Exemple de politique de confidentialité : mentions obligatoires et erreurs à éviter

Sommaire

À quoi sert réellement une politique de confidentialité

Les mentions obligatoires souvent mal comprises

Pourquoi les modèles génériques posent problème

Les incohérences fréquentes avec les pratiques réelles

Quand une politique de confidentialité devient un risque juridique

FAQ

Pour aller plus loin

À quoi sert réellement une politique de confidentialité

La politique de confidentialité remplit une fonction précise : informer les personnes dont les données sont collectées sur la manière dont ces données seront traitées. Cette obligation découle de l'article 13 du RGPD, qui impose au responsable de traitement de fournir une information claire, concise et accessible au moment de la collecte.

En pratique, ce document s'adresse aux visiteurs d'un site web, aux clients, aux prospects ou aux salariés selon le contexte. Il doit leur permettre de comprendre quelles données sont collectées, pourquoi elles le sont, combien de temps elles seront conservées et quels droits ils peuvent exercer.

Pour un directeur juridique, la politique de confidentialité constitue un point de contact direct entre l'entreprise et les personnes concernées. Elle engage la responsabilité de l'organisation en cas de manquement. La CNIL a prononcé en 2023 des sanctions totalisant 89 millions d'euros pour des infractions liées au RGPD, dont une part significative concernait des défauts d'information.

Le document ne se limite pas à un affichage formel. Il doit refléter fidèlement les pratiques de l'entreprise. Une politique de confidentialité qui décrit des traitements inexistants ou qui omet des traitements réels expose l'entreprise à un double risque : la sanction administrative et la perte de confiance des parties prenantes.

Les mentions obligatoires souvent mal comprises

L'article 13 du RGPD énumère les informations à fournir lors de la collecte directe de données personnelles. Ces mentions obligatoires sont fréquemment présentes dans les politiques de confidentialité, mais leur formulation pose régulièrement problème.

La base légale constitue l'une des mentions les plus mal comprises. Chaque traitement doit reposer sur l'une des six bases prévues par l'article 6 du RGPD. Or, de nombreuses politiques mentionnent le consentement comme base universelle, alors que certains traitements reposent sur l'exécution d'un contrat ou sur un intérêt légitime. Cette confusion crée une incohérence juridique exploitable lors d'un contrôle.

La durée de conservation fait également l'objet d'approximations. Le RGPD exige une durée définie ou des critères permettant de la déterminer. Les formulations du type "durée nécessaire aux finalités" ne satisfont pas cette exigence. La CNIL recommande de préciser des durées en années ou en mois, adaptées à chaque catégorie de données.

Une politique de confidentialité conforme nécessite une analyse préalable des traitements effectivement mis en œuvre par l'entreprise.
Consultez un avocat spécialisé en protection des données

Pourquoi les modèles génériques posent problème

Les modèles génériques de politique de confidentialité disponibles en ligne présentent une structure apparemment conforme au RGPD. Toutefois, leur utilisation sans adaptation expose l'entreprise à plusieurs risques.

Le premier problème concerne l'inadéquation avec les traitements réels. Un modèle standard mentionne des finalités types (gestion de la relation client, newsletter, statistiques) qui ne correspondent pas nécessairement aux pratiques de l'entreprise. À l'inverse, il omet les traitements spécifiques au secteur d'activité : vidéosurveillance, géolocalisation des véhicules, scoring client, profilage marketing.

Le deuxième problème touche les sous-traitants et destinataires. Un exemple de politique de confidentialité générique ne peut pas lister les prestataires effectivement utilisés par l'entreprise : hébergeur, CRM, outil d'emailing, solution de paiement, prestataire de support. Or, l'article 13 du RGPD impose d'informer sur les destinataires ou catégories de destinataires.

Le troisième problème concerne les transferts internationaux. De nombreuses entreprises utilisent des services cloud américains (AWS, Google Cloud, Microsoft Azure) ou des outils SaaS dont les serveurs sont situés hors de l'Union européenne. Un modèle générique ne mentionne pas ces transferts ni les garanties associées (clauses contractuelles types, décision d'adéquation).

La jurisprudence de la CNIL confirme cette analyse. Dans sa délibération du 19 décembre 2022 concernant Microsoft Ireland, l'autorité a relevé que l'information fournie aux utilisateurs était "insuffisamment précise" quant aux finalités et aux destinataires. Le même raisonnement s'applique aux entreprises qui utilisent des formulations génériques sans les adapter à leur situation.

Les incohérences fréquentes avec les pratiques réelles

L'écart entre la politique de confidentialité publiée et les pratiques réelles de l'entreprise constitue un risque juridique sous-estimé. Cette incohérence peut résulter d'une rédaction initiale déconnectée des opérations ou d'une évolution des traitements non répercutée dans le document.

Plusieurs situations génèrent ces décalages :

• Nouveaux outils déployés sans mise à jour : l'entreprise adopte un nouvel outil de marketing automation qui collecte des données comportementales non mentionnées dans la politique.
• Sous-traitants non déclarés : un prestataire de support technique accède aux données clients sans figurer parmi les destinataires.
• Durées de conservation non respectées : la politique indique une conservation de 3 ans, mais les bases de données contiennent des données de 10 ans.
• Consentement affiché mais non recueilli : la politique mentionne le consentement comme base légale pour la prospection, mais aucun mécanisme de recueil n'est implémenté.

Ces incohérences sont détectables lors d'un contrôle de la CNIL, d'un audit interne ou d'une demande d'exercice de droits par une personne concernée. Lorsqu'un individu demande l'accès à ses données, l'entreprise doit fournir les informations conformément à ce qui est annoncé dans sa politique. Un écart entre le document et la réponse fournie constitue un indice de non-conformité.

La CNIL a sanctionné en janvier 2022 la société Clearview AI d'une amende de 20 millions d'euros, notamment pour défaut d'information des personnes concernées. L'autorité a relevé que les personnes n'étaient pas informées de la collecte de leurs images faciales sur internet, alors que cette collecte constituait le cœur de l'activité de l'entreprise.

L'alignement entre la politique de confidentialité et les pratiques opérationnelles nécessite une coordination entre les équipes juridiques, IT et métiers.
Faites auditer votre conformité RGPD

Quand une politique de confidentialité devient un risque juridique

Une politique de confidentialité mal rédigée ou obsolète transforme un document de conformité en élément à charge. Plusieurs situations déclenchent ce basculement.

Le contrôle de la CNIL

Lors d'un contrôle sur place ou en ligne, la CNIL examine systématiquement la politique de confidentialité. Elle vérifie la présence des mentions obligatoires, leur exactitude et leur cohérence avec les traitements constatés. Un document incomplet ou inexact constitue un manquement à l'obligation d'information prévue aux articles 12 et 13 du RGPD.

Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. En pratique, la CNIL prononce des amendes proportionnées à la gravité du manquement et à la taille de l'entreprise. En 2023, les PME ont reçu des amendes allant de 5 000 à 150 000 euros pour des défauts d'information.

La plainte d'une personne concernée

Une personne peut saisir la CNIL si elle estime que ses droits ne sont pas respectés. La politique de confidentialité constitue alors la première pièce examinée. Si le document ne mentionne pas les droits de la personne ou ne précise pas la procédure pour les exercer, la plainte a de fortes chances d'aboutir à une mise en demeure.

Le contentieux commercial

Dans un litige entre entreprises, la conformité RGPD peut devenir un argument. Un client ou un partenaire peut invoquer le défaut de conformité pour résilier un contrat ou négocier des conditions. Les clauses de garantie RGPD dans les contrats B2B rendent cette situation fréquente.

Les points de vigilance pour le directeur juridique

• Vérifier la date de dernière mise à jour de la politique
• Comparer les traitements décrits avec le registre des traitements
• S'assurer que les sous-traitants actuels sont mentionnés
• Contrôler la cohérence des durées de conservation avec la politique d'archivage
• Tester la procédure d'exercice des droits

La politique de confidentialité n'est pas un document figé. Elle doit évoluer avec les activités de l'entreprise, les outils utilisés et les évolutions réglementaires. Un processus de révision annuelle, coordonné entre la direction juridique et les équipes opérationnelles, permet de maintenir la conformité dans la durée.

FAQ

Quelle est la différence entre politique de confidentialité et mentions légales ?

Les mentions légales identifient l'éditeur du site et sont obligatoires au titre de la loi pour la confiance dans l'économie numérique (LCEN). La politique de confidentialité concerne spécifiquement le traitement des données personnelles et répond aux exigences du RGPD. Ces deux documents sont distincts et complémentaires.

Faut-il faire valider sa politique de confidentialité par la CNIL ?

La CNIL ne valide pas les politiques de confidentialité des entreprises. Le responsable de traitement est seul responsable de la conformité de son document. La CNIL publie des recommandations et des modèles indicatifs, mais n'effectue pas de contrôle préalable.

À quelle fréquence mettre à jour sa politique de confidentialité ?

Une révision annuelle constitue un minimum. La mise à jour doit intervenir à chaque modification significative : nouveau traitement, changement de sous-traitant, modification des durées de conservation, évolution réglementaire. La date de dernière mise à jour doit figurer dans le document.

Une politique de confidentialité peut-elle être contractuelle ?

La politique de confidentialité est un document d'information, pas un contrat. Elle ne crée pas d'obligations pour la personne concernée. En revanche, son contenu engage l'entreprise : les pratiques annoncées doivent être respectées. Certaines entreprises intègrent un lien vers la politique dans leurs conditions générales.

Que faire si un client demande une copie de la politique de confidentialité ?

L'entreprise doit fournir le document sur simple demande. Le RGPD impose que l'information soit facilement accessible. La politique doit être disponible sur le site web et pouvoir être transmise par email ou courrier si la personne le demande.

Pour aller plus loin

Mentions obligatoires sur le site internet d'un entrepreneur - Service-public.gouv.fr

Guide de la sécurité des données personnelles 2024 - CNIL

Données personnelles en entreprise : les erreurs à éviter - Les Échos

SWIM LEGAL est une alternative au cabinet d’avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l’Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d’accéder rapidement via la plateforme à des avocats d’affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu’il s’agisse d’un dossier, d’une consultation ou d’un renfort temporaire — de manière confidentielle et recevoir des propositions d’avocats pour répondre rapidement à leur demande.