Politique de confidentialité d'un site internet : la réponse courte
La politique de confidentialité d'un site internet explique aux visiteurs quelles données personnelles vous collectez, pourquoi, combien de temps vous les gardez, à qui vous les transmettez et comment ils peuvent exercer leurs droits. Le RGPD (articles 12 à 14) en fixe le contenu minimal, et elle devient obligatoire dès que votre site recueille une donnée personnelle : un formulaire de contact, une inscription à la lettre d'information, un outil de mesure d'audience ou une commande suffisent.
Pour un site vitrine de TPE, une page de 600 à 1 200 mots couvre en général le sujet. Le travail consiste moins à rédiger qu'à faire l'inventaire exact de ce que votre site collecte et des outils qui traitent ces données.
Qui doit publier une politique de confidentialité ?
Presque tous les sites professionnels. Le RGPD s'applique à toute entreprise, quelle que soit sa taille, qui traite des données de personnes situées dans l'Union européenne. Sur un site, les traitements les plus courants sont :
- le formulaire de contact ou de demande de devis (nom, adresse e-mail, téléphone, message) ;
- l'inscription à une lettre d'information ;
- la création de compte et les commandes sur une boutique en ligne ;
- la mesure d'audience, avec ou sans cookies ;
- les contenus tiers intégrés : vidéo YouTube, carte Google Maps, widget de prise de rendez-vous, bouton de réseau social ;
- les journaux du serveur, qui enregistrent les adresses IP des visiteurs.
Un site d'une seule page, sans formulaire ni outil tiers, échappe rarement à la règle : l'hébergeur conserve presque toujours des journaux de connexion. Dans le doute, publiez la page. Elle ne coûte rien et vous évite d'avoir à prouver que vous ne collectez rien.
Ne la confondez pas avec les mentions légales, qui identifient l'éditeur et l'hébergeur du site. Notre article sur les mentions légales obligatoires d'un site détaille ce qui distingue les deux documents.
Le contenu obligatoire d'une politique de confidentialité
L'article 13 du RGPD liste les informations à donner quand vous collectez des données directement auprès de la personne. Voici comment les traduire pour un site d'entreprise :
| Rubrique | Ce que vous écrivez | Exemple pour un site vitrine |
|---|---|---|
| Responsable du traitement | Raison sociale, adresse, e-mail de contact | SARL Dupont Rénovation, 12 rue des Lilas, 69003 Lyon, contact@exemple.fr |
| Délégué à la protection des données | Ses coordonnées, seulement si vous en avez désigné un | Rubrique absente pour la plupart des TPE |
| Données collectées | La liste précise, traitement par traitement | Nom, e-mail, téléphone et message du formulaire de devis |
| Finalités | Pourquoi vous collectez chaque donnée | Répondre aux demandes de devis, envoyer la lettre mensuelle |
| Base légale | Consentement, contrat, obligation légale ou intérêt légitime | Mesures précontractuelles pour un devis, consentement pour la lettre |
| Destinataires | Qui accède aux données, y compris vos sous-traitants | L'équipe commerciale, l'hébergeur, l'outil d'envoi d'e-mails |
| Transferts hors UE | Le pays et la garantie utilisée | Outil américain certifié dans le cadre UE-États-Unis |
| Durée de conservation | Une durée ou un critère clair, par traitement | 3 ans après le dernier contact pour un prospect |
| Droits de la personne | Accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement | Demande à adresser à contact@exemple.fr |
| Réclamation | Le droit de saisir la CNIL | Lien vers cnil.fr |
Deux points complètent la liste quand ils vous concernent : préciser si un champ est obligatoire et ce qui se passe s'il reste vide (« sans adresse e-mail, nous ne pouvons pas vous répondre »), et signaler toute décision automatisée ou tout profilage. Un site vitrine classique n'en fait pas.
Rédiger traitement par traitement
L'erreur la plus courante consiste à écrire un paragraphe général (« nous collectons vos données pour améliorer nos services »). La CNIL attend l'inverse : un bloc par usage, avec ses propres données, sa finalité, sa base légale et sa durée. Sur un site de TPE, vous aurez souvent trois ou quatre blocs : formulaire de contact, lettre d'information, mesure d'audience, et commandes s'il s'agit d'une boutique. Le détail du formulaire, avec la mention à placer sous le bouton d'envoi, figure dans notre guide RGPD et formulaire de contact.
Les durées de conservation à indiquer
Le RGPD ne fixe pas de durée chiffrée : il vous demande de choisir une durée proportionnée et de l'écrire. Les référentiels de la CNIL et quelques textes donnent des repères utilisables tels quels :
| Donnée | Durée courante | Source du repère |
|---|---|---|
| Demande de contact ou de devis sans suite | 3 ans après le dernier contact | Référentiel CNIL sur la gestion commerciale |
| Données clients | Durée de la relation commerciale, puis 3 ans pour la prospection | Référentiel CNIL sur la gestion commerciale |
| Factures et pièces comptables | 10 ans | Code de commerce, article L123-22 |
| Inscription à la lettre d'information | Jusqu'à la désinscription, avec une relance après 3 ans d'inactivité | Pratique recommandée par la CNIL |
| Traceurs de mesure d'audience exemptés de consentement | 13 mois au plus, 25 mois pour les données collectées | Recommandation CNIL sur les cookies |
Une durée écrite engage : si votre politique annonce trois ans, votre boîte de réception et votre CRM doivent effectivement être purgés au-delà. Notez la règle dans votre agenda ou programmez-la dans l'outil.
Cookies : dans la politique ou sur une page à part ?
Les deux se font. Beaucoup de sites ajoutent une section « Cookies » à la politique de confidentialité ; les boutiques en ligne qui utilisent beaucoup de traceurs publicitaires préfèrent une page dédiée, reliée au bandeau de consentement. Dans les deux cas, la section liste chaque cookie ou traceur, son éditeur, sa finalité, sa durée et la manière de retirer son consentement. Les règles du bandeau lui-même figurent dans notre guide sur le bandeau cookies obligatoire.
Un site qui se contente d'une mesure d'audience sans cookie, configurée selon les conditions de la CNIL, peut se passer de bandeau. Il doit tout de même mentionner l'outil dans sa politique de confidentialité. Nous comparons ces outils dans notre article pour mesurer l'audience de son site sans cookies.
Où placer la page et comment l'écrire
- Accessible en un clic depuis toutes les pages, en général dans le pied de page, à côté des mentions légales.
- Reliée à chaque formulaire : un lien direct dans la phrase d'information sous le bouton d'envoi.
- En langage clair : l'article 12 du RGPD exige une information concise, compréhensible et aisément accessible. Écrivez « nous gardons votre message trois ans » plutôt que « les données font l'objet d'une conservation pour une durée n'excédant pas celle nécessaire ».
- Datée : indiquez la date de dernière mise à jour en haut de la page.
- Tenue à jour : chaque nouvel outil (chat en ligne, prise de rendez-vous, pixel publicitaire) ajoute un traitement à décrire.
Vous pouvez réunir mentions légales et politique de confidentialité sur une même page, à condition de séparer clairement les deux parties par des titres.
Les erreurs qui reviennent le plus souvent
- Le modèle copié d'un autre site. Il décrit des outils que vous n'utilisez pas et oublie les vôtres. Une politique inexacte vaut à peine mieux qu'une page absente.
- L'oubli des sous-traitants. L'hébergeur, l'outil de formulaire, le service d'envoi d'e-mails et le CRM reçoivent des données : ils doivent apparaître comme destinataires.
- Le consentement comme base légale universelle. Répondre à une demande de devis relève des mesures précontractuelles, pas du consentement. Invoquer le consentement à tort oblige à le recueillir et à gérer son retrait.
- Aucune durée, ou « aussi longtemps que nécessaire ». La CNIL considère cette formule comme insuffisante.
- Une adresse de contact qui ne répond pas. Vous avez un mois pour répondre à une demande d'accès ou d'effacement, prolongeable de deux mois pour les demandes complexes, en prévenant la personne.
- Une page jamais relue. Le site a changé d'outil de formulaire il y a deux ans, la politique cite encore l'ancien.
Les sanctions de la CNIL peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Pour une TPE, le risque réaliste se situe plutôt dans une mise en demeure après la plainte d'un visiteur, ou dans la perte de confiance d'un client qui ne trouve pas la page.
Le plan type à reprendre
- Date de mise à jour et identité du responsable du traitement.
- Un bloc par traitement : données, finalité, base légale, destinataires, durée.
- Transferts hors de l'Union européenne, s'il y en a.
- Cookies et traceurs, ou lien vers la page dédiée.
- Vos droits et la manière de les exercer, avec le délai de réponse.
- Le droit d'introduire une réclamation auprès de la CNIL.
- Les mesures de sécurité en une ou deux phrases : connexion chiffrée, accès restreints, sauvegardes.
Avant de rédiger, ouvrez votre site et notez chaque formulaire, chaque outil intégré et chaque service connecté. Cet inventaire de dix minutes fait la différence entre une politique exacte et une page de façade. Lors de la création d'un site vitrine (à partir de 2 500 € HT) ou d'une landing page (à partir de 1 200 € HT), nous dressons cette liste avec vous avant la mise en ligne.
Vous ne savez pas quelles données votre site collecte, ni quels outils les reçoivent ? Écrivez-nous : nous faisons l'inventaire avec vous et vous indiquons ce que votre politique de confidentialité doit contenir.