Information par niveaux : comment l’appliquer pour respecter le RGPD

L’information par niveaux en protection des données permet de mieux respecter les droits des personnes au regard de la réglementation applicable.

L’information est organisée en deux niveaux : un premier niveau avec les informations essentielles et un second, plus détaillé, reliés entre eux pour faciliter l’accès des personnes concernées à l’ensemble des informations.

Pour être bien comprises, les rubriques doivent être rédigées dans un langage simple, clair et concis.

Dans cet article, vous apprendrez comment appliquer l’information par niveaux pour respecter le Règlement général sur la protection des données (RGPD).

Qu’est-ce que l’information par niveaux en protection des données ?

L’information par niveaux en protection des données est une approche recommandée par les lignes directrices européennes sur la transparence et par la CNIL pour respecter les obligations d’information du RGPD (articles 12 à 14). L’information destinée aux personnes sur le traitement de leurs données est présentée en 2 niveaux reliés entre eux :

1. Premier niveau. Il contient les informations essentielles, structurées et synthétiques.
2. Second niveau. Il comprend des informations beaucoup plus détaillées.

Cette organisation poursuit deux objectifs :

• Faciliter la conception des procédures et des formulaires pour le responsable du traitement.
• Permettre aux personnes concernées d’accéder rapidement et simplement aux informations les plus importantes.

Le RGPD, qui a remplacé la directive 95/46/CE, insiste davantage sur les informations à fournir aux personnes dont on collecte les données.

Il précise en détail quelles informations doivent être communiquées et comment, toujours de manière claire, concise, compréhensible et dans un langage simple.

Ces informations peuvent être présentées sous différents formats : papier, voie électronique (e-mail, site web, application, etc.) ou téléphone.

Premier niveau : les informations essentielles

Le premier niveau d’information présente l’essentiel du traitement. Il comprend généralement les rubriques suivantes :

1. Responsable du traitement. Indiquez la raison sociale ou la personne physique responsable de la collecte et du traitement des données.
2. Finalité de la collecte. Précisez pourquoi vous demandez ces données et à quoi elles vous servent.
3. Base juridique. Indiquez sur quelle base légale prévue par le RGPD repose la collecte :

• L’exécution d’un contrat.
• Le respect d’une obligation légale.
• La mission d’intérêt public.
• L’exercice de l’autorité publique.
• L’intérêt légitime du responsable du traitement ou d’un tiers.
• Le consentement de la personne concernée.

Si le traitement repose sur plusieurs bases, indiquez la principale.

• Destinataires. Précisez si les données sont communiquées à des tiers et, le cas échéant, lesquels.
• Droits. Les droits d’accès, de rectification et d’effacement, entre autres, doivent apparaître explicitement, avec les moyens de les exercer.
• Informations complémentaires. Facilitez l’accès au second niveau d’information, par exemple au moyen d’un lien. L’autorité espagnole de protection des données (AEPD) recommande par exemple de présenter cette information sous forme de tableau, pour que tout soit visible d’un seul coup d’œil.

Second niveau : les informations complémentaires

Le second niveau développe les informations du premier niveau et les complète avec toutes les données nécessaires, en reprenant les mêmes rubriques.

Lorsque les données ne proviennent pas directement de la personne concernée, ajoutez une rubrique « source » qui indique l’origine des données traitées, en les organisant par catégories.

Conseils pour rédiger le second niveau d’information

Avant tout, utilisez un langage simple et évitez les ambiguïtés et le jargon juridique, qui peuvent dérouter les non-spécialistes.

Voici quelques conseils complémentaires :

• Développez les informations du premier niveau en détaillant les droits des personnes sur leurs données. Par exemple, n’identifiez pas seulement le responsable du traitement : ajoutez ses coordonnées, l’existence éventuelle d’un représentant, etc.
• Gardez à l’esprit que la longueur et les sous-parties de chaque rubrique dépendent de la complexité de votre activité.
• Vous pouvez ajouter une rubrique sur vos bonnes pratiques et votre philosophie : le RGPD ne l’exige pas, mais elle renforce votre engagement en faveur de la transparence et inspire confiance.

Les deux niveaux doivent être reliés pour que chacun puisse accéder aux informations nécessaires à la protection de ses droits au titre du RGPD.

Comme vous l’avez vu, l’information par niveaux contribue au respect de la confidentialité numérique des personnes, tout comme nos formules de proctoring chez Smowltech.

Grâce à nos solutions, vous disposez d’environnements sûrs pour vos épreuves et évaluations à distance, dans le respect du cadre légal. Demandez dès aujourd’hui une démo gratuite.