RGPD : de quelle manière satisfaire à l'obligation d'information des personnes dont on collecte les données à caractère personnel ?

Constat

L'obligation d’information existait déjà dans la loi Informatique et Libertés de 1978, elle est renforcée par le RGPD : l’information doit être aujourd’hui plus complète et plus précise. Ceci étant, elle est assouplie sur les modalités de fourniture et de présentation de cette information.

Réponse

Selon les articles 13 et 14 du règlement général sur la protection des données (RGPD), les mentions d’information obligatoires, anciennes et nouvelles, doivent être apposées sur tout document papier ou dématérialisé, dès l’instant où il y a une collecte directe ou indirecte de données à caractère personnel.

Les personnes doivent être informées :
- en cas de collecte directe de leurs données : lorsque les données sont recueillies directement auprès de la personne (dossier de candidature, formulaire de contact sur site internet, etc.). L’information se fait au moment du recueil des données ;
- en cas de collecte indirecte de leurs données : lorsque les données ne sont pas recueillies directement auprès des personnes (données récupérées auprès de partenaires, de sources accessibles au public ou d’autres personnes, etc.). L’information se fait dès que possible (notamment lors du premier contact avec la personne concernée) et, au plus tard, dans le délai d’un mois.

En cas de modification substantielle ou d'événement particulier (finalité nouvelle, nouveaux destinataires, changement dans les modalités d’exercice des droits, violation de données…), il faudra informer à nouveau la personne en conséquence, via les mentions d’information listées ci-dessous.

Comme auparavant, il est obligatoire de mentionner :
- l’identité et les coordonnées de votre agence ;
- la finalité du traitement ;
- le caractère obligatoire ou facultatif du recueil des données et conséquences pour la personne en cas de non-fourniture des données ;
- les destinataires des données ;
- la durée de conservation des données ou les critères permettant de la déterminer ;
- les droits des personnes concernées (opposition, accès, rectification, effacement, limitation, portabilité).
Le RGPD est venu rajouter certaines mentions obligatoires dont :
- les coordonnées du délégué à la protection des données de l’organisme ;
- la base juridique du traitement de données (consentement, texte, contrat, etc.) ;
- le droit d’introduire une réclamation (plainte) auprès de la Cnil.
Ces informations sont essentielles et doivent être accessibles facilement par tous. La Cnil autorise toutefois un organisme à renvoyer aux mentions d’information secondaires, comme les destinataires de ces données, via un autre lien internet.
 

Références : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD).