Bien rédiger sa politique de confidentialité

Un matin, un client vous écrit : « Quelles informations avez-vous sur moi, et qui d'autre y a accès ? » La politique de confidentialité de votre site devrait déjà contenir la réponse, dans des mots qu'il comprend. Cette page ne se recopie pas d'un autre site : elle décrit ce que le vôtre fait réellement des données de vos visiteurs et de vos clients.

Une page distincte des mentions légales et du bandeau cookies

Trois éléments se côtoient en bas de page, avec des rôles différents. Les mentions légales disent qui édite le site et qui l'héberge ; leur contenu est détaillé dans le guide des mentions légales d'un auto-entrepreneur. Le bandeau cookies recueille l'accord du visiteur pour les traceurs qui l'exigent. La politique de confidentialité, elle, explique ce que vous faites des données personnelles, en application du RGPD, le règlement européen sur la protection des données.

Elle devient nécessaire dès que votre site recueille des informations sur des personnes : formulaire de contact ou de devis, réservation, inscription à une newsletter, compte client, commande, mais aussi certains outils de statistiques ou contenus intégrés. Les règles de base sur les cookies et les formulaires sont résumées dans l'article sur le RGPD pour un petit site.

Commencer par l'inventaire de vos outils

Avant d'écrire une ligne, faites la liste de tous les endroits par lesquels des données entrent sur votre site ou transitent par lui. Pour un commerce ou un indépendant, on retrouve souvent :

le formulaire de contact ou de demande de devis, et la boîte e-mail qui reçoit les messages ;
le module de réservation ou de prise de rendez-vous, souvent fourni par un prestataire extérieur ;
l'outil d'envoi de la newsletter ;
la boutique en ligne et le prestataire de paiement ;
l'outil de mesure d'audience ;
les contenus intégrés : carte, vidéo, avis, bouton de messagerie ;
l'hébergeur, qui conserve souvent des journaux techniques de connexion.

Pour chaque outil, notez les données concernées, leur usage, le prestataire qui les reçoit et le pays où elles sont traitées. Cette liste servira aussi de base au registre des traitements, un document interne dont la CNIL propose un modèle simplifié sur cnil.fr.

Les rubriques attendues

Qui est responsable

Indiquez le nom de votre entreprise, en tant que responsable du traitement des données, et une adresse de contact pour toute question sur leur usage. Si vous avez désigné un délégué à la protection des données, donnez aussi ses coordonnées.

Quelles données, pour quoi faire, sur quelle base

Pour chaque usage, précisez les données collectées, le but poursuivi et la base légale, c'est-à-dire la raison qui vous autorise à les traiter. Pour un petit site, les plus courantes sont le consentement, la réponse à une demande ou l'exécution d'un contrat, le respect d'une obligation légale et l'intérêt légitime. Une présentation par outil reste la plus lisible, par exemple :

« Demande de devis : votre nom, votre téléphone, votre e-mail et la description de votre projet servent à vous répondre et à établir le devis demandé. Base légale : les démarches préalables au contrat, faites à votre demande. »

Qui reçoit les données

Citez les personnes qui y ont accès dans votre entreprise et les prestataires qui les traitent pour vous : hébergeur, outil de réservation, service d'envoi d'e-mails, prestataire de paiement. Si certains les traitent hors de l'Union européenne, indiquez-le, avec les garanties sur lesquelles repose ce transfert ; le prestataire les mentionne en principe dans ses propres documents.

Combien de temps vous les gardez

Donnez une durée de conservation pour chaque usage, ou le critère qui la détermine : la fin de la relation commerciale, le dernier contact, une obligation comptable. La CNIL publie des repères pour plusieurs activités, notamment la gestion des clients et des prospects. Fixez des durées que vous appliquerez vraiment, puis triez vos fichiers en conséquence.

Les droits des personnes

Rappelez les droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que la possibilité de retirer un consentement à tout moment. Expliquez comment les exercer, par exemple par e-mail, et mentionnez le droit d'adresser une réclamation à la CNIL. Ajoutez un renvoi vers la gestion des cookies, pour que chacun puisse modifier ses choix.

Écrire pour être lu

Une politique de confidentialité sert d'abord à informer, et un texte juridique interminable décourage la lecture. Écrivez des phrases courtes, avec un intertitre par usage, et évitez le jargon. Datez la page, pour que chacun sache si elle est à jour.

Complétez-la par une information courte là où les données sont collectées. Sous un formulaire de réservation, une ligne suffit : « Vos coordonnées servent à gérer votre réservation et à vous envoyer un rappel la veille. En savoir plus : politique de confidentialité. » Un lien vers la politique complète figure aussi dans le pied de page de tout le site.

La garder fidèle à votre site

Une politique exacte le jour de la mise en ligne peut devenir fausse six mois plus tard. Mettez-la à jour à chaque changement d'outil : nouveau module de réservation, newsletter lancée, outil de statistiques remplacé, bouton de messagerie ajouté. Relisez-la aussi une fois par an, la liste de vos outils sous les yeux. Les erreurs les plus fréquentes se repèrent vite :

un modèle copié qui cite des outils absents de votre site ;
la phrase « aucun cookie n'est utilisé » sur un site qui en dépose pourtant, par ses statistiques ou ses vidéos intégrées ;
une adresse de contact que plus personne ne consulte ;
l'oubli du droit de réclamation auprès de la CNIL.

Pour la mesure d'audience, certains outils peuvent être configurés pour se passer de consentement, à des conditions précises présentées dans l'article sur la mesure d'audience sans cookies : votre politique doit alors décrire ce réglage.

Vos prochaines étapes

Faites cette semaine l'inventaire des outils de votre site et des données qu'ils recueillent.
Rédigez ou corrigez la page rubrique par rubrique, en vous appuyant sur les fiches pratiques et les modèles de cnil.fr.
Ajoutez une information courte sous chaque formulaire et vérifiez le lien dans le pied de page. Pour un nouveau site, listez dès votre demande de devis les outils envisagés, afin que les pages légales soient pensées en même temps que le reste.