Vos obligations de transparence RGPD font l’objet, depuis le 19 mars 2026, d’un contrôle coordonné mené par 25 autorités européennes de protection des données. Le Comité européen de la protection des données (CEPD) a lancé ce jour-là son action coordonnée annuelle, le CEF 2026, consacrée aux articles 12, 13 et 14 du règlement. En France, la Commission nationale de l’informatique et des libertés (CNIL) en assure la coordination avec le CEPD.
Concrètement, une autorité peut vous écrire cette année. Elle vous demandera comment vous informez les personnes dont vous traitez les données. Relisez donc vos mentions avant de recevoir le questionnaire.
Le CEF 2026 en pratique : qui contrôle, comment et quand
Le CEF, pour Coordinated Enforcement Framework, sert d’abord à harmoniser les contrôles entre autorités nationales. Chaque année, le CEPD choisit un thème commun. Le sujet de 2026 a été retenu lors de sa séance plénière d’octobre 2025. Le CEPD inscrit cette action parmi les actions clés de son plan stratégique 2024-2027, afin de rationaliser l’application du RGPD et la coopération entre autorités.
Les thèmes précédents donnent d’ailleurs la mesure de l’exercice. D’abord l’usage des services cloud par le secteur public, ensuite la désignation et le rôle des délégués à la protection des données, puis le droit d’accès. Enfin, en 2025, le droit à l’effacement a fait l’objet du quatrième rapport, adopté en 2026.
Pour 2026, les autorités participantes contactent ainsi des responsables de traitement de différents secteurs. Selon les pays, la vérification prend la forme d’un questionnaire ou d’une enquête. Dans le second cas, l’autorité peut décider d’actions de suivi supplémentaires.
Les autorités ne choisissent pas toutes la même cible. Ainsi, l’autorité du Land de Brandebourg annonce, dans le titre du communiqué relayé par le CEPD, un contrôle centré sur les agences de placement de personnel. Le calendrier reste toutefois commun. Au second semestre 2026, les autorités mettent en commun leurs conclusions. Ensuite, elles soumettent un rapport consolidé au CEPD pour adoption. Ce rapport sert ensuite à un suivi ciblé, au niveau national comme au niveau européen.
Obligations de transparence RGPD : ce qu’exigent les articles 12, 13 et 14
L’article 12 fixe la manière d’informer. L’information doit en effet être concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Par exemple, une politique de confidentialité de douze pages, cachée en pied de page, échoue avant même d’être lue.
L’article 13 s’applique quand vous collectez les données auprès de la personne elle-même : formulaire, contrat, candidature, inscription. Dès la collecte, vous indiquez donc notamment votre identité, les coordonnées du DPO, les finalités, la base légale, les destinataires, la durée de conservation et les droits de la personne.
L’article 14 vise les données obtenues ailleurs : fichier transmis par un partenaire, liste achetée, données reçues d’un donneur d’ordre. Vous informez alors la personne dans un délai raisonnable, au plus tard dans le mois. De plus, vous lui indiquez la source des données. Sur le terrain, ce cas reste le plus souvent oublié.
Le contrôle des obligations de transparence RGPD porte donc sur la réalité de l’information. Les autorités regardent si la personne sait qui traite ses données, pour quoi faire, combien de temps et comment exercer ses droits. Une mention qui existe sans que personne ne la voie ne remplit pas l’obligation.
Préparer vos mentions d’information avant un questionnaire
Partez de votre registre. Chaque traitement inscrit doit correspondre à une information délivrée quelque part. Pour chaque ligne, notez où la personne reçoit l’information, sous quelle forme et à quel moment.
Ensuite, repérez les traitements relevant de l’article 14. En pratique, l’information manque surtout pour les fichiers de prospection achetés et les données transmises par un client ou un partenaire.
Relisez ensuite vos textes comme un usager pressé. Une phrase de quarante mots ou un renvoi vers des conditions générales ne passent pas le test de l’article 12. Par exemple, « vos données peuvent être utilisées pour améliorer nos services » ne dit rien à personne.
Pensez aussi aux supports oubliés : formulaires papier, accueil téléphonique, application mobile, courriels de recrutement, notes internes destinées aux salariés. Formez aussi les équipes qui collectent les données au guichet, au téléphone ou lors d’un recrutement : elles délivrent l’information au moment où la personne la reçoit. Pour la structure type d’une mention, notre article sur les mentions d’information RGPD des articles 13 et 14 détaille chaque rubrique.
Enfin, gardez la preuve. Le principe de responsabilité de l’article 5, paragraphe 2, du RGPD vous impose de démontrer votre conformité. Datez donc chaque version de vos mentions, conservez l’ancienne et notez la raison du changement. En cas de questionnaire, ce dossier répond à la moitié des questions. N’oubliez pas les coordonnées du délégué : la mention du DPO dans l’information fait partie des contrôles les plus simples à réussir.
Sources
La CNIL présente l’action coordonnée et son calendrier dans CEF 2026 : Le CEPD lance une action coordonnée concernant les obligations de transparence et d’information.
Le communiqué du CEPD, avec la liste des communiqués nationaux, s’intitule CEF 2026: EDPB launches coordinated enforcement action on transparency and information obligations under the GDPR.
Le texte des articles 5, 12, 13 et 14 figure dans le règlement (UE) 2016/679 sur EUR-Lex.
Questions fréquentes
Qu’est-ce que le CEF 2026 du CEPD ?
Le CEF 2026 désigne l’action coordonnée lancée le 19 mars 2026 par le Comité européen de la protection des données sur les obligations de transparence et d’information du RGPD.
Vingt-cinq autorités nationales y participent.
Quels articles du RGPD encadrent les obligations de transparence ?
Les obligations de transparence RGPD reposent sur les articles 12, 13 et 14 du règlement.
L’article 12 fixe la forme de l’information, l’article 13 vise les données collectées auprès de la personne et l’article 14 les données obtenues auprès d’un tiers.
Mon organisme peut-il recevoir un questionnaire de la CNIL dans le cadre du CEF 2026 ?
Oui, la CNIL participe à l’action et peut contacter des responsables de traitement de différents secteurs.
Elle choisit elle-même les organismes contactés. Préparez donc dès maintenant vos mentions, la liste des supports où elles apparaissent et la preuve datée de leurs mises à jour successives.
Dans quel délai informer une personne quand ses données viennent d’un tiers ?
L’article 14 du RGPD impose d’informer la personne dans un délai raisonnable, au plus tard un mois après l’obtention des données.
Le délai est plus court si vous la contactez ou communiquez ses données à un autre destinataire avant ce terme.
Une politique de confidentialité sur le site suffit-elle ?
Non, pas si la personne ne la voit pas au moment de la collecte.
L’information doit être accessible là où les données sont recueillies : formulaire, contrat, accueil, application.
