Politique de confidentialité : le contenu attendu par le RGPD

Une politique de confidentialité est la réponse écrite à une obligation d’information. Le règlement général sur la protection des données (RGPD) ne parle pas de « politique de confidentialité » : il impose au responsable d’un traitement de données personnelles de dire aux personnes concernées ce qu’il fait de leurs données. Sur un site, cette information prend presque toujours la forme d’une page dédiée.

Quand elle est nécessaire

Dès que le site collecte des données personnelles. Un formulaire de contact recueille un nom et une adresse électronique ; un espace client, une commande ou une inscription à une lettre d’information en recueillent davantage. Un site qui ne collecte aucune donnée personnelle n’a rien à décrire, mais c’est plus rare qu’il n’y paraît : les journaux techniques de l’hébergeur contiennent des adresses IP.

Selon la CNIL, l’information est donnée au moment de la collecte lorsque les données sont recueillies directement auprès de la personne. Lorsqu’elles sont obtenues autrement, elle doit l’être dans un délai d’un mois au plus.

Ce qu’elle doit contenir

L’article 13 du RGPD énumère les informations à fournir lorsque les données sont collectées auprès de la personne. La CNIL les résume ainsi :

• l’identité et les coordonnées de l’organisme qui traite les données ;
• les finalités du traitement, c’est-à-dire à quoi servent les données ;
• la base légale qui autorise chaque traitement ;
• le caractère obligatoire ou facultatif des données demandées, et les conséquences d’un refus de les fournir ;
• les destinataires ou catégories de destinataires, y compris les sous-traitants ;
• la durée de conservation, ou les critères qui permettent de la déterminer ;
• les droits des personnes : accès, rectification, effacement, limitation notamment ;
• les coordonnées du délégué à la protection des données, s’il en a été désigné un ;
• le droit d’introduire une réclamation auprès de la CNIL.

D’autres informations s’ajoutent selon la situation : l’intérêt légitime poursuivi lorsque c’est la base légale retenue, les transferts de données hors de l’Union européenne, ou l’existence d’une prise de décision automatisée.

Comment la présenter

L’article 12 du RGPD demande une information « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». La CNIL recommande un vocabulaire simple et des phrases courtes, une présentation adaptée au public visé, et une information distinguée des autres contenus du site. Elle admet une présentation à plusieurs niveaux : l’essentiel au moment de la collecte, par exemple sous un formulaire, et le détail sur une page complète.

Les deux rôles à ne pas confondre

Le RGPD distingue le responsable du traitement, qui détermine les finalités et les moyens du traitement, et le sous-traitant, qui traite des données pour son compte. Pour un site d’entreprise, le responsable est en général l’entreprise elle-même ; l’hébergeur, l’outil d’envoi de courriels ou le prestataire de paiement sont ses sous-traitants, et la politique de confidentialité doit les faire apparaître parmi les destinataires.

Une page à tenir à jour

Une politique de confidentialité décrit des traitements réels. Elle devient inexacte dès qu’un nouveau prestataire reçoit des données, qu’un formulaire change ou qu’une durée de conservation évolue. C’est l’intérêt d’une page produite à partir des réponses de l’entreprise : un prestataire ajouté dans les réponses apparaît dans la liste des destinataires de la page publiée.

Ce qu’elle ne remplace pas

La politique de confidentialité informe ; elle ne dispense d’aucune autre obligation du RGPD. Elle ne recueille pas le consentement aux traceurs, qui passe par le bandeau cookies lorsqu’il est requis.