Qu’est-ce qu’une politique de confidentialité ?
La politique de confidentialité, aussi appelée politique de protection des données personnelles ou « mentions d’information », est le texte dans lequel vous expliquez ce que vous faites des données personnelles des personnes. Sur un site internet, c’est généralement une page dédiée, accessible depuis le pied de page.
L’obligation vient du RGPD. Son article 12 exige une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Les articles 13 et 14 précisent ce qu’il faut dire : l’article 13 quand vous collectez les données auprès de la personne elle-même, par exemple via un formulaire, l’article 14 quand vous les obtenez par un tiers. L’information est gratuite.
En France, la loi Informatique et Libertés du 6 janvier 1978 complète le RGPD sur quelques points, dont une information propre au droit français : les directives sur le sort des données après le décès (voir plus bas). La CNIL est l’autorité de contrôle compétente.
Que doit-elle contenir ?
Lorsque vous collectez des données auprès d’une personne, l’article 13 du RGPD exige les informations suivantes. La CNIL les reprend dans sa fiche sur l’information des personnes :
- Qui vous êtes : le nom et les coordonnées de votre organisme.
- Votre délégué à la protection des données (DPO), si vous en avez désigné un, avec ses coordonnées.
- Les finalités et la base légale. Pour chaque finalité, la base légale retenue : consentement, contrat, obligation légale ou intérêt légitime.
- Vos intérêts légitimes, si c’est votre base légale. Nommez l’intérêt précis.
- Les destinataires : qui reçoit les données, y compris vos sous-traitants comme votre hébergeur ou votre outil d’e-mailing. Selon les lignes directrices européennes sur la transparence, citer les destinataires réels est en général le plus utile ; si vous ne donnez que des catégories, soyez aussi précis que possible.
- Les transferts hors de l’Union européenne : le fait qu’il y en a, l’existence ou non d’une décision d’adéquation et, à défaut, la garantie utilisée et le moyen d’en obtenir une copie.
- La durée de conservation, ou les critères qui la déterminent. « Aussi longtemps que nécessaire » ne suffit pas, selon les lignes directrices.
- Les droits des personnes : accès, rectification, effacement, limitation, opposition et portabilité.
- Le droit de retirer son consentement à tout moment, lorsque le traitement repose sur celui-ci.
- Le droit d’introduire une réclamation auprès de la CNIL.
- Le caractère obligatoire ou facultatif des données, par exemple lorsqu’elles sont nécessaires à un contrat, et les conséquences d’un refus de les fournir. Dans un formulaire en ligne, signalez clairement les champs obligatoires.
- Les décisions automatisées, y compris le profilage, lorsqu’elles produisent des effets juridiques ou significatifs, avec des informations utiles sur la logique sous-jacente et ses conséquences.
Le droit d’opposition mérite une attention particulière : l’article 21 du RGPD exige qu’il soit porté explicitement à l’attention de la personne, de façon claire et séparée de toute autre information, au plus tard lors de la première communication.
La spécificité française : les directives après le décès
Le RGPD ne s’applique pas aux personnes décédées, mais la loi Informatique et Libertés, si. Son article 85 permet à chacun de définir des directives relatives à la conservation, à l’effacement et à la communication de ses données personnelles après sa mort. Son article 48 impose au responsable de traitement d’informer la personne de ce droit lors de la collecte, sauf si elle l’a déjà été.
Concrètement, ajoutez une ligne à la liste des droits, comme dans le modèle ci-dessous. Beaucoup de modèles traduits de l’anglais l’oublient.
Où l’afficher ?
L’article 13 exige l’information au moment de la collecte. Les lignes directrices européennes sur la transparence, reprises par le CEPD, et la CNIL précisent ce que cela veut dire sur un site :
- Un lien sur chaque page. Un lien direct et bien visible, sous un intitulé courant comme « Politique de confidentialité » ou « Données personnelles ». Un lien peu visible à cause de sa position ou de sa couleur n’est pas aisément accessible.
- Au moment de la collecte. Placez un lien vers la politique de confidentialité à côté de chaque formulaire qui collecte des données, ou donnez l’information directement sur la page.
- Une information en plusieurs niveaux. La CNIL recommande une approche à plusieurs niveaux lorsqu’un bloc unique serait illisible : l’essentiel (identité du responsable, finalités, droits) au premier niveau, par exemple sous le formulaire, avec un lien vers l’information complète. Prioriser ne veut pas dire omettre : tout doit rester accessible.
- Pas cachée dans les conditions générales. La personne ne doit pas avoir à la chercher parmi d’autres informations.
- Dans la langue du visiteur, si vous ciblez des personnes qui parlent d’autres langues.
Politique de confidentialité, politique de cookies et bannière
Les trois ont des rôles différents :
- La bannière cookies recueille le consentement avant le dépôt des traceurs qui l’exigent, et renvoie vers le détail.
- La politique de cookies explique quels cookies et autres traceurs vous utilisez, qui les dépose et pour combien de temps.
- La politique de confidentialité couvre toutes les données personnelles que vous traitez, au-delà des cookies : formulaires, commandes, newsletter, service client.
Elles doivent renvoyer l’une à l’autre. Votre politique de confidentialité mentionne vos outils de mesure d’audience et de publicité, leur base légale (le plus souvent le consentement, voir Cookies et RGPD : les règles de la CNIL) et les éventuels transferts hors d’Europe, par exemple pour Google Analytics. Retirer son consentement doit être aussi simple que le donner : indiquez dans les deux textes où modifier ses choix.
Cookie Confirm affiche une bannière qui enregistre le consentement de chaque visiteur et renvoie vers votre politique de cookies et votre politique de confidentialité.
Ce qu’il faut ajouter pour une boutique en ligne
Une boutique en ligne traite plus de données qu’un site vitrine, sa politique de confidentialité doit donc en dire plus :
- Commandes : les données nécessaires à la livraison, sur la base du contrat. Précisez que vous ne pouvez pas livrer sans elles.
- Factures : les pièces comptables, dont les factures, se conservent dix ans selon le ministère de l’Économie. La base légale est une obligation légale.
- Paiement : nommez le prestataire de paiement et indiquez si vous recevez vous-même les coordonnées bancaires.
- Livraison : nommez les transporteurs qui reçoivent l’adresse de livraison.
- Newsletter : la prospection commerciale par e-mail auprès de particuliers exige en principe leur consentement préalable, sans case précochée. La CNIL admet une exception : un client peut recevoir des e-mails sur des produits ou services analogues à ceux qu’il a déjà achetés, s’il a pu s’y opposer simplement lors de la collecte et dans chaque message. Cette exception ne vaut pas sans achat préalable : la simple création d’un compte ne suffit pas.
- Avis clients : si un service d’avis contacte vos clients après un achat, nommez-le et précisez les données que vous lui transmettez.
- Comptes clients : indiquez combien de temps vous conservez un compte et ce qui se passe en cas d’inactivité.
Erreurs fréquentes
- Copier le texte d’un autre site. Il décrit d’autres outils et d’autres données. S’il ne correspond pas à ce que fait votre site, il n’est pas transparent.
- Des finalités vagues. Les lignes directrices européennes citent des formulations trop floues, comme utiliser les données « pour développer de nouveaux services » ou « pour proposer des services personnalisés », sans dire ce que cela recouvre.
- Aucune base légale par finalité. Une phrase générale du type « nous traitons vos données conformément au RGPD » ne dit rien.
- Des outils américains sans information sur les transferts. Mesure d’audience, e-mailing et hébergement sont souvent américains. Nommez le prestataire, le pays et la garantie, comme le Data Privacy Framework ou les clauses contractuelles types.
- « Aussi longtemps que nécessaire ». Donnez une durée ou des critères.
- Pas de mention de la CNIL. Les personnes doivent savoir qu’elles peuvent introduire une réclamation auprès d’elle.
- Oublier les directives après le décès, imposées par l’article 48 de la loi Informatique et Libertés.
- Une page jamais mise à jour. Chaque nouvelle extension, nouvel outil ou nouveau prestataire peut changer ce que vous devez dire.
Réclamation auprès de la CNIL
Votre politique doit indiquer que les personnes peuvent introduire une réclamation auprès de la CNIL. La CNIL reçoit les plaintes en ligne (cnil.fr/fr/plaintes) ou par courrier, au Service des plaintes, 3 place de Fontenoy, 75007 Paris. Elle demande aux personnes de s’adresser d’abord à l’organisme concerné, ou à son DPO, et de garder une preuve de leur demande : si l’organisme ne répond pas dans un délai d’un mois, ou répond mal, elles peuvent ensuite saisir la CNIL. Une adresse e-mail dédiée et des réponses dans les délais évitent donc bien des plaintes.
Le modèle
Vous trouverez ci-dessous un modèle à copier. Complétez tout ce qui figure entre [crochets], supprimez les rubriques inutiles et ajoutez les traitements manquants, pour que le texte décrive ce que fait réellement votre site. Un modèle n’est pas un conseil juridique : en cas de doute sur votre situation, faites-le relire par un juriste.
Sources
- RGPD, articles 6, 7, 12, 13, 14, 21 et 77
- CNIL : texte de la loi Informatique et Libertés (articles 48 et 85)
- CNIL : comment informer les personnes et assurer la transparence ?
- CNIL : exemples de mentions d’information
- CNIL : mort numérique, quels sont vos droits ?
- CNIL : la prospection commerciale par courrier électronique
- CNIL : adresser une plainte
- Groupe de travail « Article 29 » : lignes directrices sur la transparence (WP260 rev.01)
- CEPD : lignes directrices du G29 reprises
- Ministère de l’Économie : mentions sur votre site internet
- Ministère de l’Économie : combien de temps conserver vos documents ?
- Commission européenne : décision d’adéquation UE–États-Unis du 10 juillet 2023