En bref. L’article 14 du RGPD impose d’informer sur la collecte indirecte de données personnelles et leur source, avec des délais et des exceptions d’interprétation stricte.

Définition : L’article 14 du RGPD impose d’informer les personnes lorsque des données personnelles les concernant sont obtenues auprès d’une autre source, y compris sur des sites web accessibles au public, sous réserve des exceptions prévues. Une donnée personnelle est une information relative à une personne identifiée ou identifiable.

Points clés

L’article 14(2)(f) du RGPD, reproduit par la CNIL, impose d’indiquer la source des données personnelles et, le cas échéant, si elle est accessible au public.
Les lignes directrices sur la transparence du groupe de travail « Article 29 » expliquent que l’information doit normalement intervenir dans un délai raisonnable après la collecte, sans dépasser un mois ; une prise de contact ou une transmission des données plus précoce peut raccourcir ce délai.
Dans ses recommandations de janvier 2026 pour le développement de l’IA, la CNIL présente le moissonnage du web (web scraping), le téléchargement de fichiers et la réutilisation de jeux de données existants comme des collectes indirectes soumises aux obligations d’information.

Quelles informations fournir lors de la collecte ?

Le responsable du traitement est la personne ou l’organisme qui détermine pourquoi et comment les données personnelles sont traitées, selon l’article 4 du RGPD. Un exploitant de site web qui collecte des données personnelles pour ses propres finalités doit donc évaluer ses obligations d’information de responsable du traitement.

L’article 14 exige l’identité et les coordonnées du responsable du traitement, les informations relatives à son représentant et à son délégué à la protection des données le cas échéant, les finalités et la base juridique du traitement, ainsi que les catégories de données personnelles. La notice d’information couvre également les destinataires et les modalités applicables aux transferts internationaux.

L’information comprend aussi les durées de conservation ou leurs critères de détermination, les droits applicables et les voies de réclamation, les intérêts légitimes lorsqu’ils sont invoqués, le retrait du consentement lorsqu’il est pertinent, ainsi que la source des données. Lorsque les dispositions prévues en matière de prise de décision automatisée s’appliquent, l’information porte sur la logique sous-jacente, l’importance et les conséquences envisagées.

Ces références précisent les obligations relatives à la source et aux délais :

RGPD, article 14(2)(f) : source et accessibilité au public
RGPD, article 14(3)(a) : délai raisonnable, au plus un mois
RGPD, article 14(3)(b) : première communication avec la personne
RGPD, article 14(3)(c) : première transmission à un autre destinataire

Quand et comment informer les personnes ?

Les lignes directrices sur la transparence, aux paragraphes 27 et 28, précisent que le délai maximal d’un mois s’applique même si le premier contact ou la première transmission intervient plus tard. Si l’un intervient plus tôt, l’information doit être fournie au plus tard à ce moment-là. Le délai court à compter de l’obtention des données.

Selon l’article 12, l’information doit être concise, compréhensible, aisément accessible et formulée en termes clairs. L’article 14(4) impose d’informer sur toute nouvelle finalité avant de poursuivre le traitement à cette fin, sous réserve des exceptions prévues par cet article.

Quand une notice publique peut-elle remplacer l’information individuelle ?

L’article 14(5)(b) couvre les situations où la fourniture de l’information se révèle impossible, exige des efforts disproportionnés ou risque de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement. Il exige des mesures appropriées de protection des droits et intérêts des personnes, dont la mise à disposition publique de l’information.

Les lignes directrices sur la transparence, au paragraphe 64, demandent de documenter la mise en balance de l’effort nécessaire pour informer les personnes et des conséquences pour elles d’une absence d’information. Elles précisent que les exceptions doivent, en règle générale, être interprétées strictement.

Pour le développement de l’IA, les recommandations de la CNIL exigent une évaluation au cas par cas tenant compte des moyens de contact, de l’atteinte à la vie privée et des mesures de protection. Le volume de données ne suffit pas à lui seul. Dans son exemple d’un responsable du traitement qui réutilise les données de ses clients et conserve leurs adresses électroniques, la CNIL demande une information individuelle par courriel.

Les autres exceptions de l’article 14 couvrent les informations déjà connues de la personne, l’obtention ou la transmission expressément prévue par un texte de droit remplissant les conditions requises, et le secret professionnel réglementé. L’accessibilité au public seule ne figure pas dans cette liste.

Termes associés

Questions fréquentes

La publication d’une politique de confidentialité suffit-elle à remplir l’obligation ?

Les recommandations de la CNIL indiquent que l’information doit normalement être portée individuellement à la connaissance des personnes. Si vous invoquez des efforts disproportionnés, documentez l’évaluation et publiez les informations requises en prévoyant des mesures de protection appropriées.

Le site d’origine peut-il informer les personnes pour l’organisme qui collecte leurs données ?

Ces mêmes recommandations de la CNIL encouragent cette démarche si l’éditeur d’origine reste en contact avec les personnes. Si vous réutilisez des données, assurez-vous que l’information couvre votre propre traitement, y compris sa finalité et l’identité du responsable du traitement.

Les personnes peuvent-elles demander la source des données collectées ?

L’article 15(1)(g) vous donne accès aux informations disponibles sur la source lorsque les données personnelles proviennent d’ailleurs.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

RGPD : transparence lors de la collecte sur le web