Introduction

La politique de confidentialité est souvent reléguée au second plan sur les sites web. Pourtant, depuis l’entrée en application du RGPD en mai 2018, elle est devenue un document obligatoire, engageant et contrôlable.

Encore faut-il savoir ce qu’elle doit contenir, comment l’écrire pour être conforme à la réglementation, tout en restant lisible pour les visiteurs.

Ce guide repose sur un cas réel, passé en revue point par point, et sur les exigences les plus récentes de la CNIL.

L’erreur classique : copier une politique existante

Dans le cas étudié, l’éditeur du site avait inséré une politique de confidentialité issue d’un modèle ancien. Elle référençait encore le numéro de déclaration CNIL, devenu obsolète, et mêlait des obligations réglementaires inexactes (loi de 1978) avec des définitions juridiques vagues.

La structure était longue, déroutante, parfois contradictoire.

Problèmes constatés

• Données collectées non listées clairement
• Finalités vagues ou multiples dans une même phrase
• Aucune base légale RGPD mentionnée
• Responsable de traitement non identifié
• Durées de conservation floues (« raisonnables »)
• Aucun renvoi à la CNIL ou à l’exercice des droits

Le RGPD impose 6 blocs d’information obligatoires

Selon l’article 13 du RGPD, une politique de confidentialité doit contenir au minimum les éléments suivants :

1. Identité du responsable de traitement

Il peut s’agir d’une personne physique ou morale. L’adresse, le nom et un moyen de contact doivent être précisés.

2. Finalités des traitements

Chaque objectif (ex. : formulaire de contact, mesure d’audience, newsletter) doit être indiqué clairement, sans mélange.

3. Base légale

Les bases les plus courantes sont :

• Le consentement
• L’exécution d’un contrat
• L’obligation légale
• L’intérêt légitime (si l’impact reste limité pour la personne concernée)

4. Données collectées et durées de conservation

Il faut énumérer les données (email, nom, adresse IP, etc.) et indiquer pour chacune une durée limite (ex. : 13 mois pour les cookies, 3 ans pour les contacts inactifs).

5. Droits des personnes concernées

Accès, rectification, suppression, opposition, portabilité… mais aussi droit à la réclamation (recours) à la CNIL.

6. Transferts hors UE

Tout transfert de données hors Union européenne doit être indiqué, avec les garanties apportées (clauses contractuelles types, Privacy Shield invalidé, etc.).

Structure recommandée en 2025

Pour garantir lisibilité et conformité, voici une structure claire, validée par la CNIL :

1. Qui sommes-nous ?

Identité de l’éditeur, forme juridique, coordonnées.

2. Quelles données sont collectées et pourquoi ?

Formulaire, cookies, mesure d’audience, etc.

3. Sur quelle base juridique repose le traitement ?

Consentement, obligation contractuelle, intérêt légitime.

4. Combien de temps vos données sont-elles conservées ?

Tableau synthétique recommandé.

5. Quels sont vos droits ?

Liste + procédure pour exercer les droits (contact, pièce d’identité).

6. Vos données quittent-elles l’Union européenne ?

Oui / non. Si oui, garanties RGPD.

7. Cookies et traceurs

Type, finalité, durée, gestion du consentement (bandeau, refus, retrait).

Application pratique sur un cas

Le site concerné utilise Google Analytics et des boutons de partage. Il ne transfère pas les données hors UE et ne collecte que les informations des formulaires de contact.

La politique de confidentialité finale prévoit :

• Une mention explicite du consentement pour les cookies analytiques.
• Une durée de conservation de 13 mois pour les cookies.
• Une adresse email de contact pour exercer ses droits.
• Un tableau clair des finalités + base légale + durée.

Exemple de formulation conforme :

Les données issues des formulaires de contact sont conservées pendant une durée maximale de 3 ans à compter du dernier contact entrant, sauf demande de suppression anticipée.

Conclusion

Une politique de confidentialité claire repose sur la transparence, la structure et la mise à jour régulière. C’est un document vivant, qui ne se résume pas à un copier-coller. C’est aussi une protection juridique et un marqueur de sérieux.

Prochaine étape logique : étudier la gestion concrète des cookies sur un site : bandeau, consentement, scripts conditionnels…