Vente à emporter (AI)
- Les obligations d’information selon les articles 13 et 14 du RGPD permettent une information échelonnée (layered approach) ; en cas de contact téléphonique, des informations de base avec renvoi à des contenus plus détaillés suffisent.
- Le simple renvoi à un site web ne suffit pas ; les informations de base doivent être communiquées activement et le responsable est l’entreprise, pas les collaborateurs individuels.
Le commissaire à la protection des données du Land de Basse-Saxe a FAQ sur les obligations d’information conformément aux articles 13 et 14 du RGPD.
Les points suivants, entre autres, sont remarquables :
- Pour l’indication du responsable, il semble nécessaire de mentionner non seulement le nom de l’entreprise, mais aussi le nom et l’adresse du directeur. Cela n’est pas couvert par le libellé des articles 13 et 14 du RGPD. Il est clair que le responsable est l’entreprise et non l’employé individuel.
- En ce qui concerne l’indication des finalités du traitement, il suffit par exemple de faire référence à des “finalités publicitaires” ; il ne semble pas nécessaire d’être plus spécifique.
- En ce qui concerne la durée de stockage, il peut par exemple être fait référence au “délai de conservation à des fins fiscales”.
- Le droit de recours doit mentionner le nom de l’autorité concrètement compétente.
- En matière d’information, le responsable peut procéder par étapes (“layered approach”). En cas de contact personnel, il suffit au responsable d’attirer l’attention de la personne concernée sur un affichage, par exemple. Pour des contacts téléphoniques il suffit de cliquer sur le responsables, le Objectifs de traitement et, à titre d’exemple, sur le Droit d’accès pour le reste, on peut par exemple se référer à une Site web de l’entreprise. Dans le cas d’une simple Prise de rendez-vous au téléphone, il n’est pas du tout nécessaire d’informer. Lors de la communication par Lettre une fiche d’information peut être jointe. En cas de communication par Courrier électronique une “brève présentation des informations de base” suffit ; sinon, il est possible de renvoyer à un site web.
- En revanche, le simple renvoi à un site web ne suffit pas.. Les informations de base doivent être communiquées (apparemment dans le sens d’une déclaration nécessitant une réception).
- L’échange de Cartes de visite est expliquée.
- Pas d’obligation d’information existe vis-à-vis des personnes dont les données ont été collectées avant l’entrée en vigueur du RGPD. Il en ira de même avec la nouvelle LPD.
- Il suffit de Information en français à transmettre, même si le public visé est manifestement de langue étrangère ; dans ce cas, une information correspondante en langue étrangère est seulement recommandée. Exception : une boutique en ligne qui s’adresse à des personnes dans d’autres pays européens.
- Lors de prises de photos à l’occasion de fêtes, etc., il faut également fournir au moins les informations de base.5