Politique de confidentialité : ce qu’elle doit contenir, rubrique par rubrique

La politique de confidentialité est la page qui explique ce que vous faites des données personnelles : ce que vous collectez, pourquoi, qui y a accès, combien de temps vous les gardez et ce que les personnes peuvent faire. Son contenu n’est pas une affaire de goût. Les articles 13 et 14 du RGPD dressent la liste des informations dues, et l’article 12 impose de les donner en termes clairs et simples, à un endroit facile à trouver.

Ce guide passe en revue le contenu d’une politique de confidentialité RGPD, rubrique par rubrique, avec des formulations adaptées aux petites équipes, dans l’UE comme en dehors (Suisse, Royaume-Uni, Québec, Maghreb) dès que vous vendez à des personnes situées dans l’UE ou suivez leur comportement. Mon guide complet du RGPD explique quand le règlement s’applique à vous.

Il s’agit d’informations générales, pas d’un conseil juridique.

Quand faut-il une politique de confidentialité, et quand la montrer ?

Il en faut une dès que vous collectez des données personnelles, ce qui arrive vite sur un site : formulaire de contact, inscription à la newsletter, prise de rendez-vous, statistiques, ou simplement les emails que l’on vous envoie. Le moment de l’information dépend de l’origine des données :

• Données fournies par la personne (article 13) : au moment de la collecte. D’où le lien à côté de chaque formulaire, pas seulement en pied de page.
• Données obtenues ailleurs (article 14), comme un fichier de prospects ou un annuaire professionnel : dans un délai raisonnable et au plus tard dans le mois, ou dès le premier message si vous contactez la personne avant.

Le contenu d’une politique de confidentialité RGPD, rubrique par rubrique

Regroupées par thème, les informations qu’exigent les articles 13 et 14 tiennent en dix rubriques, ici dans l’ordre où je les placerais sur la page.

1. Qui vous êtes et comment vous joindre

Indiquez la dénomination de l’entreprise, son adresse et une adresse email réellement consultée (un entrepreneur individuel donne son nom, comme sur ses factures). Ajoutez les coordonnées de votre délégué à la protection des données (DPO) si vous en avez un. La plupart des petites équipes n’en ont pas besoin : l’article 37 l’impose aux organismes publics et aux entreprises dont l’activité principale consiste à suivre des personnes à grande échelle ou à traiter des données sensibles à grande échelle.

Une entreprise suisse ou québécoise qui cible des personnes dans l’UE doit en général désigner un représentant (article 27), dont les coordonnées figurent aussi ici ; le Royaume-Uni a la même règle pour les entreprises étrangères qui y ciblent des personnes. Voir mon guide sur le représentant dans l’UE (article 27).

2. Les données collectées et leur provenance

Listez des catégories plutôt que chaque champ : identité et coordonnées, messages, données de commande et de paiement, données techniques comme l’adresse IP. Quand les données ne viennent pas de la personne, l’article 14 demande aussi leur source, par exemple « votre fiche dans un annuaire professionnel », et si elle est accessible au public.

3. Les finalités et leur base légale

C’est le cœur de la page : chaque finalité avec sa base légale (article 6) et, pour l’intérêt légitime, l’intérêt poursuivi. Un tableau est le plus lisible :

« Nous traitons vos données sur la base du consentement, du contrat et de l’intérêt légitime » n’apprend rien à personne : il faut savoir quelle base correspond à quel usage.

4. Les destinataires

Nommez les destinataires, ou au moins leurs catégories : créateur de site ou hébergeur, outils d’emailing et de newsletter, CRM, réservation et paiement, statistiques, expert-comptable. Les catégories sont permises, mais les noms sont plus clairs et vous obligent à vérifier la liste. Les outils qui traitent des données pour votre compte sont vos sous-traitants : l’article 28 impose un contrat avec chacun, en général le contrat de sous-traitance (DPA) intégré à leurs conditions.

5. Les transferts hors de l’UE

Indiquez si un prestataire stocke ou consulte les données hors de l’UE, sur quelle garantie repose le transfert (une décision d’adéquation comme le Data Privacy Framework pour les entreprises américaines certifiées, ou des clauses contractuelles types) et, pour les clauses, comment en obtenir une copie. Par exemple :

Notre outil de newsletter, Mailchimp (Intuit, États-Unis), est certifié au titre du Data Privacy Framework UE–États-Unis.

Mon guide sur les outils américains et le Data Privacy Framework passe en revue Google, Microsoft et les autres noms courants.

6. Les durées de conservation

Donnez une durée pour chaque finalité, ou les critères qui la fixent ; « aussi longtemps que nécessaire » n’est ni l’un ni l’autre. Pour les prospects qui ne sont pas devenus clients, le référentiel de la CNIL retient trois ans à compter de la collecte ou du dernier contact venant du prospect, et l’article L123-22 du Code de commerce impose de conserver dix ans les pièces comptables, factures comprises. Mon article sur les durées de conservation des données clients et prospects détaille les cas courants.

7. Les droits des personnes et comment les exercer

Listez les droits qui s’appliquent : accès, rectification, effacement, limitation, portabilité, opposition et, lorsque vous vous fondez sur le consentement, le droit de le retirer à tout moment. Expliquez comment les exercer (une adresse email suffit) et que vous répondez dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes ou nombreuses (article 12, paragraphe 3). Le droit de s’opposer à la prospection mérite sa propre phrase : l’article 21, paragraphe 4, exige qu’il soit présenté clairement et à part.

8. Le droit d’introduire une réclamation

Indiquez que les personnes peuvent saisir une autorité de protection des données (article 77) : la CNIL en France, ou l’autorité du pays de l’UE où elles vivent ou travaillent. Pour vos clients au Royaume-Uni, c’est l’ICO ; depuis le 19 juin 2026, en vertu du Data (Use and Access) Act 2025, ils peuvent aussi se plaindre directement auprès de vous, et vous devez leur faciliter la démarche, accuser réception sous 30 jours et traiter la plainte sans retard injustifié.

9. Le caractère obligatoire ou facultatif des données

Précisez quelles informations sont obligatoires et ce qui se passe sans elles : « Votre adresse de livraison est nécessaire pour expédier votre commande. » Les champs facultatifs doivent apparaître comme tels, sur le formulaire comme dans la politique.

10. Les décisions automatisées

Si un logiciel prend seul des décisions qui affectent sensiblement les personnes, comme refuser une demande sans examen humain, l’article 22 s’applique et vous devez expliquer la logique suivie et les conséquences prévisibles. Si ce n’est pas le cas, une phrase pour le dire vaut mieux qu’un silence.

Rédiger une politique que l’on lit vraiment

L’article 12 exige une information concise, transparente, compréhensible et aisément accessible. En pratique :

• Présentez-la en plusieurs niveaux. Un court résumé en tête, le détail en dessous sous des intertitres clairs, et une mention d’une ligne avec le lien sous chaque formulaire.
• Chassez les mots flous. Les lignes directrices européennes sur la transparence (WP260, rédigées par le groupe qui a précédé le CEPD) demandent d’éviter des termes comme « peut », « pourrait », « certains », « souvent » ou « possible ». « Nous pouvons partager vos données avec des partenaires sélectionnés » ne dit rien d’utile : nommez les partenaires et la raison.
• Écrivez pour vos lecteurs. Des phrases courtes, sans jargon juridique, des exemples tirés de votre activité, et des mots qu’un enfant comprend si votre service s’adresse aussi aux enfants (article 12, paragraphe 1).
• Datez-la. Affichez la date de dernière mise à jour et archivez les anciennes versions.

Ce qui n’a pas sa place dans la politique de confidentialité

Trois autres documents finissent souvent fusionnés avec elle. Ils fonctionnent mieux séparément :

• Les mentions légales : l’éditeur du site, ses informations d’immatriculation, l’hébergeur. C’est une obligation distincte ; voir les mentions légales obligatoires d’un site internet.
• Le détail des cookies : la liste des cookies et la façon de modifier son choix peuvent former une rubrique de la politique, mais le bandeau qui recueille le consentement est un mécanisme distinct, avec ses propres règles ; voir ce qu’exige la CNIL pour le bandeau cookies.
• Les CGV ou CGU : les clauses contractuelles ont leur propre page, et les lignes directrices sur la transparence demandent que l’information sur les données en reste clairement séparée.

Modèles, générateurs et pièges du copier-coller

Inutile de partir d’une page blanche. Deux points de départ officiels sont gratuits :

• La CNIL publie des exemples de mentions d’information, dont l’un pour les clients d’un site de vente en ligne (prospection par email comprise) et un autre pour des prospects démarchés par courrier, présentés comme des illustrations à adapter et non comme des modèles valables partout.
• Pour une clientèle britannique, l’ICO propose un générateur gratuit en anglais, Create your own privacy notice, décliné par public et par secteur et mis à jour en 2026 pour le Data (Use and Access) Act. Il n’est pas conçu pour les organismes qui traitent beaucoup de données sensibles, prennent des décisions automatisées ou doivent désigner un DPO.

Un modèle vous donne la structure ; les faits doivent venir de vous. Les défauts habituels d’une politique copiée :

1. Elle cite des outils que vous n’utilisez pas et oublie ceux que vous utilisez.
2. Elle ne donne aucune durée de conservation, ou seulement « aussi longtemps que nécessaire ».
3. Elle annonce « nous pouvons partager vos données avec nos partenaires » sans nommer personne.
4. Elle mentionne la mauvaise société, ou des pays où vous n’exercez pas.
5. Elle n’a pas bougé depuis la mise en ligne du site, trois outils plus tôt.

Où la publier, et comment la tenir à jour

Placez le lien partout où les personnes prennent une décision sur leurs données :

• dans le pied de page de chaque page ;
• à côté de chaque formulaire, avec une ligne sur l’usage des données ;
• dans votre premier email à toute personne dont vous avez trouvé les coordonnées ailleurs, avec leur source et le moyen de s’opposer ;
• dans la fiche de votre application sur l’App Store et Google Play, et dans l’application.

Mettez la page et sa date à jour dès que vous ajoutez ou abandonnez un outil, collectez une nouvelle donnée ou vendez dans un nouveau pays. Pour toute nouvelle finalité, l’article 13, paragraphe 3, vous demande d’informer les personnes avant de commencer.

Votre liste de contrôle avant publication

1. Recensez tous les points de collecte : formulaires, emails, appels, rendez-vous, paiements, statistiques, fichiers de prospects.
2. Pour chacun, notez la finalité, la base légale et la durée de conservation.
3. Listez chaque outil qui touche aux données, son pays et, hors de l’UE, la garantie de transfert.
4. Rédigez la page en langage clair, avec un résumé en tête et la date.
5. Programmez un rappel annuel pour la comparer avec vos outils.

Pour le site classique d’une petite équipe, un modèle et un après-midi avec cette liste suffisent. Faites appel à un avocat ou à un DPO si vous traitez des données de santé ou d’autres données sensibles, des données d’enfants, du profilage ou des décisions automatisées, ou des données partagées entre plusieurs sociétés ou pays. Sur les sites que je réalise, la politique de confidentialité, les mentions légales et les liens sous les formulaires font partie du projet de site ; leur contenu vient toujours de vous, car c’est vous qui savez ce que vous collectez et pourquoi.