Site internet

Politique de confidentialité d’un site internet expliquée

Un formulaire de contact, une inscription à la newsletter, une boutique en ligne, un outil de statistiques : dès que votre site recueille des informations sur vos visiteurs, la loi vous impose de leur expliquer ce que vous en faites. C’est le rôle de la politique de confidentialité d’un site internet. Souvent copiée à la va-vite, elle est pourtant contrôlée par la CNIL. Voici ce qu’elle doit contenir, expliqué simplement. Et comme pour toute question juridique, je vous indique en fin d’article vers qui vous tourner pour faire valider la vôtre : je suis graphiste, pas juriste.

À quoi sert une politique de confidentialité ?

Elle répond à une obligation de transparence prévue par le RGPD, le règlement européen sur la protection des données. Concrètement, elle permet à vos visiteurs de savoir pourquoi vous collectez leurs données, de comprendre ce que vous en faites et de garder la main dessus, notamment pour exercer leurs droits. C’est la pièce centrale du RGPD pour un site internet, et pour vous, un gage de sérieux : un site transparent inspire confiance.

La politique de confidentialité d’un site internet est-elle obligatoire ?

Oui, dès que votre site traite des données personnelles, c’est-à-dire toute information qui permet d’identifier quelqu’un, directement ou indirectement : un nom, une adresse e-mail, un numéro de téléphone, mais aussi une adresse IP ou des informations de navigation. Or presque tous les sites en collectent, même sans s’en rendre compte : un simple formulaire de contact, une newsletter, une commande en ligne ou un outil de mesure d’audience suffisent. Le RGPD pour un site internet concerne donc aussi les petites entreprises, pas seulement les géants du web.

Que doit contenir la politique de confidentialité d’un site internet ?

La CNIL liste les informations à donner dans tous les cas, et d’autres selon votre situation. Voici les principales, une par une.

L’identité et les coordonnées de votre entreprise

Qui collecte les données ? Votre nom ou celui de votre société, et un moyen de vous contacter.

Les finalités

À quoi servent les données collectées : répondre à une demande de devis, envoyer une newsletter, traiter une commande, mesurer l’audience du site… Chaque usage doit être précisé.

La base légale

C’est ce qui vous autorise à utiliser ces données : le consentement de la personne, l’exécution d’un contrat, une obligation légale ou votre intérêt légitime. Par exemple, une newsletter repose en général sur le consentement, une commande sur le contrat.

Le caractère obligatoire ou facultatif des données

Indiquez quelles informations sont indispensables et ce qui se passe si la personne ne les donne pas. C’est aussi l’occasion de se demander si l’on a vraiment besoin de tout ce que l’on demande : le RGPD invite à ne collecter que le strict nécessaire.

Les destinataires

Qui a accès aux données ? Vous, mais aussi vos prestataires : hébergeur du site, outil d’envoi de newsletters, solution de paiement, logiciel de facturation…

La durée de conservation

Combien de temps vous gardez les données, ou les critères qui permettent de la déterminer. « Indéfiniment » n’est pas une réponse acceptable.

Les droits des utilisateurs

Les droits des utilisateurs doivent être expliqués : droit d’accès, de rectification, d’effacement et de limitation des données, et selon les cas droit d’opposition, droit à la portabilité et droit de retirer son consentement à tout moment. Précisez aussi comment les exercer, par exemple par e-mail.

Le droit de réclamation auprès de la CNIL

Vos visiteurs doivent savoir qu’ils peuvent saisir la CNIL s’ils estiment que leurs droits ne sont pas respectés.

Selon votre situation

Certaines informations ne sont nécessaires que dans des cas précis : le transfert de données hors de l’Union européenne, par exemple si vous utilisez des outils basés aux États-Unis, ou encore les intérêts légitimes que vous poursuivez si c’est votre base légale.

Comment la rédiger et où la placer ?

Pour la politique de confidentialité d’un site internet, la CNIL est claire : l’information doit être concise, transparente, compréhensible et facile d’accès. En pratique :

Écrivez simplement, avec des phrases courtes, et bannissez les formules floues comme « nous pourrions utiliser vos données ».
Placez un lien vers votre politique de confidentialité sur chaque page du site, avec un intitulé clair comme « Données personnelles » ou « Confidentialité », par exemple dans le pied de page.
Gardez-la séparée de vos conditions générales de vente et de vos mentions légales.
Sous chaque formulaire, ajoutez une courte mention qui résume l’essentiel (qui collecte, pourquoi, quels droits) avec un lien vers la politique complète.
Mettez-la à jour à chaque changement : nouvel outil, nouvel usage des données, nouveau prestataire.

Et les cookies ?

Les cookies et autres traceurs, comme ceux des outils de statistiques ou des réseaux sociaux, sont aussi concernés. Selon la CNIL, vos visiteurs doivent être informés et donner leur consentement aux cookies avant le dépôt de certains traceurs, en particulier ceux qui servent à la publicité ou au suivi. C’est le rôle du bandeau cookies, qui doit permettre de refuser aussi facilement que d’accepter. Votre politique de confidentialité doit expliquer quels cookies vous utilisez et dans quel but, ou renvoyer vers une page dédiée.

Les erreurs les plus fréquentes

Copier la politique de confidentialité d’un autre site sans l’adapter : elle doit décrire vos propres usages.
Afficher encore un « numéro de déclaration CNIL » : ces déclarations n’existent plus depuis l’entrée en application du RGPD en mai 2018.
Rester vague sur les finalités ou la durée de conservation.
Cacher la page ou la noyer dans les conditions générales.
Oublier les outils tiers : statistiques, newsletter, prise de rendez-vous, paiement.
Déposer des traceurs publicitaires sans recueillir le consentement aux cookies.

Où se renseigner et qui contacter ?

La CNIL

Le site de la CNIL est la référence. Vous y trouverez une fiche complète sur l’information des personnes, des exemples de mentions à placer sous vos formulaires, ses recommandations sur les cookies, un modèle de registre simplifié et un service pour poser vos questions directement.

Les professionnels du droit

Pour une politique de confidentialité sur mesure, ou si vous traitez des données sensibles, faites appel à un juriste ou à un avocat spécialisé en droit du numérique et des données personnelles. Certains cabinets proposent aussi un délégué à la protection des données externalisé, utile si votre activité repose beaucoup sur les données de vos clients.

En résumé

Une bonne politique de confidentialité d’un site internet dit clairement qui collecte quelles données, pourquoi, pendant combien de temps, avec qui elles sont partagées et comment chacun peut exercer ses droits. Elle doit être facile à trouver, facile à lire, et tenue à jour. Cet article est un guide pratique : il ne remplace ni les textes officiels, ni l’avis d’un professionnel du droit.

Vous préparez un nouveau site ? Chaque site que je crée intègre ces bases dès la conception : page de politique de confidentialité, mentions légales et bandeau cookies, que vous complétez ensuite avec vos informations.