Politique de confidentialité : méthode et trame RGPD

Une politique de confidentialité doit expliquer ce que votre organisation fait réellement des données. Copier des bases légales, promettre tous les droits sans condition ou annoncer « aucune transmission » alors qu’un CRM reçoit les formulaires crée une information trompeuse. Voici une méthode et une trame pour rédiger le document à partir de vos traitements.

Distinguer l’obligation d’informer du format du document

Les Art. 12 à 14 du RGPD imposent une information accessible, compréhensible et délivrée au bon moment. Ils n’exigent pas dans tous les contextes une page web portant un titre précis. Un accueil physique, un appel et un formulaire peuvent nécessiter des supports différents.

Une politique centrale permet de regrouper les explications. Elle ne dispense pas d’attirer l’attention au point de collecte, ni de traiter les particularités d’un service. Elle peut être organisée avec les mentions légales et les informations sur les cookies, à condition de conserver une distinction claire des contenus. Le droit n’impose pas universellement trois ou quatre fichiers séparés.

La CNIL recommande une information adaptée au parcours, éventuellement en plusieurs niveaux. Le premier niveau met en évidence les éléments essentiels et ouvre un accès immédiat aux détails. Notre guide de l’article 13 précise le cas de la collecte directe, et celui de l’article 14 la collecte indirecte. Les lignes directrices WP260 rev.01 sur la transparence, adoptées par le G29 le 11 avril 2018 et reprises par le CEPD, restent la référence interprétative ; elles ne sont pas contraignantes comme le texte du RGPD, mais les autorités de contrôle s’en inspirent.

Ce que l’absence de transparence coûte : le précédent Google

L’Art. 83(5)(b) du RGPD place les manquements aux Art. 12 à 22 dans la catégorie la plus lourde : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La première grande sanction française sur ce terrain reste la délibération SAN-2019-001 du 21 janvier 2019, par laquelle la CNIL a infligé 50 millions d’euros à Google LLC, notamment pour un défaut de transparence et d’information : informations essentielles dispersées dans plusieurs documents, accessibles après de multiples clics, et formulées de manière trop générale. Le Conseil d’État a confirmé la sanction le 19 juin 2020 (n° 430810). Ces points sont rapportés ici d’après la presse juridique et n’ont pas été relus dans la délibération : consultez-la sur Légifrance avant de la citer.

La leçon pratique est indépendante de la taille de l’organisme : une politique exacte mais enfouie, ou vague sur les finalités, ne satisfait pas l’exigence d’une information « concise, transparente, compréhensible et aisément accessible » de l’Art. 12(1). Notre guide de l’article 12 détaille ces qualités.

Recueillir les faits avant de rédiger

Rapprochez votre registre, les formulaires, les contrats des prestataires et les paramètres réellement activés. Demandez aux équipes ce qui part dans le CRM, les outils d’envoi, les statistiques ou le support. Incluez les exports et la réutilisation de données reçues d’un partenaire.

Pour chaque finalité, obtenez une réponse à cinq questions : quelles données, pourquoi, sur quel fondement, vers qui et jusqu’à quand ? Faites confirmer la réponse par le responsable opérationnel. Une formule générale comme « améliorer nos services » ne décrit pas suffisamment des usages très différents.

Vérifiez aussi la cohérence des mots. Des statistiques véritablement anonymes ne sont plus des données personnelles ; leur préparation à partir de données identifiantes peut, elle, constituer un traitement. Évitez donc de présenter automatiquement toutes les « statistiques anonymisées » comme un traitement durable fondé sur l’intérêt légitime.

Une trame de politique à adapter

Les rubriques suivantes constituent un plan de rédaction. Elles ne garantissent pas à elles seules la conformité : chacune doit correspondre à un fait vérifié et aux conditions applicables à votre activité.

Pour rendre la section « finalités » utile, créez une ligne par usage réel : répondre à un devis, gérer une commande, envoyer une newsletter ou conserver une facture. Ne donnez pas au lecteur une liste de bases possibles sans indiquer laquelle s’applique.

Les bases légales doivent être choisies avant le traitement. Une politique ne rend pas licite une collecte excessive ou une campagne dépourvue de permission valable.

Exemple résolu (hypothétique) : une boutique en ligne qui découvre l’écart

Cet exemple est fictif et sert uniquement à illustrer la méthode. Une boutique en ligne de cosmétiques publie une politique indiquant : « Vos données ne sont partagées avec aucun tiers. » Un audit interne montre pourtant que : (1) les commandes sont transmises à un transporteur ; (2) les adresses e-mail alimentent un outil d’envoi de newsletters hébergé hors de l’Union ; (3) un module d’avis clients, installé par le prestataire du site, charge un script tiers ; (4) les données de commande sont conservées « le temps nécessaire », sans durée.

La correction suit l’ordre des questions posées plus haut. Pour chaque ligne, la boutique rédige une finalité, une base légale, les destinataires nommés par catégorie (transporteur, prestataire d’e-mailing, éditeur du module d’avis), le mécanisme de transfert pour l’outil hébergé hors UE (voir transferts hors UE), et une durée distincte pour la gestion de la commande, la comptabilité et la prospection. Elle ajoute ensuite une mention courte sous le formulaire de commande, avec un lien vers la politique complète, et vérifie que le script tiers n’est chargé qu’avec le consentement lorsque la réglementation sur les traceurs l’exige (voir le consentement).

Ce cas illustre que l’erreur la plus fréquente n’est pas juridique mais factuelle : le texte décrit l’intention, pas la configuration réelle.

Erreurs fréquentes à contrôler avant publication

• Annoncer « aucun partage » alors qu’un hébergeur, un outil d’e-mailing ou un prestataire de paiement reçoit des données : ces destinataires doivent être mentionnés par nom ou par catégorie précise (Art. 13(1)(e)).
• Lister toutes les bases légales possibles sans dire laquelle s’applique à quelle finalité (Art. 13(1)(c)).
• Omettre le droit d’introduire une réclamation auprès de la CNIL ou le droit de retirer son consentement (Art. 13(2)(d) et (c)).
• Reprendre telle quelle la politique d’un concurrent, avec ses outils, ses durées et ses transferts.
• Oublier de mettre à jour le texte après l’ajout d’un outil, d’un prestataire ou d’une nouvelle finalité (Art. 13(3)).
• Confondre politique de confidentialité, mentions légales et information sur les cookies : ces textes répondent à des obligations différentes, même s’ils peuvent être présentés ensemble.

Ajouter les particularités d’une collecte indirecte

L’Art. 14(1)(d) et (2)(f) exige notamment les catégories de données et leur source, avec la précision relative aux sources publiques. Une formule « informations provenant de partenaires » peut manquer de précision selon le contexte.

L’Art. 14(3) prévoit une information dans un délai raisonnable maximal d’un mois, au plus tard à la première communication avec la personne ou à la première transmission envisagée à un destinataire lorsque ces événements interviennent plus tôt. Une politique simplement publiée ne démontre pas que la personne a été informée.

Examinez les exceptions de l’Art. 14(5) avant de les invoquer. Le seul fait qu’une donnée soit visible en ligne ne supprime pas l’obligation. Pour le cas commercial, consultez le guide de réutilisation des données publiques.

Éviter les durées et droits présentés comme absolus

Le référentiel commercial CNIL 2021-131 distingue plusieurs situations. Trois ans ne constitue pas la durée universelle de toutes les données clients. Les besoins de gestion, de prospection, de comptabilité et de preuve doivent être séparés.

De même, ne promettez pas que toute donnée sera effacée immédiatement sur demande ou que toute donnée est portable. Les conditions et exceptions varient selon le droit concerné. Présentez-les en langage clair, sans transformer la notice en cours de droit ni rendre l’exercice des droits dissuasif.

Pour le consentement, expliquez comment le retirer et l’effet sur le traitement concerné. La politique est un document d’information : son acceptation globale ne remplace pas un choix spécifique. Les règles CNIL du consentement permettent de distinguer ces deux fonctions.

Publier au bon endroit et organiser les changements

Placez l’information là où la personne doit la trouver : formulaire, inscription, écran de réservation ou premier contact pertinent. Vérifiez l’accès sur mobile, sans connexion imposée lorsque celle-ci n’est pas nécessaire. Gardez les moyens de contact fonctionnels et accessibles.

Lorsqu’une finalité change, les Art. 13(3) et 14(4) imposent l’information préalable correspondante. Plus largement, vérifiez les mises à jour après un changement de destinataire, de durée ou de parcours. Conservez les versions et la preuve des informations délivrées.

Une date visible et une revue périodique sont de bonnes pratiques de gestion ; une fréquence annuelle universelle n’est pas imposée par les Art. 13 et 14. Une modification substantielle ne doit pas attendre la prochaine revue programmée. Le guide des transferts hors UE aide notamment à maintenir la partie consacrée aux destinataires internationaux.

Ce qu’il faut retenir

• Rédigez à partir des traitements réels et de leurs responsables.
• Fournissez l’information au bon moment, pas uniquement dans un pied de page.
• Précisez les sources et délais pour les données obtenues indirectement.
• Adaptez les durées et les droits à chaque finalité.
• Contrôlez le texte contre la configuration réelle (outils, prestataires, transferts) : c’est l’écart factuel qui expose, comme le rappelle la sanction Google de 2019.

FAQ

Faut-il faire accepter la politique de confidentialité ?

Elle sert à informer et n’exige pas une acceptation générale. Lorsqu’un consentement est nécessaire pour un usage, recueillez un choix spécifique, libre et éclairé.

Peut-on utiliser une politique commune à plusieurs sites ?

Oui, si les organismes, services et différences de traitement sont clairement identifiables. La lisibilité et l’exactitude du périmètre comptent davantage que le nombre de documents.

Peut-on copier un modèle sans le modifier ?

Un modèle ne connaît ni vos outils ni vos durées ni vos flux. Utilisez la trame comme plan, puis vérifiez chaque affirmation avant publication.

Une politique de confidentialité est-elle obligatoire pour un site web ?

Le RGPD impose d’informer les personnes dès qu’un site traite leurs données (Art. 13 et 14), et un site collectant des données via formulaire, compte client ou statistiques y est presque toujours soumis. Le format « page dédiée » est la pratique usuelle, non une exigence textuelle.

Quelle différence avec les mentions légales ?

Les mentions légales identifient l’éditeur et l’hébergeur du site (LCEN). La politique de confidentialité décrit le traitement des données personnelles (RGPD). Les deux peuvent figurer sur des pages voisines, mais leur contenu diffère.

À quelle fréquence mettre la politique à jour ?

Aucune fréquence n’est fixée : la mise à jour est nécessaire dès qu’un élément décrit change (nouvel outil, nouveau destinataire, nouvelle finalité). Une revue au moins annuelle est une bonne pratique de gestion.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.