Modèle de politique de confidentialité
Une politique de confidentialité informe les personnes sur l’usage de leurs données : qui est responsable, pourquoi vous les collectez, combien de temps vous les gardez et comment exercer leurs droits. Le modèle suit la liste de la CNIL ; il doit être adapté à vos traitements réels avant toute publication.
Téléchargez le modèle de politique de confidentialité
Téléchargez la politique de confidentialité en blanc ou l’exemple rempli d’une boutique, en Word ou en PDF, à adapter à vos traitements.
Informations à donner aux personnes : ce que demande la CNIL
La CNIL détaille ce que doit contenir l’information des personnes dont vous traitez les données. Le tableau reprend sa fiche sur l’information des personnes et la transparence : ce qui est exigé dans tous les cas, ce qui dépend du traitement, le moment de l’information et la forme du document. La CNIL parle de notice d’information plutôt que de politique de confidentialité ; les deux termes désignent ici le même document.
| Obligation ou particularité | Concerne | Source |
|---|---|---|
| L’information des personnes doit être concise, transparente, compréhensible et aisément accessible. | CNIL, Conformité RGPD : information des personnes et transparence (RGPD, art. 12, 13 et 14) | |
| Dans tous les cas, la notice indique l’identité et les coordonnées du responsable, les finalités, la base légale, le caractère obligatoire ou facultatif de la collecte, les destinataires (dont les sous-traitants), la durée de conservation, les droits d’accès, de rectification, d’effacement et de limitation, les coordonnées du DPO ou d’un point de contact et le droit de réclamation auprès de la CNIL. | CNIL, information des personnes (RGPD, art. 13) | |
| Selon les cas, la notice ajoute les intérêts légitimes, les transferts hors de l’Union européenne et leurs garanties, la décision automatisée ou le profilage, le droit de retirer le consentement, les droits d’opposition et de portabilité ; en collecte indirecte, les catégories de données et leur source. | CNIL, information des personnes (RGPD, art. 13 et 14) | |
| En collecte directe, l’information est donnée au moment de la collecte ; en collecte indirecte, dès que possible et au plus tard dans un délai d’un mois. Une nouvelle information est nécessaire en cas de modification substantielle. | CNIL, information des personnes (RGPD, art. 14) | |
| Phrases courtes, vocabulaire simple, pas de document de plusieurs dizaines de pages ; information à plusieurs niveaux : identité, finalités et droits d’abord, puis lien vers la notice complète. | CNIL, information des personnes (information à plusieurs niveaux) |
Le texte intégral des articles 13 et 14 du RGPD n’a pas été relu pour cette page : le tableau s’appuie sur la fiche de la CNIL.
Décrire vos traitements réels : formulaire de contact, newsletter, boutique en ligne, candidatures
Une politique copiée sur un autre site décrit les traitements de ce site, pas les vôtres. Commencez par lister ce que vous collectez vraiment, puis remplissez le modèle traitement par traitement.
| Traitement | Finalité à écrire | Données à lister | Destinataires à citer |
|---|---|---|---|
| Formulaire de contact | Répondre aux demandes reçues | Nom, adresse e-mail, message | Équipe, hébergeur du site |
| Lettre d’information | Envoyer des actualités aux inscrits | Adresse e-mail, prénom | Outil d’envoi, hébergeur |
| Boutique en ligne, par exemple sur Shopify | Traiter et livrer les commandes | Identité, adresses, historique d’achats | Plateforme de vente, prestataire de paiement, transporteur |
| Candidatures | Examiner les candidatures reçues | CV, coordonnées | Équipe de recrutement |
La durée de conservation et la base légale de chaque ligne restent à décider : la base dépend de la finalité (consentement, intérêts légitimes…), faites-la valider si vous hésitez.
Rédiger une politique de confidentialité en sept étapes
- Listez vos traitements : formulaires, comptes clients, commandes, newsletter, candidatures.
- Notez pour chacun la finalité, les données collectées et la base légale.
- Identifiez les destinataires : votre équipe, l’hébergeur, les prestataires qui reçoivent les données.
- Fixez une durée de conservation par finalité, puis appliquez-la réellement.
- Vérifiez les transferts hors de l’Union européenne et les garanties qui les encadrent.
- Rédigez en phrases courtes, avec un message court au point de collecte et le texte complet en lien.
- Publiez et datez le document, puis mettez-le à jour dès qu’un traitement change de façon substantielle.
Information à deux niveaux : un message court au point de collecte, le texte complet en lien
La CNIL recommande d’éviter un document de plusieurs dizaines de pages. Le premier niveau tient en quelques lignes, au moment où la personne remplit un formulaire : identité du responsable, finalités, droits. Le second niveau est la notice complète, accessible par un lien.
Exemple de premier niveau pour un formulaire de contact : « Vos données sont traitées par notre entreprise pour répondre à votre demande. Vous disposez de droits d’accès, de rectification, d’effacement et de limitation. Pour en savoir plus, consultez notre politique de confidentialité. »
Gardez un vocabulaire simple et des phrases courtes dans les deux niveaux : l’information doit être compréhensible sans connaissance juridique.
Moment de l’information : à la collecte, ou dans le mois quand les données viennent d’ailleurs
| Situation | Moment de l’information | À ajouter |
|---|---|---|
| Collecte directe auprès de la personne | Au moment de la collecte | Le contenu habituel de la notice |
| Collecte indirecte, par exemple des données reçues d’un partenaire | Dès que possible, au plus tard dans un délai d’un mois | Les catégories de données et leur source |
| Modification substantielle du traitement | Nouvelle information des personnes | Ce qui change et pourquoi |
Dans le modèle, le champ « source des données » sert au deuxième cas : laissez-le vide si toutes vos données sont collectées auprès des personnes elles-mêmes. Pour une association, le bulletin d’adhésion collecte aussi des données : voyez le modèle de bulletin d’adhésion.
Ce que le modèle ne couvre pas : cookies, mentions légales, CGU et CGV
La politique de confidentialité ne remplace pas les autres textes d’un site. La politique de cookies n’est pas traitée par ce modèle, et nous n’avons retenu aucune règle à son sujet : préparez-la séparément.
Les mentions légales d’un site professionnel sont distinctes : dénomination ou nom, forme juridique, siège, coordonnées, numéro d’immatriculation, et nom, adresse et téléphone de l’hébergeur. Elles peuvent figurer dans les conditions générales de vente ou sur une page dédiée.
Si vous vendez en ligne, préparez vos conditions générales de vente ; pour un service, vos conditions générales d’utilisation. Si vous collectez des adresses pour une newsletter, reliez-la à votre plan de communication pour garder une seule liste de finalités.
À vérifier avant de publier la politique de confidentialité
- L’identité et les coordonnées du responsable sont indiquées, avec un contact pour exercer les droits.
- Chaque finalité a sa base légale, ses données et sa durée de conservation.
- Les destinataires, prestataires compris, sont cités.
- Les transferts hors de l’Union européenne et leurs garanties sont mentionnés, s’il y en a.
- Le droit de réclamation auprès de la CNIL figure dans le texte.
- Un lien vers la notice complète est placé près de chaque formulaire.
Sources : CNIL, Conformité RGPD : information des personnes et transparence (RGPD, art. 12, 13 et 14) · CNIL, information des personnes (RGPD, art. 13) · CNIL, information des personnes (RGPD, art. 13 et 14) · CNIL, information des personnes (RGPD, art. 14) · CNIL, information des personnes (information à plusieurs niveaux). Les exemples sont fictifs et chiffrés automatiquement ; ils ne remplacent pas l’avis d’un expert-comptable. Notre méthode.
Modèle et exemple vérifiés le .
Questions fréquentes : modèle de politique de confidentialité
Une politique de confidentialité est-elle obligatoire ?
Oui, dans le fond : vous devez informer les personnes dont vous collectez les données, et la CNIL précise le contenu et la forme de cette information. Le document porte souvent le nom de politique de confidentialité ; la CNIL parle de notice d’information. Ces règles valent dès que vous collectez des données personnelles, même par un simple formulaire.
Que doit contenir une politique de confidentialité ?
Dans tous les cas : l’identité et les coordonnées du responsable, les finalités, la base légale, le caractère obligatoire ou facultatif de la collecte, les destinataires, la durée de conservation, les droits des personnes, un contact ou les coordonnées du DPO et le droit de réclamation auprès de la CNIL. D’autres mentions s’ajoutent selon vos traitements.
Quel délai pour informer les personnes dont les données ne viennent pas d’elles ?
Dès que possible et au plus tard dans un délai d’un mois, d’après la fiche de la CNIL sur l’information des personnes. En collecte directe, l’information doit être donnée au moment de la collecte. Dans le cas indirect, précisez aussi les catégories de données concernées et leur source. Une modification substantielle impose d’informer de nouveau.
Peut-on copier la politique de confidentialité d’un autre site ?
Non : un texte copié décrit les traitements d’un autre site, pas les vôtres. La CNIL attend une information concise et compréhensible, qui mentionne votre identité, vos finalités, vos durées et vos destinataires. Servez-vous d’un modèle pour la structure, puis remplacez chaque rubrique par vos données réelles : formulaires, prestataires, durées de conservation.
Quelle durée de conservation indiquer dans une politique de confidentialité ?
Celle que vous avez fixée pour chaque finalité : la CNIL demande d’indiquer la durée de conservation, mais la fiche retenue ici ne donne aucune durée unique. Fixez-la selon l’usage de chaque donnée, par exemple une durée pour les messages de contact et une autre pour les clients, écrivez-la, puis supprimez les données à l’échéance.
Quels droits mentionner dans une politique de confidentialité ?
Dans tous les cas, les droits d’accès, de rectification, d’effacement et de limitation, ainsi que le droit de réclamation auprès de la CNIL. Selon le traitement, ajoutez le droit de retirer le consentement, les droits d’opposition et de portabilité. Indiquez aussi comment les exercer : une adresse de contact ou celle du DPO.