Temps de lecture estimé : 8 minutes
Points clés à retenir
- 9 mentions obligatoires issues des articles 13.1 et 13.2 du RGPD : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits, retrait du consentement, réclamation CNIL, transferts hors UE.
- Méthode en 3 étapes : cartographie des traitements (registre art. 30), attribution d’une base légale par traitement, rédaction en 2 niveaux avec date et version visibles.
- Deux documents distincts : mentions légales (LCEN) pour identifier l’éditeur, politique de confidentialité (RGPD) pour décrire les traitements — tous deux obligatoires.
- Un modèle n’est qu’un point de départ : sans adaptation des finalités et des outils réellement installés (Hotjar, Meta Pixel, CRM…), le document est faux.
- Sanctions jusqu’à 4 % du CA mondial ou 20 M€ ; le contrôle coordonné européen 2026 cible en priorité l’e-commerce et les applications mobiles.
Sommaire
Rédiger une politique de confidentialité conforme au RGPD n’a rien de sorcier — à condition d’arrêter de copier-coller un modèle trouvé sur Google sans le personnaliser. Sur un site client e-commerce le mois dernier, j’ai encore trouvé une page qui mentionnait « notre DPO » alors que le client n’en avait jamais nommé un. Document publié depuis deux ans, jamais relu. La CNIL n’aurait pas eu besoin de chercher longtemps.
Vous collectez un email via un formulaire, un cookie ou une newsletter ? Vous êtes concerné par l’article 13 du RGPD. Point. Que vous soyez artisan, e-commerçant ou SaaS, la vraie question n’est pas « est-ce que je dois en avoir une » mais « est-ce que la mienne tient la route ».
Voici la méthode concrète : les 9 mentions obligatoires issues de l’article 13, un tableau de formulations prêtes à adapter, la démarche en 3 étapes, et les 3 erreurs qui invalident un document. Pas un traité de droit.
Pourquoi votre site doit-il afficher une politique de confidentialité (et ce que dit vraiment l’article 13)
La politique de confidentialité RGPD est le document public qui informe vos utilisateurs sur ce que vous faites de leurs données personnelles. Ce n’est ni un document interne, ni un contrat, ni les mentions légales.
Le cadre : l’article 13 du RGPD (règlement européen 2016/679) impose une obligation d’information. L’article 12 ajoute qu’elle doit être concise, transparente, compréhensible et facile d’accès. Traduction concrète : accessible en un clic depuis n’importe quelle page, en français clair, pas noyée dans un PDF de 40 pages.
Qui est concerné ? Toute structure qui collecte des données : formulaire de contact, newsletter, compte client, paiement, cookies analytiques, commentaire de blog. Ça dépend évidemment du volume, mais dès un formulaire, vous êtes dans le périmètre.
Distinction utile, souvent confondue : les mentions légales (obligation LCEN) identifient l’éditeur du site. La politique de confidentialité (obligation RGPD) décrit le traitement des données. Deux documents distincts, tous deux obligatoires.
À retenir : La politique de confidentialité est publique, accessible en un clic, à jour, et distincte des mentions légales.
Les 9 mentions obligatoires à ne pas oublier (avec exemples de formulation)
C’est la question qui revient le plus : « quelles mentions sont obligatoires ? ». La réponse est dans les articles 13.1 et 13.2 du RGPD. Gardez ce tableau sous le coude — mais adaptez chaque phrase à votre activité réelle, ne recopiez jamais tel quel.
| Mention obligatoire | Référence | Exemple de formulation |
|---|---|---|
| Identité et coordonnées du responsable | Art. 13.1.a | « Le responsable de traitement est [Société], [adresse], [email]. » |
| Finalités du traitement | Art. 13.1.c | « Vos données servent à gérer votre compte client. » |
| Base légale | Art. 6 + 13.1.c | « Ce traitement repose sur votre consentement (art. 6.1.a). » |
| Destinataires | Art. 13.1.e | « Vos données sont transmises à notre prestataire de paiement. » |
| Durée de conservation | Art. 13.2.a | « 3 ans à compter du dernier contact. » |
| Droits des personnes | Art. 13.2.b | « Vous disposez d’un droit d’accès, de rectification, d’effacement… » |
| Retrait du consentement | Art. 13.2.c | « Vous pouvez retirer votre consentement à tout moment. » |
| Réclamation CNIL | Art. 13.2.d | « Vous pouvez saisir la CNIL (cnil.fr) en cas de litige. » |
| Transferts hors UE | Art. 13.1.f | « Aucun transfert hors UE n’est réalisé » (ou mention des garanties). |
Un point souvent zappé : la méthode des 2 niveaux d’information recommandée par la CNIL. En tête de document, un résumé clair en 5-6 phrases (finalités principales, droits, contact). Puis le détail traitement par traitement. C’est ce qui rend le document lisible sans le vider de sa substance.
En auditant un site qui avait acheté 400 backlinks pourris l’an dernier, je suis tombé sur une politique parfaitement rédigée. Le client avait payé un cabinet. La blague : elle ne mentionnait aucun outil installé depuis (Hotjar, Meta Pixel, Klaviyo). Conforme sur le papier, fausse dans les faits.
La méthode de rédaction en 3 étapes (avant de copier un modèle)
Un modèle politique de confidentialité RGPD gratuit, c’est un point de départ, pas un livrable. Publié brut, vous aurez un joli document inutile. Voici la démarche concrète.
- Cartographier les traitements. Listez tous les endroits qui collectent des données : contact, newsletter, compte client, paiement, cookies, CRM, chat support. C’est votre registre des traitements (article 30 RGPD) — tableau interne, obligatoire au-delà de 250 salariés et recommandé pour tous.
- Attribuer une base légale par traitement. La base légale, c’est ce qui autorise juridiquement le traitement. Quatre reviennent en pratique : consentement (newsletter), contrat (facturation, livraison), intérêt légitime (sécurité, anti-fraude), obligation légale (comptabilité, fiscalité). Une base par traitement, jamais une base unique pour tout le site.
- Rédiger en 2 niveaux, puis dater. Résumé en tête + détail par finalité. Ajoutez une date de mise à jour et un numéro de version en haut de page. C’est un signal de conformité que la CNIL regarde — et ça vous force à relire.
Conseil : Avant de publier votre politique, posez-vous une question : « si un utilisateur lit uniquement les 10 premières lignes, comprend-il ce que je fais de ses données ? ». Si la réponse est non, réécrivez l’intro.
Faut-il un DPO (délégué à la protection des données) pour rédiger ? Pas obligatoire partout. Obligatoire si vous traitez à grande échelle des données sensibles ou si vous faites du suivi systématique (profilage). Pour un site vitrine ou un petit e-commerce, un modèle bien adapté suffit souvent. Pour un SaaS B2B ou un site santé, un DPO externe (300 à 800 €/mois selon périmètre) sécurise l’ensemble.
Les 3 erreurs qui invalident une politique (et les sanctions 2026)
J’ai relu une quinzaine de politiques ces six derniers mois. Trois erreurs reviennent systématiquement.
- Erreur 1 — Copier un modèle sans adapter les finalités et les bases légales. Un template qui parle de « prospection commerciale » sur un site qui n’en fait pas, et qui oublie votre outil de chat : le document est faux, pas juste incomplet.
- Erreur 2 — Omettre les cookies et traceurs. La politique de confidentialité doit renvoyer à une politique cookies séparée et à un bandeau de consentement conforme (CMP). Sur une boutique en ligne auditée le mois dernier, le bandeau refusait l’opt-out — non conforme depuis 2020.
- Erreur 3 — Ne jamais mettre à jour. Après une migration ratée que j’ai dû rattraper, la nouvelle politique n’avait jamais été mise en ligne sur le nouveau site. Un nouvel outil = une nouvelle finalité = une mise à jour.
Les sanctions ? La CNIL peut prononcer des amendes jusqu’à 4 % du chiffre d’affaires mondial ou 20 M€ (le montant le plus élevé retenu). En pratique, les mises en demeure précèdent presque toujours la sanction. Et le contrôle coordonné européen 2026 cible les secteurs qui collectent massivement — e-commerce et applications mobiles en tête.
Attention : Une politique de confidentialité non mise à jour ne vous protège pas. C’est un document vivant, pas un livrable qu’on publie et qu’on oublie.
FAQ : 4 questions fréquentes sur la politique de confidentialité RGPD
Quelle est la différence entre politique de confidentialité et mentions légales ?
Les mentions légales identifient l’éditeur du site (LCEN), la politique de confidentialité décrit le traitement des données (RGPD). Les deux sont obligatoires et doivent être accessibles séparément.
Peut-on utiliser un modèle gratuit de politique de confidentialité ?
Oui, comme point de départ — à condition de l’adapter à votre activité réelle. Finalités, bases légales, durées de conservation et destinataires doivent refléter vos outils et process. Un modèle non personnalisé se repère immédiatement.
Faut-il un DPO pour rédiger sa politique ?
Non, sauf cas particuliers (données sensibles à grande échelle, suivi systématique). Un DPO externe reste recommandé pour les SaaS B2B et les sites santé. Pour un site vitrine, une relecture ponctuelle suffit.
À quelle fréquence mettre à jour sa politique de confidentialité ?
À chaque évolution des traitements (nouvel outil, nouvelle finalité) et au minimum une fois par an. Affichez la date de mise à jour et la version : c’est un signal de transparence.
Ce qui distingue une politique conforme d’une jolie page
Récapitulons : l’obligation vient de l’article 13 du RGPD (information) et de l’article 12 (clarté). Les 9 mentions obligatoires tiennent dans un tableau. La méthode en 3 étapes — cartographie, base légale, rédaction en 2 niveaux — vous évite de bricoler un copier-coller.
Franchement, le vrai piège n’est pas là. Il est de traiter ce document comme une case à cocher. Une politique de confidentialité vit avec votre site : elle change quand vous ajoutez un outil, quand vous changez de prestataire, quand vous ouvrez un nouveau formulaire.
Un modèle conforme est un point de départ, pas un livrable. Si vous devez retenir une chose : rédiger une politique de confidentialité conforme au RGPD, c’est 2 heures bien investies — et zéro euro côté budget, tant que vous n’avez pas besoin d’un DPO ou d’un avocat pour valider un cas complexe.