Chapitre 8.1 — L’obligation d’information (art. 13/14)

⏱️ TL;DR — Informer la personne n’est pas une politesse : c’est une obligation et le tout premier de ses droits. Deux articles la régissent selon d’où viennent les données. Article 13 : tu collectes les données directement auprès de la personne (elle remplit un formulaire, crée un compte) → tu l’informes au moment de la collecte. Article 14 : tu obtiens les données par un autre canal (un fichier transmis par une école, une liste achetée, un annuaire) → tu l’informes dans un délai raisonnable après les avoir obtenues, et tu dois lui préciser d’où elles viennent. Dans les deux cas, la liste des mentions est à peu près la même — identité du responsable, DPO, finalités, base légale, destinataires, transferts hors UE, durée de conservation, droits, réclamation CNIL. L’art. 14 ajoute la source. Savoir laquelle des deux s’applique, c’est savoir quand et comment parler à la personne.

🎯 Objectifs

• Distinguer la collecte directe (art. 13) de la collecte indirecte (art. 14).
• Réciter la liste des mentions obligatoires et repérer celles qu’un texte oublie.
• Savoir quand informer dans chaque cas — et pourquoi le timing compte.
• Connaître la mention spécifique à la collecte indirecte : la source des données.

Pourquoi l’information passe avant tout le reste

Reprends la Partie 6 : accès, rectification, effacement, opposition, portabilité. Tous ces droits supposent une chose — que la personne sache qu’un traitement existe. On ne demande pas l’effacement de données dont on ignore l’existence. L’information est donc le droit qui active les autres, et le pilier concret du principe de transparence (art. 5.1.a) : la personne doit pouvoir comprendre qui fait quoi de ses données, pourquoi, et comment reprendre la main.

Le RGPD ne laisse pas ça au bon vouloir. Il fixe quelles informations donner (une liste), quand les donner, et comment (langage clair — c’est le chapitre 8.4). Le tout se joue à deux articles jumeaux, qui ne diffèrent que sur un point : l’origine des données.

Art. 13 vs art. 14 : la seule vraie question, c’est « d’où viennent les données ? »

• Article 13 — collecte directe. La personne te fournit elle-même ses données : elle s’inscrit, remplit un formulaire, crée un compte, saisit un moyen de paiement, envoie un message au support. Tu l’informes au moment où tu obtiens les données.
• Article 14 — collecte indirecte. Tu obtiens les données sans que la personne te les ait données directement : une école t’envoie le fichier de ses élèves, un partenaire te transmet une liste, tu enrichis un profil depuis une source tierce, tu récupères des données dans un annuaire public. La personne ne sait pas forcément que tu détiens ses données — d’où deux exigences en plus : l’informer dans un délai raisonnable et lui dire d’où viennent ces données.

⚠️ Piège — Croire que l’art. 14 est un cas rare « pour les data brokers ». Faux, et c’est le piège classique de l’EdTech : dès qu’une école ou un organisme de formation te transmet le fichier de ses apprenants, tu traites des données que ces personnes ne t’ont pas données — tu es en collecte indirecte. Il faut alors soit informer directement chaque apprenant, soit s’assurer que l’établissement l’a fait pour toi (et le documenter). Ignorer ce point, c’est laisser des centaines de personnes dans l’ignorance d’un traitement qui les concerne.

La liste des mentions obligatoires

C’est le cœur de l’obligation. Voici ce qu’une information conforme doit contenir. La plupart des mentions sont communes aux deux articles ; certaines sont propres à la collecte indirecte (art. 14).

Deux points à retenir de ce tableau. En collecte directe, la personne voit bien les champs qu’elle remplit — inutile de lui lister les catégories de données, mais utile de lui dire ce qui est obligatoire (l’astérisque, voir 8.3). En collecte indirecte, c’est l’inverse : elle ne sait pas ce que tu détiens ni d’où ça vient — donc tu dois lui préciser les catégories et la source.

// Modéliser les mentions comme une structure typée aide à n'en oublier aucune.
// Ce n'est pas « du droit dans le code » : c'est une checklist exécutable.
type MentionsInformation = {
  responsable: { nom: string; contact: string }
  dpo?: string                       // coordonnées si un DPO existe
  finalites: { finalite: string; baseLegale: BaseLegale }[]
  destinataires: string[]            // dont les sous-traitants
  transfertsHorsUE?: { pays: string; garantie: string }[]
  dureeConservation: string          // ou les critères de calcul
  droits: string[]                   // accès, rectification, effacement, ...
  retraitConsentement?: boolean      // si base = consentement
  reclamationCNIL: true              // toujours mentionné
  decisionAutomatisee?: string       // art. 22, le cas échéant
  // Spécifique art. 14 (collecte indirecte) :
  categoriesDonnees?: string[]
  source?: string                    // d'où viennent les données
}
 
type BaseLegale =
  | "consentement" | "contrat" | "obligation_legale"
  | "interet_vital" | "mission_interet_public" | "interet_legitime"

💡 Réflexe — Une mention obligatoire n’est pas remplie si l’utilisateur ne peut pas y accéder facilement. « C’est écrit dans la politique de 4 000 mots, section 7 » ne suffit pas quand l’information doit être immédiate (voir 8.3). Le bon réflexe : servir l’essentiel au point de collecte, et renvoyer vers la politique complète pour le détail. Information en couches, pas mur de texte.

Quand informer ? Le timing selon l’article

Le moment n’est pas un détail : une information servie trop tard est aussi défaillante qu’une information absente.

• Collecte directe (art. 13) : au moment où tu obtiens les données. Concrètement, l’information (ou le lien vers elle) doit être présente sur le formulaire lui-même, avant que la personne ne valide. Pas après l’inscription, pas dans l’e-mail de bienvenue : pendant.
• Collecte indirecte (art. 14) : dans un délai raisonnable après avoir obtenu les données, au plus tard un mois ; ou, si les données servent à communiquer avec la personne, au plus tard lors de la première communication ; ou, si elles doivent être transmises à un tiers, au plus tard lors de cette première divulgation. Le premier de ces événements déclenche l’obligation.

L’art. 14 prévoit quelques limites à cette obligation — notamment quand la personne dispose déjà de l’information, ou quand l’informer exigerait un effort disproportionné (par exemple pour de l’archivage ou de la recherche à grande échelle). Ce sont des exceptions encadrées, pas une porte de sortie confortable : dans le doute, on informe, et on documente pourquoi si on ne le fait pas.

🧭 Sur FormaCampus — Les deux régimes coexistent au sein de la même plateforme. Quand un stagiaire adulte crée son compte et remplit le formulaire d’inscription, c’est de la collecte directe : art. 13, information affichée sur le formulaire. Quand une école téléverse le fichier de ses élèves pour ouvrir leurs accès, ces élèves (et leurs parents) n’ont rien saisi chez FormaCampus : c’est de la collecte indirecte, art. 14. FormaCampus doit alors s’assurer que ces personnes sont informées — soit directement, soit via l’établissement, avec la source clairement indiquée (« vos données nous ont été transmises par votre établissement dans le cadre de… »). Ce partage des rôles se règle aussi dans le contrat de sous-traitance (Partie 12).

🔒 Côté personne concernée — Pour un parent, la différence est très concrète. En collecte directe, il voit ce qu’il remplit et peut refuser sur-le-champ. En collecte indirecte, il apprend souvent après coup qu’une plateforme détient les données de son enfant. C’est précisément pour ça que l’art. 14 impose la mention de la source : sans elle, la personne ne peut ni comprendre comment on l’a « trouvée », ni exercer utilement son droit d’opposition ou d’effacement. L’information, ici, c’est ce qui empêche le sentiment d’être surveillé à son insu.

📚 Le texte — L’information en cas de collecte directe est à l’article 13 du RGPD ; en cas de collecte indirecte, à l’article 14, qui ajoute l’obligation d’indiquer les catégories de données et leur source, et fixe le délai (raisonnable, au plus tard un mois). Le tout s’appuie sur le principe de transparence (art. 5.1.a) et sur les modalités de l’art. 12 (information « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples »). Le droit de réclamation se porte devant la CNIL.

✏️ Exercices

Exercice 1 — Article 13 ou 14 ? Pour chaque situation, dis quel article s’applique : (a) un adulte remplit le formulaire d’inscription à une formation en ligne ; (b) un lycée envoie à FormaCampus un fichier CSV de ses 400 élèves pour créer leurs comptes ; (c) FormaCampus enrichit sa base de prospects en récupérant des e-mails professionnels sur un annuaire public ; (d) un visiteur écrit au chat de support.

Exercice 2 — Qu’est-ce qui manque ? Un dev présente ce texte d’information sur son formulaire : « Nous collectons votre e-mail pour vous envoyer notre newsletter. Vous pouvez vous désinscrire à tout moment. » Cite au moins quatre mentions obligatoires absentes.

Exercice 3 — La source, mention piège. FormaCampus reçoit d’un OPCO (financeur) une liste de salariés à inscrire à une formation. Un salarié demande : « Comment avez-vous eu mes coordonnées ? » Qu’aurait dû prévoir FormaCampus, et sur quel fondement ?

🧠 Quiz de révision

Chapitre suivant : La politique de confidentialité — comment transformer cette liste de mentions en un document structuré, fidèle à tes vrais traitements, et maintenu à jour.