Mentions d’information : les enjeux pour la PME
Chaque point de collecte en appelle une : formulaire de contact, dossier de candidature, contrat de travail, inscription à une newsletter. Selon la CNIL, il faut toujours indiquer l’identité et les coordonnées de l’organisme, les finalités, la base légale, les destinataires, la durée de conservation, les droits des personnes et le droit de réclamation auprès de la CNIL. L’article 13 ajoute, selon les cas, les transferts hors de l’Union ou l’existence d’une décision automatisée.
Le moment compte. Quand les données sont recueillies auprès de la personne, l’information se donne au moment de la collecte. Quand elles viennent d’ailleurs, comme un fichier de prospects ou un annuaire, l’article 14 du RGPD prévoit un délai raisonnable ne dépassant pas un mois, et au plus tard lors du premier contact si les données servent à communiquer avec la personne.
La forme est tout aussi encadrée : l’article 12 demande une information concise, transparente, compréhensible et aisément accessible, en termes clairs et simples. La CNIL recommande une approche par niveaux : un premier niveau court sous le formulaire (responsable, finalités, droits), puis un lien vers une notice complète, distincte des conditions générales. Notre réflexe : relire chaque mention comme le ferait la personne concernée, en moins de trente secondes. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Un fabricant de mobilier de bureau de 35 personnes revient d’un salon avec 260 cartes de visite saisies dans son CRM. Ces données n’ont pas été accompagnées d’une information complète. Il envoie dans les trois semaines un premier e-mail qui présente l’entreprise, l’usage prévu des coordonnées et un lien de désinscription, avec renvoi vers sa politique de confidentialité. 12 contacts se désinscrivent et sont retirés du fichier.
Questions fréquentes
Que doit contenir une mention d’information RGPD ?
L’identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation, les droits des personnes et la possibilité de saisir la CNIL, plus certains éléments selon les cas.
Quand informer des prospects dont on n’a pas collecté soi-même les données ?
Dans un délai raisonnable ne dépassant pas un mois, et au plus tard lors du premier contact avec la personne, selon l’article 14 du RGPD.
Une mention en bas de formulaire suffit-elle ?
Elle suffit comme premier niveau si elle donne les éléments essentiels et renvoie vers une information complète facile à trouver. Un pavé illisible sous le formulaire ne répond pas à l’exigence de clarté.
Faut-il informer ses salariés de l’usage de leurs données ?
Oui. L’obligation vaut pour toute collecte de données personnelles, y compris celles des salariés et des candidats.
Sources
- RGPD, chapitre III : droits de la personne concernée (articles 12 à 14), CNIL — consulté le 16 octobre 2026
- Conformité RGPD : comment informer les personnes et assurer la transparence ?, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.