Politique de confidentialité : méthode et trame RGPD
Rédigez une politique de confidentialité utile : mentions, collecte indirecte, droits, durées et trame à adapter à vos traitements réels.
- Distinguer l’obligation d’informer du format du document
- Recueillir les faits avant de rédiger
- Une trame de politique à adapter
- Ajouter les particularités d’une collecte indirecte
- Éviter les durées et droits présentés comme absolus
- Publier au bon endroit et organiser les changements
- Ce qu’il faut retenir
- FAQ
Une politique de confidentialité doit expliquer ce que votre organisation fait réellement des données. Copier des bases légales, promettre tous les droits sans condition ou annoncer « aucune transmission » alors qu’un CRM reçoit les formulaires crée une information trompeuse. Voici une méthode et une trame pour rédiger le document à partir de vos traitements.
Distinguer l’obligation d’informer du format du document
Les Art. 12 à 14 du RGPD imposent une information accessible, compréhensible et délivrée au bon moment. Ils n’exigent pas dans tous les contextes une page web portant un titre précis. Un accueil physique, un appel et un formulaire peuvent nécessiter des supports différents.
Une politique centrale permet de regrouper les explications. Elle ne dispense pas d’attirer l’attention au point de collecte, ni de traiter les particularités d’un service. Elle peut être organisée avec les mentions légales et les informations sur les cookies, à condition de conserver une distinction claire des contenus. Le droit n’impose pas universellement trois ou quatre fichiers séparés.
La CNIL recommande une information adaptée au parcours, éventuellement en plusieurs niveaux. Le premier niveau met en évidence les éléments essentiels et ouvre un accès immédiat aux détails. Notre guide de l’article 13 précise le cas de la collecte directe.
Recueillir les faits avant de rédiger
Rapprochez votre registre, les formulaires, les contrats des prestataires et les paramètres réellement activés. Demandez aux équipes ce qui part dans le CRM, les outils d’envoi, les statistiques ou le support. Incluez les exports et la réutilisation de données reçues d’un partenaire.
Pour chaque finalité, obtenez une réponse à cinq questions : quelles données, pourquoi, sur quel fondement, vers qui et jusqu’à quand ? Faites confirmer la réponse par le responsable opérationnel. Une formule générale comme « améliorer nos services » ne décrit pas suffisamment des usages très différents.
Vérifiez aussi la cohérence des mots. Des statistiques véritablement anonymes ne sont plus des données personnelles ; leur préparation à partir de données identifiantes peut, elle, constituer un traitement. Évitez donc de présenter automatiquement toutes les « statistiques anonymisées » comme un traitement durable fondé sur l’intérêt légitime.
Une trame de politique à adapter
Les rubriques suivantes constituent un plan de rédaction. Elles ne garantissent pas à elles seules la conformité : chacune doit correspondre à un fait vérifié et aux conditions applicables à votre activité.
| Rubrique | Contenu à rédiger et contrôle utile |
|---|---|
| Responsable et contact | Identifier l’organisme qui décide du traitement, fournir ses coordonnées, celles du représentant et du DPO lorsqu’ils existent |
| Services concernés | Préciser les sites, activités et publics couverts ; distinguer les parcours qui suivent des règles différentes |
| Objectifs et fondements | Relier chaque finalité à sa base légale ; nommer l’intérêt poursuivi si l’intérêt légitime est utilisé |
| Informations traitées | Décrire les catégories pertinentes ; préciser les sources lorsque les données viennent de tiers |
| Destinataires | Indiquer les destinataires ou catégories suffisamment précises et expliquer leur rôle |
| Conservation | Donner une durée ou des critères compréhensibles, avec le point de départ et les archives justifiées |
| Flux internationaux | Décrire les transferts concernés, les mécanismes applicables et l’accès aux garanties |
| Droits et contacts | Expliquer les droits pertinents, leurs modalités, le retrait du consentement et la réclamation à l’autorité |
| Décisions et collecte obligatoire | Préciser la logique, l’importance et les conséquences des décisions visées à l’Art. 22(1) et (4) ; expliquer l’origine légale ou contractuelle de la collecte obligatoire et les conséquences d’un refus |
Pour rendre la section « finalités » utile, créez une ligne par usage réel : répondre à un devis, gérer une commande, envoyer une newsletter ou conserver une facture. Ne donnez pas au lecteur une liste de bases possibles sans indiquer laquelle s’applique.
Les bases légales doivent être choisies avant le traitement. Une politique ne rend pas licite une collecte excessive ou une campagne dépourvue de permission valable.
Ajouter les particularités d’une collecte indirecte
L’Art. 14(1)(d) et (2)(f) exige notamment les catégories de données et leur source, avec la précision relative aux sources publiques. Une formule « informations provenant de partenaires » peut manquer de précision selon le contexte.
L’Art. 14(3) prévoit une information dans un délai raisonnable maximal d’un mois, au plus tard à la première communication avec la personne ou à la première transmission envisagée à un destinataire lorsque ces événements interviennent plus tôt. Une politique simplement publiée ne démontre pas que la personne a été informée.
Examinez les exceptions de l’Art. 14(5) avant de les invoquer. Le seul fait qu’une donnée soit visible en ligne ne supprime pas l’obligation. Pour le cas commercial, consultez le guide de réutilisation des données publiques.
Éviter les durées et droits présentés comme absolus
Le référentiel commercial CNIL 2021-131 distingue plusieurs situations. Trois ans ne constitue pas la durée universelle de toutes les données clients. Les besoins de gestion, de prospection, de comptabilité et de preuve doivent être séparés.
De même, ne promettez pas que toute donnée sera effacée immédiatement sur demande ou que toute donnée est portable. Les conditions et exceptions varient selon le droit concerné. Présentez-les en langage clair, sans transformer la notice en cours de droit ni rendre l’exercice des droits dissuasif.
Pour le consentement, expliquez comment le retirer et l’effet sur le traitement concerné. La politique est un document d’information : son acceptation globale ne remplace pas un choix spécifique. Les règles CNIL du consentement permettent de distinguer ces deux fonctions.
Publier au bon endroit et organiser les changements
Placez l’information là où la personne doit la trouver : formulaire, inscription, écran de réservation ou premier contact pertinent. Vérifiez l’accès sur mobile, sans connexion imposée lorsque celle-ci n’est pas nécessaire. Gardez les moyens de contact fonctionnels et accessibles.
Lorsqu’une finalité change, les Art. 13(3) et 14(4) imposent l’information préalable correspondante. Plus largement, vérifiez les mises à jour après un changement de destinataire, de durée ou de parcours. Conservez les versions et la preuve des informations délivrées.
Une date visible et une revue périodique sont de bonnes pratiques de gestion ; une fréquence annuelle universelle n’est pas imposée par les Art. 13 et 14. Une modification substantielle ne doit pas attendre la prochaine revue programmée. Le guide des transferts hors UE aide notamment à maintenir la partie consacrée aux destinataires internationaux.
Ce qu’il faut retenir
- Rédigez à partir des traitements réels et de leurs responsables.
- Fournissez l’information au bon moment, pas uniquement dans un pied de page.
- Précisez les sources et délais pour les données obtenues indirectement.
- Adaptez les durées et les droits à chaque finalité.
FAQ
Faut-il faire accepter la politique de confidentialité ?
Elle sert à informer et n’exige pas une acceptation générale. Lorsqu’un consentement est nécessaire pour un usage, recueillez un choix spécifique, libre et éclairé.
Peut-on utiliser une politique commune à plusieurs sites ?
Oui, si les organismes, services et différences de traitement sont clairement identifiables. La lisibilité et l’exactitude du périmètre comptent davantage que le nombre de documents.
Peut-on copier un modèle sans le modifier ?
Un modèle ne connaît ni vos outils ni vos durées ni vos flux. Utilisez la trame comme plan, puis vérifiez chaque affirmation avant publication.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.