À savoir : cette page donne des repères généraux et ne constitue pas un conseil juridique. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données (DPO), d'un juriste ou de la CNIL.
1. Une information publique n'est pas une information libre de règles
Le fait qu'une information soit accessible en ligne ne dispense pas du Règlement général sur la protection des données (RGPD) lorsqu'elle concerne une personne identifiable : nom, photo, adresse e-mail, fonction associée à un nom, avis nominatif, etc. Dès que votre veille collecte, stocke ou diffuse ce type d'information, vous réalisez un traitement de données personnelles.
2. Distinguer les types de veille
- Veille sur des sujets, des marchés, des technologies : en général sans données personnelles (articles de presse, études, textes réglementaires). Peu de contraintes.
- Veille concurrentielle sur des entreprises : les données de personnes morales ne relèvent pas du RGPD, mais les noms de dirigeants ou de salariés, si.
- Veille sur des personnes (influenceurs, candidats, clients, experts) : le RGPD s'applique pleinement.
3. Les principes à respecter
- Finalité déterminée : savoir pourquoi on collecte et ne pas réutiliser pour autre chose.
- Base légale : le plus souvent l'intérêt légitime de l'organisation, à documenter et à mettre en balance avec les droits des personnes.
- Minimisation : ne conserver que ce qui est nécessaire.
- Durée de conservation limitée : fixer une durée, puis supprimer ou anonymiser.
- Information des personnes : dans certains cas, il faut les informer de la collecte, même indirecte.
- Sécurité : accès restreint, comptes nominatifs, outils hébergés avec des garanties suffisantes.
4. Les bons réflexes en pratique
- Tenez à jour un registre des traitements qui mentionne votre veille si elle implique des données personnelles.
- Évitez de collecter les données sensibles (santé, opinions politiques, appartenance syndicale, etc.), qui bénéficient d'une protection renforcée.
- Respectez les conditions d'utilisation des sites et des plateformes : le moissonnage automatique peut être interdit.
- Choisissez des outils dont vous savez où sont hébergées les données (voir notre panorama des outils).
- Prévoyez une procédure pour répondre aux demandes d'accès ou de suppression des personnes concernées.
5. Pour aller plus loin
La CNIL publie sur son site des guides pratiques et des modèles de registre. Intégrer ces vérifications dès la conception de votre dispositif évite de devoir tout reprendre plus tard. Pour la partie méthode, consultez notre guide : mettre en place une veille en 5 étapes.