Politique de confidentialité

Dès que votre site collecte une donnée personnelle, ne serait-ce qu'une adresse email dans un formulaire de contact, vous devez expliquer quelles données vous collectez, pourquoi, combien de temps vous les gardez et comment les personnes peuvent exercer leurs droits. C'est le rôle de la politique de confidentialité. Voici ce qu'elle doit contenir, les cas les plus courants sur un petit site, et un plan à adapter.

Le Règlement général sur la protection des données (RGPD) impose une obligation de transparence (articles 12 à 14) : toute personne dont vous traitez les données doit être informée, au moment où vous les collectez, de ce que vous en faites. Sur un site Web, cette information prend la forme d'une page « Politique de confidentialité » (on dit aussi « politique de protection des données » ou « données personnelles »), complétée par une courte mention sous chaque formulaire.

Un site est concerné dès qu'il traite des données personnelles, souvent sans que son propriétaire y pense :

• un formulaire de contact ou de demande de devis ;

• une inscription à une newsletter ;

• des comptes utilisateurs, un espace membres, des commentaires ;

• une boutique en ligne ;

• un outil de statistiques, des publicités ou des vidéos intégrées (YouTube, réseaux sociaux) qui déposent des traceurs.

Les données personnelles ne se limitent pas au nom et à l'email : une adresse IP ou un identifiant de cookie en font aussi partie.

D'après la CNIL, l'information doit préciser dans tous les cas :

• l'identité et les coordonnées du responsable du traitement (vous, ou votre entreprise) ;

• les finalités : à quoi servent les données (répondre aux demandes, envoyer la newsletter, livrer les commandes...) ;

• la base légale de chaque traitement : consentement, exécution d'un contrat, obligation légale, intérêt légitime... ;

• si la fourniture des données est obligatoire ou facultative, et ce qui se passe en cas de refus ;

• les destinataires ou catégories de destinataires, y compris vos sous-traitants (hébergeur, outil d'emailing, outil de statistiques, prestataire de paiement) ;

• la durée de conservation, ou les critères qui permettent de la fixer ;

• les droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité selon les cas) et la façon de les exercer ;

• les coordonnées du délégué à la protection des données (DPO) s'il y en a un, ou d'un point de contact ;

• le droit d'introduire une réclamation auprès de la CNIL.

Et selon les cas :

• l'intérêt légitime poursuivi, si un traitement repose sur cette base ;

• les transferts de données hors de l'Union européenne et les garanties prévues ;

• l'existence d'une décision automatisée ou d'un profilage ;

• le droit de retirer son consentement à tout moment, quand le traitement repose sur le consentement.

Source : CNIL, information des personnes et transparence.

Le tableau ci-dessous donne des exemples courants. La base légale et la durée de conservation sont à décider et à justifier pour votre propre site.

Pour fixer vos durées, la CNIL publie un guide et des référentiels sur les durées de conservation. Les règles sur les cookies et les outils de mesure exemptés de consentement sont détaillées dans Consentement pour l'utilisation des cookies.

• Simple et lisible : la CNIL demande une information « concise, transparente, compréhensible et aisément accessible ». Phrases courtes, pas de jargon, pas de copier-coller d'un modèle qui décrit des traitements que vous ne faites pas.

• En plusieurs niveaux : sous chaque formulaire, deux ou trois lignes (qui collecte, pourquoi, lien vers la politique) ; le détail dans la page dédiée.

• Accessible partout : un lien dans le pied de page, à côté des mentions légales.

• Fidèle à la réalité : faites d'abord l'inventaire des plugins, formulaires, outils et services tiers de votre site. Chaque nouvel outil (chat, emailing, pixel publicitaire) peut demander une mise à jour.

• Datée : indiquez la date de dernière mise à jour.

Sur WordPress, le menu Réglages > Confidentialité permet de désigner la page de politique de confidentialité et propose un guide avec un texte de départ. Ce texte décrit le fonctionnement standard de WordPress (commentaires, cookies de connexion, médias) : il ne connaît ni vos plugins, ni vos outils externes, il faut donc le compléter. La leçon Réglages WordPress - Politique de confidentialité de la formation WordPress montre ce réglage.

1. Qui sommes-nous : responsable du traitement, coordonnées, contact pour les questions sur les données.

2. Les données que nous collectons et pourquoi : une sous-partie par traitement (contact, newsletter, commandes, statistiques...), avec à chaque fois les données, la finalité, la base légale et la durée de conservation.

3. Qui reçoit vos données : prestataires et sous-traitants (hébergeur, emailing, paiement, statistiques), et transferts hors de l'Union européenne s'il y en a.

4. Cookies et traceurs : lesquels, à quoi ils servent, comment modifier son choix.

5. Contenus intégrés : vidéos, cartes ou publications d'autres sites, qui peuvent collecter des données comme si le visiteur se rendait sur ces sites.

6. Vos droits : liste des droits, adresse pour les exercer, délai de réponse (un mois en principe), droit de réclamation auprès de la CNIL.

7. Sécurité : les mesures principales (HTTPS, accès restreints, sauvegardes).

8. Date de mise à jour.

La CNIL propose aussi des exemples de mentions d'information pour les cas les plus courants. Des services spécialisés génèrent et mettent à jour ces textes : voir les services spécialisés.

Le manquement à l'obligation d'information fait partie des infractions au RGPD que la CNIL peut sanctionner. Pour les manquements aux droits des personnes, dont la transparence, l'article 83 du RGPD prévoit une amende administrative pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Ces plafonds concernent surtout les grandes entreprises, mais les petites structures ne sont pas à l'abri d'un contrôle, par exemple après la plainte d'un visiteur. Le Code pénal prévoit en outre une contravention pour défaut d'information des personnes (fiche Service Public).

Pour le cadre général, voir aussi la page RGPD et l'ensemble des obligations légales d'un site Internet.