, notamment pour l’archivage dans l’intérêt public, la recherche ou les statistiques. L’organisme doit alors rendre les informations publiques et prévoir des garanties.
- Le droit de l’Union ou d’un État membre prévoit expressément l’obtention ou la communication des données, avec des mesures de protection adaptées.
- Les données doivent rester confidentielles en vertu d’une obligation de secret professionnel prévue par la loi.
Le simple coût d’un envoi massif ne suffit donc pas à parler d’efforts disproportionnés pour un fichier commercial.
Article 13 ou article 14 : comment savoir lequel s’applique
Le critère est l’origine des données. Si l’organisme les recueille directement auprès de la personne, l’article 13 s’applique et l’information est donnée au moment de la collecte. S’il les obtient d’un tiers, c’est l’article 14.
Un même organisme relève souvent des deux : un formulaire de contact suit l’article 13, tandis qu’un fichier acheté ou des coordonnées reprises d’un annuaire public suivent l’article 14. Les mentions sont proches, à ceci près que l’article 14 réclame la source des données et laisse un délai.
Ce que risque une entreprise qui n’informe pas
Le défaut d’information est une atteinte aux droits des personnes. L’article 83 paragraphe 5 prévoit pour ces violations une amende pouvant atteindre 20 000 000 euros ou 4 % du chiffre d’affaires mondial annuel pour une entreprise, le montant le plus élevé étant retenu.
La CNIL, autorité de contrôle en France, peut aussi contrôler un organisme, lui adresser des mises en demeure et prononcer des sanctions.
Le plus sûr est de rédiger un texte d’information type pour chaque source de données achetée ou reçue, puis de l’envoyer dès le premier contact. Vérifier la date d’obtention de chaque fichier évite de dépasser le mois autorisé.
