La notice d'information est le seul document RGPD que chaque visiteur du site d'une entreprise de logiciels voit, et celui le plus souvent rédigé comme une prose sur l'attention portée à la vie privée. Le règlement ne demande pas de prose. L'article 13 liste les informations qu'un responsable fournit lorsque les données à caractère personnel sont collectées auprès de la personne concernée, au moment où elles sont obtenues ; l'article 14 liste les informations fournies lorsque les données n'ont pas été obtenues auprès de la personne concernée, dans le mois. Les deux sont des listes d'informations, chacune avec son propre point, et une notice est complète quand chaque information que le traitement de l'entreprise engage a une réponse. Cet article lit les deux listes au regard du catalogue que StandardOS tient du règlement et de la page gratuite qui rédige la notice à partir des réponses, une saisie par information.

L'article 13 : douze informations au point de collecte

L'article 13, paragraphe 1, nomme six informations fournies dans tous les cas : a) l'identité et les coordonnées du responsable et, le cas échéant, de son représentant ; b) les coordonnées du délégué à la protection des données, le cas échéant ; c) les finalités du traitement et la base juridique de chacune ; d) lorsque la base est l'intérêt légitime de l'article 6, paragraphe 1, point f), les intérêts poursuivis ; e) les destinataires ou catégories de destinataires ; f) le cas échéant, le fait que le responsable a l'intention de transférer les données vers un pays tiers ou une organisation internationale, avec la décision d'adéquation ou les garanties et l'endroit où en obtenir une copie. L'article 13, paragraphe 2, nomme six informations complémentaires nécessaires pour garantir un traitement équitable et transparent : a) la durée de conservation ou les critères utilisés pour la déterminer ; b) l'existence des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité ; c) lorsque la base est le consentement, le droit de le retirer ; d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ; e) si la fourniture des données a un caractère réglementaire ou contractuel, ou conditionne la conclusion d'un contrat, et les conséquences de la non-fourniture ; f) l'existence d'une prise de décision automatisée, y compris un profilage, avec des informations utiles sur la logique et les conséquences. L'article 13, paragraphe 3, ajoute qu'une finalité ultérieure est annoncée avant que ce traitement ultérieur ne commence, et l'article 13, paragraphe 4, lève l'obligation lorsque la personne concernée dispose déjà des informations.

L'article 14 : treize informations, un mois, quatre exceptions

L'article 14, paragraphe 1, nomme six informations : le responsable et son représentant, le délégué à la protection des données, les finalités et la base juridique, les catégories de données à caractère personnel concernées, les destinataires, et les transferts avec leurs garanties ; l'article 14, paragraphe 2, en nomme sept complémentaires : la durée de conservation, les intérêts légitimes lorsqu'ils sont la base, les droits, le droit de retirer le consentement, le droit de réclamation, la source des données et si elles proviennent de sources accessibles au public, et la prise de décision automatisée. Le moment est l'article 14, paragraphe 3 : dans un délai raisonnable après l'obtention des données et au plus tard dans un mois, ou au moment de la première communication avec la personne concernée si les données sont utilisées pour communiquer avec elle, ou lorsque les données sont communiquées pour la première fois à un autre destinataire si une communication est envisagée, selon ce qui arrive en premier. L'article 14, paragraphe 5, lève l'obligation dans quatre cas : la personne concernée dispose déjà des informations ; les fournir se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour l'archivage, la recherche ou les statistiques, avec les mesures que le responsable prend à la place ; l'obtention ou la communication des données est expressément prévue par le droit avec des mesures appropriées ; ou les données sont soumises au secret professionnel. Une entreprise de logiciels qui enrichit une inscription avec des données achetées à un fournisseur, reçoit la liste d'utilisateurs d'un client ou extrait un profil public relève de l'article 14 pour ces données, et l'exception « dispose déjà des informations » ne s'applique pas à une personne qui n'a jamais entendu parler de l'entreprise.

Sept des informations sont le registre des traitements

Une entreprise de logiciels qui a rédigé son registre des traitements a déjà répondu à sept des informations : le nom et les coordonnées du responsable (article 30, paragraphe 1, point a)), les finalités (30, paragraphe 1, point b)), les catégories de données à caractère personnel (30, paragraphe 1, point c)), les destinataires (30, paragraphe 1, point d)), les transferts et leurs garanties (30, paragraphe 1, point e)), les durées de conservation (30, paragraphe 1, point f)), et le représentant et le délégué lorsqu'ils existent (30, paragraphe 1, point a)). La base juridique par finalité est la colonne que le registre n'a pas et que la notice a, et c'est celle qui manque le plus souvent : une notice qui nomme « l'intérêt légitime » pour tout sans nommer l'intérêt n'a pas répondu à l'article 13, paragraphe 1, point d). Les droits sont les mêmes dans chaque notice et se lisent aux articles 15 à 22 ; la réclamation est l'article 77 ; le retrait du consentement est l'article 7, paragraphe 3. L'ordre qui fonctionne est le registre d'abord et la notice copiée à partir de lui, ce que la page gratuite est faite pour faire : chaque information telle que le règlement la rédige, une réponse sous chacune, et la notice rédigée avec l'information pour titre, de sorte que rien ne soit affirmé par le silence et qu'une information sans réponse soit écrite comme non indiquée.

Forme, langage et moment

L'article 12, paragraphe 1, fixe la forme : concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, par écrit ou par d'autres moyens y compris électroniques. Une notice de quinze pages de prose échoue au premier mot ; une notice qui est une liste des douze informations avec une phrase sous chacune les réussit toutes. Le moment est le point de collecte : le formulaire d'inscription renvoie à la notice avant que le bouton ne soit pressé, le bandeau cookies nomme les finalités avant le consentement, la page de candidature nomme la durée de conservation avant l'envoi. Pour les données de l'article 14, le moment est le premier message à la personne ou le mois, selon ce qui arrive en premier, si bien que les données du fournisseur d'enrichissement sont annoncées dans le premier courriel qui les utilise. L'outil des transferts fournit la réponse à l'information sur les transferts pour chaque destinataire hors de l'EEE, et la détermination des obligations dit si l'entreprise a un représentant ou un délégué à nommer.

Quoi en faire

Rédigez le registre, puis répondez aux informations à partir de lui, puis placez la notice là où les données sont collectées. Pour chaque formulaire du site et chaque écran du produit qui collecte des données à caractère personnel, nommez l'information de la notice qui le couvre et vérifiez qu'elle est accessible de là. Pour chaque source de données à caractère personnel qui n'est pas la personne, nommez le premier message ou le mois et envoyez la notice de l'article 14 d'ici là. Conservez la version de la notice qu'une personne a vue le jour où elle l'a vue, parce qu'un changement de finalité fait renaître l'obligation et que l'autorité demande quelle version s'appliquait. StandardOS rédige la notice à partir du registre et conserve les versions ; la page gratuite rédige la première.