L'année où les autorités lisent l'information : la CEF 2026 sur la transparence

La raison pour laquelle cette action est plus inconfortable que les précédentes n'a rien à voir avec la sévérité des autorités. Elle tient à ce que la transparence est la seule obligation du règlement qui s'évalue en lisant, du côté du lecteur. Un registre des traitements se juge sur la complétude de ses champs ; une mesure de sécurité se juge sur ce qu'elle empêche ; une information se juge sur le fait qu'une personne ordinaire, après l'avoir lue, sache ce qu'il advient de ses données. C'est une vérification qui n'exige aucune visite sur place : le texte est déjà public, et il l'est depuis des années.

Il vaut mieux garder les trois articles distincts, car ils sont cités ensemble et traités comme un seul. L'art. 12 porte sur la forme : des informations concises, transparentes, compréhensibles, aisément accessibles, en des termes clairs et simples. L'art. 13 porte sur le contenu lorsque les données sont collectées auprès de la personne. L'art. 14 porte sur le contenu lorsque les données vous parviennent de quelqu'un d'autre. En pratique, les deux premiers existent presque toujours sous une forme ou une autre ; le troisième, dans la grande majorité des cas, n'existe pas du tout.

• « Pendant le temps nécessaire aux finalités indiquées » n'est pas une durée de conservation : c'est la question reformulée en réponse. L'art. 13, par. 2, point a), demande la durée, ou les critères permettant de la déterminer.
• « Nos partenaires », « fournisseurs sélectionnés », « sociétés du groupe » ne sont pas des catégories de destinataires. Une catégorie se reconnaît à ce que le lecteur comprend de qui il s'agit.
• La base juridique doit être indiquée pour chaque finalité, et non une seule fois en bas pour toutes. Quand il y a cinq finalités et trois bases, l'appariement doit être lisible.
• Le transfert hors de l'Union doit être déclaré avec l'instrument qui le fonde, et avec l'indication de l'endroit où en obtenir copie.
• L'information de l'art. 14 doit être fournie dans un délai d'un mois à compter de l'obtention des données, ou lors de la première communication avec la personne concernée si elle est antérieure.

Comment se préparer, sans attendre le rapport. Le premier exercice consiste à lire sa propre information comme la lirait un client, c'est-à-dire une seule fois et à contrecœur. Le second consiste à la placer à côté du registre des traitements et à comparer ligne par ligne : finalités, bases, destinataires, durées, transferts. Si l'information déclare quatre finalités et que le registre en énumère neuf, l'une des deux est fausse, et peu importe laquelle : l'incohérence entre les deux documents est déjà le constat, car elle démontre que l'un des deux ne décrit pas la réalité.

Sur le questionnaire, s'il arrive, un avertissement de méthode. La tentation est de répondre en décrivant l'organisation telle qu'on la voudrait. C'est une erreur qui se paie deux fois : l'autorité compare les réponses aux documents, et la divergence entre ce que vous avez écrit dans le questionnaire et ce que contient le registre est un constat autonome, qui s'ajoute au premier. La réponse utile dit ce qui existe, ce qui manque et à quelle date ce sera comblé. La seconde partie n'est pas une faiblesse : l'art. 24 demande des mesures appropriées et tenues à jour, non une perfection déjà atteinte.

Une note sur le calendrier, car il détermine ce qu'il est raisonnable de faire maintenant. L'agrégation des résultats nationaux est prévue pour le second semestre 2026 et le rapport de synthèse suivra. L'attendre avant de bouger est le choix le moins sensé de tous : le rapport dira quels défauts les autorités ont trouvés dans des informations déjà publiées, donc aussi dans la vôtre. La relire avant coûte un après-midi ; la relire après un questionnaire coûte la même chose, avec une échéance au-dessus.