La politique de confidentialité est le document qui explique comment votre organisation collecte, utilise et protège les données personnelles de ses utilisateurs. Elle est la traduction écrite des obligations d'information que le RGPD impose aux entreprises en France.

Ce document n'est pas une formalité administrative. Les articles 13 et 14 du règlement exigent que toute entité traitant des données personnelles informe clairement les individus sur l'usage qui en est fait, au moment de la collecte.

En publiant ce document, vous rendez vérifiable ce que vous faites des données. C'est aussi la première pièce qu'une autorité de contrôle regarde quand elle ouvre un dossier.

Pour respecter les articles 13 et 14 du RGPD, votre document doit répondre à des critères précis de clarté et de détail. Une déclaration vague ne suffit pas.

Chaque élément doit être rédigé de manière compréhensible, en évitant le jargon juridique qui perd l'utilisateur final. Voici les points indispensables.

Vous devez identifier précisément l'entité juridique qui décide des finalités et des moyens du traitement. Cela inclut le nom de l'entreprise, son adresse de siège social et ses informations d'enregistrement.

Il faut également fournir un moyen de contact direct, comme une adresse de courriel dédiée ou un formulaire. L'utilisateur doit savoir immédiatement à qui s'adresser pour toute question relative à ses données.

Il ne suffit pas de dire que vous collectez des données, il faut expliquer pourquoi. Chaque collecte doit être justifiée par une finalité spécifique, comme la gestion d'une commande ou l'envoi d'une lettre d'information.

Pour chaque finalité, vous devez préciser la base légale qui autorise ce traitement. L'article 6 du RGPD en prévoit six, et une seule s'applique à la fois pour une finalité donnée.

Votre document doit lister les types de données recueillies, qu'il s'agisse d'identifiants directs comme le nom et l'adresse de courriel, ou indirects comme l'adresse IP. Cette transparence permet à l'utilisateur de comprendre l'étendue de la collecte.

Vous devez aussi indiquer qui aura accès à ces informations. Mentionnez si les données sont partagées avec des prestataires tiers, comme des services de livraison ou des outils de mesure.

Découvrez les offres AdOpt

Les données personnelles ne peuvent pas être conservées indéfiniment. Vous devez définir des durées de conservation alignées sur les finalités annoncées et sur les recommandations de la CNIL.

Par exemple, les données de prospection commerciale sont conservées pendant une durée limitée après le dernier contact. Une fois ce délai passé, elles doivent être supprimées ou anonymisées de manière irréversible.

Si vous utilisez des services situés en dehors de l'Espace économique européen, vous devez le signaler. Le transfert de données vers des pays tiers nécessite des garanties de protection appropriées.

Il faut informer les utilisateurs sur les mécanismes utilisés pour encadrer ces transferts, comme les clauses contractuelles types. Cela permet de vérifier que le niveau de protection reste équivalent à celui du RGPD.

La transparence implique d'informer les individus sur les pouvoirs qu'ils détiennent sur leurs propres informations. Le RGPD accorde des droits que vous devez lister clairement.

Les utilisateurs disposent du droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité. Précisez aussi la procédure à suivre pour les exercer, idéalement via un portail des droits qui centralise les demandes.

Pour construire votre document, suivez une structure logique qui facilite la lecture. Commencez par une introduction présentant le périmètre couvert.

Ensuite, organisez vos sections par thématiques : identité du responsable, catégories de données, finalités et bases légales, durées de conservation, destinataires et transferts, droits des personnes. Terminez par les modalités de contact pour les réclamations et les demandes de droits.

Ces trois documents sont fréquemment confondus, mais ils remplissent des rôles distincts. La politique de confidentialité traite de la gestion globale des données personnelles, tandis que la politique de cookies se concentre sur les traceurs et sur le consentement lié au suivi web.

Les conditions générales d'utilisation, quant à elles, fixent les règles de conduite et les responsabilités entre l'utilisateur et la plateforme. Elles encadrent l'usage du service, indépendamment de la question des données personnelles.

Cette distinction n'est pas cosmétique. Les traceurs relèvent de l'article 82 de la loi Informatique et Libertés, avec ses propres critères de consentement, alors que le reste du traitement relève des bases légales de l'article 6 du RGPD.

Avoir un bon texte juridique est nécessaire mais insuffisant. La conformité passive consiste à afficher un document, tandis que la conformité active vérifie que vos pratiques techniques correspondent réellement à ce que vous avez écrit.

Avec AdOpt, vous faites le pont entre le texte publié et la réalité technique du site. La plateforme de gestion du consentement enregistre les choix des utilisateurs et garde la trace de ce qui a été accepté, quand et sur quelle version du texte.

C'est cette trace qui transforme une déclaration en preuve. Sans elle, une politique bien rédigée reste une affirmation invérifiable le jour d'un contrôle.

Un modèle gratuit peut servir de base de réflexion, mais il est rarement suffisant. Chaque entreprise possède des traitements et des outils tiers qui lui sont propres.

Utiliser un document générique sans l'adapter à vos activités réelles crée un écart entre le texte et la pratique. C'est précisément cet écart qu'un contrôle cherche à mesurer.

Un site marchand doit être particulièrement précis sur les données de transaction. Il faut mentionner la collecte des adresses de livraison, des coordonnées de paiement et de l'historique d'achat.

Il est important de préciser quels prestataires de paiement et de logistique traitent ces informations, et sur quelle base légale. L'exécution du contrat couvre la livraison, mais pas la prospection sur d'autres produits.

La clé est la transparence en amont. Si vous modifiez la manière dont vous traitez les données, informez vos utilisateurs par une notification claire ou un courriel.

Expliquez brièvement ce qui change et pourquoi, et gardez trace de la version précédente. Une mise à jour datée et archivée est plus solide qu'un document réécrit en silence.

Si votre organisation est tenue de désigner un délégué à la protection des données, ses coordonnées doivent figurer dans l'information donnée aux personnes.

Même lorsque la désignation n'est pas obligatoire, publier un point de contact unique pour les questions de confidentialité simplifie les échanges avec les utilisateurs et avec l'autorité de contrôle.

Ce qui compte est que l'information corresponde au traitement réellement effectué sur le site que l'utilisateur consulte. Une politique unique peut couvrir plusieurs sites, à condition qu'elle décrive fidèlement chacun d'eux.

Dès que les finalités, les outils ou les destinataires diffèrent d'un site à l'autre, un document distinct devient plus sûr qu'un texte commun rempli d'exceptions.

Réservez un échange avec notre équipe

• RGPD en France : le guide complet pour les entreprises
• La CNIL : missions, sanctions et ce qu'elle contrôle vraiment