La politique de confidentialité est le document par lequel un organisme informe les personnes concernées de la façon dont leurs données personnelles sont collectées, utilisées, conservées et protégées. Elle matérialise l'obligation de transparence imposée par les articles 12 à 14 du Règlement général sur la protection des données (RGPD).

On parle aussi de « politique de protection des données » ou de « notice d'information ». Quel que soit son nom, sa fonction est la même : permettre à toute personne dont vous traitez les données (client, prospect, visiteur, candidat, salarié) de comprendre ce que vous faites de ses informations, sur quel fondement, pendant combien de temps, et comment exercer ses droits.

Le RGPD exige que cette information soit délivrée « de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » (article 12.1). Une politique de confidentialité noyée dans un jargon illisible ne remplit donc pas son obligation : la clarté n'est pas un confort, c'est une exigence légale.

La politique de confidentialité poursuit un double objectif : remplir votre obligation légale d'information et instaurer une relation de confiance avec vos utilisateurs. Un document clair rassure le visiteur sur le sérieux de votre organisation et facilite la conversion ; un document absent ou bâclé fragilise votre conformité et votre image.

Qui doit en publier une ?

En pratique, dès que vous disposez d'un site web avec un formulaire de contact, une boutique en ligne, une inscription à une newsletter, un espace client ou un simple outil de mesure d'audience, vous traitez des données personnelles et devez publier cette politique. Elle complète vos mentions légales, qui restent une obligation distincte.

L'information doit être fournie au moment où les données sont collectées. Concrètement, la politique de confidentialité doit être accessible avant que la personne ne transmette ses informations : un lien permanent en pied de page, et un lien à proximité immédiate de chaque formulaire, sont les bonnes pratiques attendues.

• Lors de la collecte directe (formulaire, inscription, achat) : l'information est donnée au plus tard au moment où les données sont obtenues (article 13 RGPD).
• Lors d'une collecte indirecte (données obtenues d'un tiers, d'un partenaire, d'une base) : l'information est due dans un délai raisonnable, et au plus tard un mois après l'obtention (article 14 RGPD).
• À chaque évolution de vos traitements : nouvelle finalité, nouveau sous-traitant, nouveau destinataire, changement de durée de conservation ou de base légale.

Les articles 13 et 14 du RGPD dressent la liste des informations que vous devez impérativement communiquer. L'omission de l'une d'elles rend votre information incomplète. Voici les mentions essentielles à faire figurer.

Deux notions structurent toute politique sérieuse : sur quel fondement vous traitez les données (la base légale) et combien de temps vous les gardez (la durée de conservation). Ce sont les points les plus souvent mal renseignés.

Choisir la bonne base légale

Tout traitement doit reposer sur l'une des bases prévues à l'article 6 du RGPD. La gestion d'une commande ou d'un compte client relève de l'exécution du contrat ; la conservation d'une facture relève d'une obligation légale ; l'envoi d'une newsletter ou le dépôt de cookies analytiques requièrent en principe le consentement ; l'amélioration de vos services peut s'appuyer sur l'intérêt légitime, à condition de respecter les droits des personnes. Une même finalité ne peut reposer que sur une base, choisie en amont et non interchangeable au gré des circonstances.

Fixer des durées proportionnées

Le principe de limitation de la conservation (article 5.1.e) impose de ne garder les données que le temps strictement nécessaire à la finalité. Une durée par défaut de l'ordre de trente-six mois après le dernier contact utile est fréquente pour une relation client ; les données de prospection se conservent en principe trois ans à compter du dernier contact. Certaines durées plus longues relèvent d'obligations légales distinctes (pièces comptables, factures), qu'il convient de mentionner séparément de votre durée par défaut.

Votre politique doit informer chaque personne des droits qu'elle peut exercer sur ses données et de la manière de le faire. Les articles 15 à 22 du RGPD, complétés par la loi Informatique et Libertés, prévoient les droits suivants.

• Droit d'accès : obtenir la confirmation que des données sont traitées et en recevoir une copie (article 15).
• Droit de rectification : faire corriger des données inexactes ou incomplètes (article 16).
• Droit à l'effacement (« droit à l'oubli ») : obtenir la suppression de ses données dans les cas prévus (article 17).
• Droit à la limitation du traitement : geler temporairement l'utilisation des données (article 18).
• Droit à la portabilité : récupérer ses données dans un format structuré et lisible par machine, ou les faire transmettre à un autre responsable (article 20).
• Droit d'opposition : s'opposer à un traitement pour des raisons tenant à sa situation, et sans condition pour la prospection (article 21).
• Droit de retirer son consentement à tout moment, et droit de définir des directives sur le sort de ses données après son décès (loi 78-17).

Notre assistant vous guide question après question pour produire une politique complète et conforme. Voici les informations à préparer :

1. 1Identifiez le responsable du traitement : dénomination de la société, forme, siège et immatriculation.
2. 2Renseignez une adresse de contact RGPD stable (par exemple dpo@ ou rgpd@votresociete.fr), de préférence fonctionnelle plutôt que nominative.
3. 3Listez vos finalités réelles : gestion client, prospection, statistiques, obligations légales, sécurité.
4. 4Identifiez la base légale de chaque finalité (contrat, obligation légale, intérêt légitime, consentement).
5. 5Précisez les catégories de données collectées et les destinataires, en distinguant le personnel habilité des sous-traitants.
6. 6Fixez la durée de conservation par défaut et signalez les transferts éventuels hors Union européenne et leurs garanties.
7. 7Datez la mise à jour, puis publiez la politique en pied de page et près de vos formulaires.

Plusieurs documents gravitent autour de la conformité RGPD. Ils répondent à des obligations distinctes et ne se remplacent pas. Voici comment les situer.

Le défaut d'information transparente ou une politique trompeuse sont des manquements au RGPD que la CNIL peut sanctionner, depuis le rappel à l'ordre jusqu'à des amendes administratives pouvant atteindre des montants significatifs au regard du chiffre d'affaires. Au-delà de la sanction, une politique défaillante fragilise la confiance et expose à des réclamations individuelles.

Le rôle de la CNIL

La Commission nationale de l'informatique et des libertés (CNIL, 3 place de Fontenoy, 75334 Paris Cedex 07) est l'autorité de contrôle française. Toute personne estimant que ses droits ne sont pas respectés peut la saisir d'une réclamation. Votre politique doit d'ailleurs rappeler ce droit de recours, qui est une mention obligatoire.