L'essentiel pour le DPO
La mention d'information est le document que tout le monde possède et que presque personne ne relit. En 2026, c'est le document que toutes les autorités européennes examineront en même temps. Si vous gérez un portefeuille de clients, c'est l'année pour toutes les relire, et pas en septembre.
Comment fonctionne l'action coordonnée
Depuis 2022, le CEPD choisit un thème par an et les autorités nationales le vérifient en parallèle : certaines envoient des questionnaires, d'autres ouvrent des contrôles formels, d'autres engagent des procédures. Les constats alimentent un rapport européen qui devient la référence interprétative des années suivantes. Les éditions précédentes ont porté sur le rôle du DPO, le droit d'accès et l'effacement. 2026, c'est la transparence.
Conséquence pratique : il n'est pas nécessaire d'être sous les projecteurs pour figurer dans l'échantillon. Les autorités retiennent des responsables de toutes tailles, et pour beaucoup la première nouvelle prend la forme d'un questionnaire assorti d'un délai.
Ce qu'elles regardent vraiment
L'art. 12 n'exige pas que la mention existe : il exige qu'elle soit concise, transparente, compréhensible, aisément accessible et formulée en termes clairs et simples. Cinq adjectifs, et chacun est un manquement possible. Une mention complète mais illisible viole l'art. 12 tout comme une mention incomplète viole l'art. 13.
L'art. 14 est le vrai point faible
Lorsque les données ne proviennent pas de la personne concernée mais d'une autre source - un fichier acheté, une base héritée d'une acquisition, un fournisseur qui les transmet - l'information reste due, doit être fournie dans le mois et doit indiquer D'OÙ viennent les données. En pratique, c'est l'obligation la plus négligée, parce que personne n'a de processus qui se déclenche quand les données entrent par un canal indirect.
Les questions à se poser pour chaque client
- La mention correspond-elle à ce que le client fait AUJOURD'HUI, ou décrit-elle l'entreprise d'il y a trois ans ?
- Les finalités et bases légales correspondent-elles à celles du registre de l'art. 30 ? Elles divergent plus souvent qu'on ne le croit, et l'autorité les compare.
- Lorsque les données viennent de tiers, existe-t-il une mention art. 14, et quelqu'un l'envoie-t-il réellement dans le mois ?
- Les durées de conservation sont-elles exprimées par un critère, ou par « le temps nécessaire », qui n'informe personne ?
- La mention est-elle accessible en moins de deux clics depuis le point de collecte ?
Que faire maintenant, concrètement
1) Inventoriez les mentions de tous vos clients avec la date de leur dernière révision : celles de plus de deux ans sont la file à traiter en premier. 2) Pour chaque client, croisez les finalités de la mention avec celles du registre de l'art. 30 et notez les écarts : c'est le premier contrôle de l'autorité, parce qu'il ne coûte rien. 3) Cherchez les flux indirects : fichiers, partenaires, acquisitions, fournisseurs qui transmettent des données. Chacun exige une mention art. 14 indiquant la source. 4) Inscrivez la révision au plan annuel avec une date, pas comme activité continue : les activités continues ne se font jamais.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
