Comment rédiger une politique de confidentialité conforme ?

À quoi sert une politique de confidentialité ?

La politique de confidentialité, parfois appelée politique de protection des données ou charte de confidentialité, rassemble en un seul document l'ensemble des informations que les articles 13 et 14 du RGPD imposent de fournir aux personnes. Elle constitue le second niveau de l'information : chaque formulaire porte une mention courte, et la politique détaille le reste. Elle s'adresse à tous ceux dont l'organisme traite les données via son site ou ses services : visiteurs, clients, prospects, candidats. Les salariés reçoivent en général une notice distincte, adaptée aux traitements de ressources humaines.

Ce qu'elle doit contenir

Le contenu découle directement des articles 13 et 14. Une bonne pratique consiste à organiser la politique par traitement plutôt qu'en une suite de paragraphes juridiques, ce qui la rend plus lisible et plus fidèle au registre des traitements.

Exemple de rédaction d'un bloc

Un bloc peut tenir en quelques lignes, par exemple pour une demande de devis : finalité « répondre à votre demande de devis et assurer le suivi de la relation commerciale » ; base légale « mesures précontractuelles prises à votre demande » ; données « nom, coordonnées, description du projet » ; destinataires « notre équipe commerciale, notre hébergeur » ; durée « trois ans après notre dernier échange si aucun contrat n'est signé ». Ce format, éventuellement présenté sous forme de tableau, permet au lecteur de trouver immédiatement ce qui le concerne.

Les qualités attendues

L'article 12 exige une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Cela suppose d'éviter le jargon, de préférer des phrases courtes, de donner des exemples, d'utiliser des intertitres et des tableaux, et de rendre la page accessible depuis toutes les pages du site. Le CEPD recommande aussi d'adapter le langage au public : un service destiné aux adolescents ne s'exprime pas comme un logiciel professionnel.

Ne pas confondre avec les mentions légales et les CGU

Les mentions légales, imposées par la loi pour la confiance dans l'économie numérique, identifient l'éditeur du site, son directeur de publication et son hébergeur. Les conditions générales d'utilisation ou de vente fixent les règles contractuelles du service. La politique de confidentialité informe sur les données personnelles. Les trois documents peuvent figurer sur des pages distinctes ou sur une même page, à condition que chacun soit clairement identifié ; noyer la politique de confidentialité dans les conditions générales ne répond pas à l'exigence d'information claire et accessible.

Les erreurs les plus fréquentes

La CNIL relève régulièrement des politiques génériques qui ne correspondent pas aux traitements réels, des durées de conservation absentes ou imprécises, l'omission des transferts hors de l'Union liés aux outils utilisés, l'absence de mention du droit de saisir la CNIL ou des bases légales, et des politiques jamais mises à jour après l'ajout d'un nouvel outil. Autre écueil : affirmer qu'aucun cookie n'est utilisé alors que des contenus tiers en déposent. La politique doit être relue à chaque évolution du site et datée.

Un exemple concret

La page de confidentialité du présent site, accessible depuis le pied de page, applique cette méthode : elle décrit traitement par traitement le formulaire de contact, les journaux techniques du serveur et la mémorisation du choix en matière de cookies, avec leurs durées et leurs bases légales, sans traceur publicitaire ni de mesure d'audience à déclarer. Pour l'ensemble des obligations d'un site, voir le guide site internet et RGPD, et pour la rédaction des mentions courtes, le guide de l'information des personnes.

Une politique pour chaque public, ou une seule ?

Un organisme peut choisir de rédiger une politique de confidentialité unique, couvrant tous ses traitements, ou plusieurs politiques adaptées à chaque public : clients, prospects, visiteurs du site, candidats, fournisseurs. La politique unique a l'avantage de la simplicité, mais elle devient vite longue et difficile à lire. Les politiques par public sont plus claires pour les personnes concernées, qui ne lisent que ce qui les concerne, mais elles demandent plus de travail de mise à jour. Une solution intermédiaire consiste à structurer une politique unique en sections par public ou par traitement, avec un sommaire et des liens d'ancrage. Pour les salariés, une note d'information interne distincte est généralement préférable, car elle porte sur des traitements spécifiques et doit être communiquée individuellement.

La structure recommandée

Une politique de confidentialité claire suit généralement une structure en questions. Qui est responsable du traitement et comment le contacter ? Qui est le délégué à la protection des données ? Quelles données sont collectées et comment ? Pour quelles finalités et sur quelles bases légales ? Qui sont les destinataires ? Les données sont-elles transférées hors de l'Union ? Combien de temps sont-elles conservées ? Quels sont les droits des personnes et comment les exercer ? Comment introduire une réclamation auprès de la CNIL ? Comment sont gérés les cookies ? Quand la politique a-t-elle été mise à jour ? Cette organisation, adoptée par la plupart des grandes entreprises et recommandée par la CNIL, permet aux personnes de trouver rapidement l'information qu'elles cherchent.

Rédiger en langage clair

La politique de confidentialité doit être rédigée en termes clairs et simples. Cela suppose des phrases courtes, un vocabulaire courant, des exemples concrets et l'absence de formules juridiques obscures. Plutôt que « Les données à caractère personnel collectées font l'objet d'un traitement fondé sur l'intérêt légitime du responsable de traitement au sens de l'article 6.1.f du RGPD », il vaut mieux écrire : « Nous utilisons votre adresse pour vous envoyer notre catalogue papier, car nous avons un intérêt légitime à faire connaître nos produits à nos clients. Vous pouvez refuser à tout moment. » Les lignes directrices européennes sur la transparence condamnent les formulations vagues comme « Nous pouvons utiliser vos données pour améliorer nos services » ou « Vos données peuvent être partagées avec des partenaires », qui ne permettent pas de comprendre le traitement réel.

Les durées de conservation dans la politique

La politique de confidentialité doit indiquer, pour chaque finalité, la durée de conservation des données ou les critères utilisés pour la déterminer. Un tableau est souvent la présentation la plus lisible : il associe à chaque traitement, comme la gestion des commandes, la prospection, le recrutement ou les cookies, une durée précise et, le cas échéant, la durée d'archivage. Ces durées doivent correspondre à celles du registre des traitements et être effectivement appliquées. Une politique qui annonce une suppression au bout de trois ans alors que la base contient des données de dix ans constitue à la fois un manquement à la limitation de la conservation et une information inexacte.

La mise à jour et l'historique

La politique de confidentialité doit refléter les traitements réels à tout moment. Elle doit donc être mise à jour à chaque création ou modification d'un traitement, changement de prestataire, nouveau transfert hors de l'Union ou évolution des durées. La date de la dernière mise à jour est indiquée en tête ou en fin de document. Lorsque la modification est substantielle, par exemple une nouvelle finalité ou une transmission à de nouveaux destinataires, les personnes concernées doivent en être informées activement, par courriel ou par un message lors de leur prochaine connexion, et non simplement par la publication d'une nouvelle version. Conserver les versions successives permet de savoir quelle information était donnée à une date donnée, ce qui est utile en cas de contestation.

Politique de confidentialité et intelligence artificielle

De plus en plus d'organismes intègrent des outils d'intelligence artificielle dans leurs services : assistants conversationnels sur le site, tri automatique des demandes, aide à la rédaction des réponses, analyse des avis clients. La politique de confidentialité doit mentionner ces usages lorsqu'ils impliquent des données personnelles, en précisant la finalité, la base légale, le fournisseur de la solution, la localisation du traitement et la réutilisation éventuelle des données pour entraîner des modèles. Si un assistant conversationnel conserve les échanges, la durée de conservation doit être indiquée. Le règlement sur l'intelligence artificielle impose par ailleurs d'informer les personnes qu'elles interagissent avec un système d'IA, sauf si c'est évident, à partir d'août 2026 pour les obligations de transparence concernées.

Les politiques des petites structures

Une petite entreprise n'a pas besoin d'une politique de vingt pages. Un artisan avec un site vitrine, un formulaire de contact et un outil de mesure d'audience exempté peut présenter l'ensemble de l'information en une page courte, structurée en quelques sections : qui nous sommes, quelles données nous collectons et pourquoi, combien de temps nous les gardons, qui y a accès, quels sont vos droits et comment les exercer, comment nous gérons les cookies. L'important est que l'information soit exacte, complète au regard des articles 13 et 14, et adaptée aux traitements réellement mis en œuvre. Les générateurs automatiques de politiques, s'ils peuvent servir de point de départ, produisent souvent des textes génériques qui mentionnent des traitements inexistants et oublient les traitements réels.

Où placer la politique de confidentialité ?

La politique de confidentialité doit être aisément accessible. Sur un site internet, elle est accessible depuis toutes les pages, généralement par un lien en pied de page intitulé clairement, comme « Politique de confidentialité » ou « Données personnelles ». Elle est aussi accessible depuis chaque formulaire de collecte, par un lien dans la mention de premier niveau, et depuis le bandeau de consentement aux cookies. Dans une application mobile, elle est accessible depuis la fiche de l'application dans le magasin et depuis les paramètres. En boutique ou dans un établissement, une version papier ou un affichage renvoyant vers la version en ligne peut être proposé. Les lignes directrices européennes recommandent que l'information soit accessible en deux clics au maximum.

Les mentions spécifiques selon les traitements

Certains traitements appellent des mentions particulières dans la politique de confidentialité. Pour la prospection, il faut préciser le canal, la base légale retenue et le moyen de se désinscrire. Pour les transferts hors de l'Union, il faut indiquer les pays concernés et les garanties appliquées, comme une décision d'adéquation ou des clauses contractuelles types, avec le moyen d'en obtenir une copie. Pour le profilage et les décisions automatisées, il faut expliquer la logique sous-jacente et les conséquences pour la personne. Pour les données obtenues auprès de tiers, il faut indiquer la source. Pour l'enregistrement des appels ou la vidéosurveillance, une information spécifique sur place complète la politique. Pour les mineurs, une version adaptée à leur âge est recommandée lorsque le service leur est destiné.

Politique de confidentialité et conditions générales

La politique de confidentialité ne doit pas être intégrée aux conditions générales de vente ou d'utilisation, ni présentée comme un document que l'utilisateur doit « accepter ». L'information sur le traitement des données est une obligation unilatérale du responsable, qui ne crée pas de contrat ; faire cocher une case « J'accepte la politique de confidentialité » est inutile, et peut même créer une confusion avec le consentement. Lorsque le traitement repose sur le consentement, celui-ci doit être recueilli séparément, pour chaque finalité, et non par l'acceptation globale d'un document. Les conditions générales peuvent renvoyer à la politique de confidentialité, mais celle-ci doit rester un document autonome, facilement accessible.

Les politiques de confidentialité évaluées par la CNIL

Lors de ses contrôles, la CNIL examine systématiquement la politique de confidentialité et la confronte aux traitements réellement observés. Elle relève régulièrement des manquements : absence de durée de conservation, base légale non indiquée, intérêts légitimes non précisés, destinataires trop vagues, transferts non mentionnés, droits incomplets, absence de mention de la possibilité de saisir la CNIL. Dans sa sanction contre Google de 2019, elle a reproché une information éparpillée dans plusieurs documents, imposant jusqu'à cinq ou six actions pour accéder à l'information sur la publicité personnalisée. La qualité de la politique est donc un indicateur immédiat du sérieux d'un organisme, que les contrôleurs, mais aussi les clients et les partenaires, consultent en premier.

Vérifier sa politique en dix questions

Avant de publier ou de mettre à jour sa politique, quelques questions permettent de vérifier sa qualité. Le responsable et le moyen de le contacter sont-ils clairement indiqués ? Chaque traitement est-il décrit avec sa finalité et sa base légale ? Les intérêts légitimes sont-ils précisés ? Les durées sont-elles chiffrées ? Les destinataires sont-ils identifiables ? Les transferts sont-ils mentionnés avec leurs garanties ? Tous les droits sont-ils listés avec leur mode d'exercice ? La possibilité de saisir la CNIL est-elle indiquée ? Le texte est-il compréhensible par une personne sans formation juridique ? La date de mise à jour est-elle récente et le contenu cohérent avec le registre ? Une réponse négative à l'une de ces questions signale une correction à apporter.

Un exemple de section complète

Voici à quoi peut ressembler la section consacrée au formulaire de demande de devis d'une entreprise de services. « Lorsque vous demandez un devis, nous collectons votre nom, votre adresse électronique, votre numéro de téléphone et la description de votre projet. Ces informations nous servent à préparer et envoyer votre devis, puis à assurer le suivi de votre demande. Ce traitement repose sur les mesures précontractuelles prises à votre demande. Les données sont accessibles à notre équipe commerciale et hébergées par notre prestataire [nom], en France. Si le devis n'est pas suivi d'une commande, nous conservons vos données trois ans à compter de notre dernier échange, puis nous les supprimons. Vous pouvez à tout moment accéder à vos données, les faire rectifier ou effacer, ou vous opposer à leur utilisation, en écrivant à [adresse]. Vous pouvez aussi introduire une réclamation auprès de la CNIL. » En quelques lignes, toutes les informations essentielles sont données en termes clairs.

Le test du lecteur

Une politique de confidentialité réussie se reconnaît à un signe simple : un client qui la lit sait exactement ce que l'entreprise fait de ses données, et comment l'en empêcher s'il le souhaite.

Traduire la politique

Un organisme qui s'adresse à des publics de plusieurs pays doit proposer sa politique dans la langue de chacun d'eux. La transparence suppose en effet que l'information soit compréhensible par les personnes concernées. Une boutique en ligne française qui livre en Allemagne et en Espagne, avec un site traduit dans ces langues, doit aussi traduire sa politique de confidentialité.