L'article 14 ou l'obligation d'informer les personnes

Quand une entreprise collecte vos données directement, elle vous informe au moment de la collecte : c'est l'article 13 du RGPD. Quand elle obtient vos données auprès d'un tiers — un partenaire, une source publique, un agrégateur — c'est l'article 14 qui s'applique. Pour tout acteur qui construit un index de données professionnelles, cet article n'est pas un détail de conformité : c'est le test de sérieux le plus discriminant du secteur.

Ce que l'article 14 impose

L'article 14 exige de fournir aux personnes concernées, alors même qu'on ne les a jamais rencontrées, une information complète :

• l'identité et les coordonnées du responsable du traitement ;
• les finalités et la base légale — par exemple l'intérêt légitime de l'article 6.1.f, qui doit alors être explicité ;
• les catégories de données traitées ;
• la source des données, y compris lorsqu'elles proviennent de sources accessibles au public (article 14.2.f) ;
• les destinataires ou catégories de destinataires ;
• la durée de conservation ;
• les droits de la personne, dont le droit d'opposition de l'article 21.

La mention de la source est le point que beaucoup d'acteurs préfèrent éluder. Elle est pourtant explicite dans le texte, et c'est elle qui rend la chaîne de données auditable.

Le délai : un mois, pas « quand c'est pratique »

L'article 14.3 fixe trois échéances, et c'est la plus proche qui s'applique :

• dans un délai raisonnable après l'obtention des données, au plus tard un mois ;
• au plus tard lors de la première communication avec la personne, si les données servent à la contacter ;
• au plus tard lors de la première divulgation à un autre destinataire, s'il est envisagé de transmettre les données.

Pour un index qui livre des données à des clients, ce troisième cas est structurant : l'information doit précéder la première livraison, pas la suivre.

Les exceptions de l'article 14.5 : encadrées, pas extensibles

L'article 14.5.b prévoit une exception lorsque l'information se révèle impossible ou exigerait des efforts disproportionnés. C'est l'exception la plus invoquée du secteur, et la plus souvent invoquée à tort.

Trois points la circonscrivent. D'abord, la disproportion se démontre, elle ne se décrète pas : il faut documenter pourquoi l'information individuelle est matériellement hors de portée, et cette démonstration s'affaiblit considérablement dès lors qu'on détient une adresse email professionnelle valide. Ensuite, l'exception ne supprime pas l'obligation : elle impose des mesures appropriées de substitution, dont la mise à disposition publique de l'information. Enfin, des autorités de contrôle européennes ont déjà sanctionné des courtiers en données qui s'abritaient derrière cette exception sans en remplir les conditions. S'en prévaloir par confort est une stratégie à durée limitée.

Comment un index sérieux s'organise

L'article 14 n'est pas inapplicable à l'échelle d'un index ; il demande de l'ingénierie.

• Une notification individuelle est envoyée lorsque l'index dispose d'un point de contact professionnel, avec l'information complète et un lien d'opposition en un clic — dans le délai d'un mois suivant l'ingestion et avant toute livraison à un client.
• Un registre des notifications trace qui a été informé, quand, et sur quelle version de la politique d'information : sans registre, pas de preuve, et sans preuve, pas de conformité opposable.
• L'information est redéclenchée en cas de traitement ultérieur pour une autre finalité (article 14.4) : on ne recycle pas silencieusement des données vers un autre usage.
• La politique publique décrit les catégories de sources et de partenaires, pour couvrir proprement les cas résiduels où la notification individuelle est réellement impossible.

À l'échelle d'un index d'environ 123 000 profils, ce dispositif est un flux automatisé, pas un projet héroïque. C'est d'ailleurs le meilleur indice de bonne foi : un acteur qui automatise ses livraisons de données mais prétend ne pas pouvoir automatiser l'information des personnes soutient une position difficile.

L'information comme fondation, pas comme friction

Un index de données professionnelles vit ou meurt par sa légitimité. L'article 14 est la pièce qui relie tout le reste : sans information, la base légale de l'article 6.1.f vacille, et le droit d'opposition de l'article 21 reste théorique puisque les personnes ignorent jusqu'à l'existence du traitement. C'est pourquoi, chez sourcing.sh, la notification fait partie du pipeline d'ingestion au même titre que la déduplication : une donnée n'est considérée comme livrable qu'une fois l'obligation d'information traitée. Ce n'est pas un supplément d'âme, c'est une condition de fonctionnement.