REP27 · Rédaction de l'avis de confidentialité
Articles 13(1)(a) et 14(1)(a) GDPR
La désignation est la moitié privée de l'article 27 ; l'avis est la moitié publique. Un mandat signé que personne ne peut trouver ne donne à un sujet de données au Portugal personne à qui écrire, ce qui était tout le but de l'article. Cette page indique où le texte doit figurer, ce qu'il doit contenir, et les cinq formulations que nous trouvons le plus souvent et qui ne fonctionnent pas.
Le nom enregistré de la société agissant en tant que représentant — pas une marque, pas un département, pas un pays.
Une adresse postale dans un État membre. C'est ce qui rend le représentant joignable par une autorité.
Une adresse e-mail ou un formulaire web qu'un sujet de données peut utiliser sans compte, dans une langue qu'il peut utiliser.
Dire que l'entité agit en tant que représentant en vertu de l'article 27 lève tout doute sur sa relation avec vous.
La quatrième est la plus intéressante : les entreprises qui ont réellement un avocat en Europe supposent que cela suffit. À moins que le cabinet n'ait accepté le mandat par écrit et soit nommé comme représentant, cela ne fonctionne pas.
Structurez-la comme identité, adresse, moyen, rôle — dans cet ordre, afin qu'un lecteur qui parcourt trouve d'abord le nom.
| Élément | Contenu d'exemple |
|---|---|
| Entité | Le nom de la société enregistrée de votre représentant |
| Adresse | Rue, code postal, ville et État membre |
| Contact | Une adresse e-mail dédiée ou un formulaire web |
| Rôle | Agissant en tant que représentant en vertu de l'article 27 du GDPR |
| Placement | Dans la section identité, sous les titres des articles 13 et 14 |
De tout ce que l'article 27 exige, l'avis est le seul élément visible sans vous contacter. Une autorité de surveillance effectuant un contrôle, un acheteur menant une diligence raisonnable et un sujet de données cherchant un endroit pour se plaindre commencent tous au même endroit et parviennent à une conclusion en quelques secondes.
C'est aussi la chose la moins coûteuse à corriger. Le mandat prend un jour ; publier le texte prend des minutes, et tant qu'il n'est pas publié, la désignation ne fonctionne pas du tout.
Environ une entreprise sur cinq qui utilise notre vérification gratuite a une désignation valide et un avis de confidentialité qui ne la mentionne pas. Elles ont payé pour l'obligation et ont laissé le public à moitié inachevé.
La raison est généralement organisationnelle plutôt que légale. La désignation est achetée par le service juridique ou par la personne en charge de la conformité ; l'avis de confidentialité est édité par le marketing ou par celui qui possède le site web. Personne ne transmet le texte, et le certificat va dans un dossier où aucun sujet de données ne le trouvera jamais.
De l'extérieur, cette entreprise est indistinguable de celle qui n'a jamais désigné personne. Une autorité effectuant un contrôle constate la même absence. Un acheteur effectuant une due diligence arrive à la même conclusion. Un sujet de données cherchant un endroit où écrire ne trouve rien et se plaint à sa propre autorité, ce qui est précisément la séquence que l'Article 27 vise à prévenir.
C'est pourquoi nous générons le texte au moment où la désignation est émise, dans chaque langue que le site publie, plutôt que de le laisser comme un exercice. Le mandat ne fonctionne pas tant que le texte n'est pas en ligne.
Dans la section identifiant qui vous êtes, à côté de l'identité et des coordonnées du responsable. L'Article 13(1)(a) l'exige lorsque les données sont collectées auprès de la personne ; l'Article 14(1)(a) exige la même chose lorsque les données ont été obtenues ailleurs. Les deux formulations doivent être présentes.
Non. L'exigence est l'identité et les coordonnées : un nom d'entité juridique, une adresse postale dans un État membre, et un moyen de le contacter. "Notre représentant dans l'UE" sans un nom ne satisfait aucun article.
Les informations doivent être fournies dans un langage clair et simple aux personnes concernées. En pratique, cela signifie chaque langue dans laquelle vous offrez votre service — le même ensemble dans lequel votre avis de confidentialité existe déjà.
Non. La bannière traite du consentement ; les informations d'identité doivent figurer dans l'avis lui-même, accessibles avant ou au moment où les données sont collectées.
Pas pour les Articles 13 et 14, qui concernent l'information des sujets de données, pas des contreparties. Un accord de traitement n'est pas publié et les sujets de données ne le voient jamais.
Il n'est pas nécessaire de citer l'article, mais le dire élimine l'ambiguïté pour les autorités et les acheteurs qui lisent rapidement. Nous générons un texte qui nomme l'entité, l'adresse et le rôle.
L'avis doit être mis à jour le même jour où la nouvelle désignation prend effet. D'ici là, il pointe vers une entité qui n'agit plus pour vous.
Nous lisons votre avis de confidentialité public et vous disons en dix secondes si un représentant est nommé, et si le texte est valide.
Effectuez la vérification gratuite