Mis à jour le 21 Déc 2022
Les mentions obligatoires RGPD constituent un élément essentiel de votre conformité au RGPD. Il est donc nécessaire de les rédiger avec soin. Retrouvez les conseils de notre cabinet d’avocats expert en droit des nouvelles technologies afin de bien rédiger vos mentions obligatoires RGPD.
Quelles sont les mentions obligatoires RGPD ?
Les mentions obligatoires RGPD sont les informations que vous devez obligatoirement donner à vos utilisateurs lors de la collecte de leurs données. Vous devez fournir ces informations qu’il s’agisse d’une collecte de données directement auprès de la personne ou d’une collecte indirecte, par exemple lorsque les données sont récupérées auprès de partenaires. L’irrespect de mentions obligatoires RGPD vous expose à des lourdes sanctions de la part de la Cnil, notamment des amendes jusqu’à 20 millions d’euros.
Certaines mentions obligatoires RGPD sont des mentions génériques mais beaucoup doivent être rédigées en fonction des particularités de votre traitement de données. Les mentions obligatoires RGPD reflètent en effet la réflexion que vous avez eu concernant votre traitement de données pour vous mettre en conformité avec le RGPD. Si vous n’êtes toujours pas conforme, Deshoulières Avocats peut vous y aider grâce à une méthodologie en 20 étapes.
Par ailleurs, en cas de site internet professionnel il faut toujours indiquer en plus les renseignements propres à la mention RGPD site internet permettant de vous identifier et d’identifier l’hébergeur du site.
Mention RGPD générique
Vous devez indiquer les droits RGPD dont disposent vos utilisateurs. Ces droits RGPD ne dépendent pas de votre traitement de données : vous n’avez donc aucune réflexion à mener quant à cette mention obligatoire RGPD.
Vous devez simplement informer la personne de l’existence de ses droits, notamment le droit de demander au responsable du traitement l‘accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données.
En outre, vous devez informer l’utilisateur de la possibilité de déposer une plainte auprès de la Cnil.
RGPD : mentions obligatoires qui dépendent de votre traitement de données
Tout d’abord, vous devez indiquer l’identité et les coordonnées de votre entreprise. Le cas échéant, pensez à indiquer les renseignements supplémentaires requis pour la mention RGPD site internet.
Les autres mentions obligatoires RGPD sont le reflet des informations que vous avez identifiées lors de la mise en place de votre registre des activités de traitement. En effet, ce document doit obligatoirement indiquer certains renseignements. Or les mentions obligatoires RGPD portent sur ces mêmes informations. Vous pouvez donc reprendre les éléments suivants :
- Les finalités du traitement, c’est-à-dire les raisons pour lesquelles vous collectez les données.
- Les catégories de destinataires de ces données, c’est-à-dire les personnes à qui les données seront communiquées (y compris les sous-traitants).
- Le cas échéant le transfert de ces données vers un pays tiers à l’Union Européenne.
- La durée de conservation des données ou bien les critères qui permettent de la déterminer.
- L’identité et les coordonnées de votre Délégué à la protection des données (DPO) si vous en avez désigné un.
Enfin, vous devez préciser la base légale de votre traitement de donnée. C’est ce qui autorise légalement ce traitement, par exemple le consentement de la personne concernée, ou bien l’exécution d’un contrat. Vous devez aussi préciser si les réponses sont facultatives ou obligatoires ainsi que les conséquences d’un éventuel refus de fournir les données en question.
Attention ! Dans certains cas particuliers, des mentions obligations RGPD supplémentaires sont requises. Il s’agit notamment du cas où le traitement met en œuvre des décisions individuelles sans intervention humaine (par exemple à des fins de profilage). Il s’agit de cas complexes et il est très fortement recommandé de faire appel à un professionnel. Deshoulières Avocats, cabinet expert en protection des données personnelles, peut vous aider.
Comment rédiger vos mentions obligatoires RGPD ?
Une fois que vous disposez des informations nécessaires, vous devez rédiger vos mentions en respectant le principe de transparence. Autrement dit, chaque mention RGPD doit fournir les informations requises de manière concise, compréhensible et accessible :
- L’utilisateur ne doit pas avoir à chercher l’information.
- Vous devez employer un vocabulaire simple et adapté au public visé.
- Il faut présenter les informations de manière concise et éviter les blocs de texte.
Le respect de cette obligation de transparence implique de devoir prioriser l’information. Pour cela, la Cnil recommande de favoriser une approche en plusieurs niveaux. Sur un site internet par exemple, vous pouvez créer une page d’information avec des menus dépliants et des liens qui renvoient vers une information détaillée.
Cette étape peut être difficile à mettre en place. En effet, prioriser l’information n’implique pas de ne pas transmettre toutes les informations. Toutes les mentions obligatoires RGPD doivent être accessibles. Pour vous aider, vous pouvez faire appel à un professionnel en protection des données personnelles. Deshoulières Avocats rempli ce rôle pour de nombreux clients. Nous vous accompagnons à chaque étape de votre mise en conformité. De plus, nous vous délivrons une attestation RGPD opposable à la Cnil.
