La politique de confidentialité désigne le document par lequel le responsable de traitement délivre aux personnes concernées les informations exigées par les articles 13 et 14 du Règlement (UE) 2016/679 (RGPD). Elle constitue la matérialisation principale du principe de transparence posé à l'article 5 paragraphe 1 a) du règlement et conditionne l'effectivité des droits ouverts aux personnes concernées. L'enjeu pratique de la politique de confidentialité est central. Elle constitue souvent le premier document que les personnes concernées consultent pour comprendre les traitements effectués sur leurs données, et elle joue un rôle probatoire en cas de contrôle CNIL. Une politique incomplète, obsolète ou rédigée en termes vagues fragilise l'ensemble du dispositif RGPD et expose à des sanctions au titre de l'article 83 paragraphe 5 b) du règlement. La pratique a forgé une typologie de politiques de confidentialité selon le contexte d'application : politique générale d'un site web ou d'une application, notice spécifique pour un traitement particulier, mention abrégée pour les communications courtes, politique différenciée selon les profils d'utilisateurs (clients, prospects, candidats, salariés). Cette pluralité documentaire impose une architecture cohérente que la politique principale doit présenter. Vous souhaitez rédiger ou auditer votre politique de confidentialité ? Le Cabinet Aurore Bonavia rédige et met à jour les politiques de confidentialité conformes au RGPD. → Voir l'accompagnement en droit du numérique Les mentions obligatoires des articles 13 et 14 L'article 13 du RGPD énumère les mentions obligatoires lorsque les données sont collectées directement auprès de la personne concernée : l'identité et les coordonnées du responsable de traitement et, le cas échéant, du représentant ; les coordonnées du DPO lorsqu'il est désigné ; les finalités du traitement et la base légale sur laquelle il repose ; les intérêts légitimes poursuivis lorsque la base légale est l'article 6 paragraphe 1 f) ; les destinataires ou catégories de destinataires des données ; les transferts vers des pays tiers ou organisations internationales et les garanties appropriées mises en place ; la durée de conservation des données ou les critères utilisés pour la déterminer ; les droits de la personne concernée (accès, rectification, effacement, limitation, portabilité, opposition) ; le droit de retirer le consentement lorsque le traitement est fondé sur le consentement ; le droit de réclamation auprès de l'autorité de contrôle ; l'indication du caractère obligatoire ou facultatif de la fourniture des données et des conséquences de la non-fourniture ; l'existence d'une prise de décision automatisée, y compris un profilage, et des informations sur la logique sous-jacente. L'article 14 du RGPD complète ces mentions pour les hypothèses où les données sont collectées indirectement (auprès d'un tiers, via une plateforme partenaire, par scraping de données publiques) en imposant l'information sur les catégories de données concernées et la source des données. L'exigence de transparence et de clarté L'article 12 paragraphe 1 du RGPD impose au responsable de traitement de fournir l'information dans une forme concise, transparente, compréhensible et aisément accessible : « Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. » Cette exigence de clarté impose plusieurs aménagements rédactionnels : l'utilisation de termes courants plutôt que d'expressions juridiques techniques inaccessibles ; l'organisation logique de l'information par sections clairement identifiées ; la hiérarchisation des informations selon leur importance pour la personne concernée ; l'utilisation de techniques visuelles facilitant la compréhension (tableaux récapitulatifs, icônes, mise en évidence) ; la traduction dans la langue de la personne concernée lorsque le service vise un public international. L'EDPB a précisé dans ses Lignes directrices WP260 sur la transparence que les politiques de confidentialité doivent éviter le jargon juridique excessif, les formulations vagues et les généralisations abstraites. La pratique recommande des politiques en couches (layered notices) qui présentent en premier niveau les informations essentielles et renvoient à des sections détaillées pour les informations complémentaires. L'accessibilité et la mise à disposition La politique de confidentialité doit être aisément accessible depuis l'ensemble des points de collecte des données. La pratique impose plusieurs aménagements : un lien permanent vers la politique de confidentialité dans le pied de page de tous les sites web et applications ; une présentation au moment de la collecte dans les formulaires (lien hypertexte ou bandeau d'information) ; un rappel dans les communications électroniques (footer des emails, mentions dans les notifications push) ; une disponibilité dans plusieurs langues lorsque le service vise un public multilingue ; une adaptation aux supports de consultation (responsive design pour mobiles, version texte pour les lecteurs d'écran). Pour les traitements particuliers (programmes de fidélité, candidatures à un emploi, espaces patient pour la santé), la pratique recommande la mise à disposition de notices spécifiques complétant la politique générale. Ces notices détaillent les particularités du traitement concerné sans alourdir la politique principale. La mise à jour et l'information sur les modifications La politique de confidentialité doit être maintenue à jour pour refléter les évolutions du traitement. Les modifications substantielles (changement de finalité, ajout de catégories de données, nouveaux destinataires, transferts internationaux supplémentaires) doivent être portées à la connaissance des personnes concernées par tout canal effectif : email ou notification dans le compte utilisateur pour les services en ligne ; bandeau d'information lors de la connexion suivante ; communication dédiée pour les modifications les plus importantes (évolution majeure du modèle économique, nouvelles bases légales). L'Avis CNIL sur les modifications des politiques de confidentialité précise que la simple mise à jour silencieuse, sans information préalable des personnes concernées, ne satisfait pas aux exigences du RGPD. La pratique recommande la conservation des versions antérieures de la politique pour permettre la traçabilité des évolutions et la défense en cas de contestation ultérieure. L'indication de la date de la dernière mise à jour constitue un standard rédactionnel essentiel. Cette date permet aux personnes concernées et aux autorités de contrôle de vérifier la fraîcheur du document et la cohérence avec les pratiques effectives du responsable de traitement. Spécificité juridique sur les sanctions et les contrôles CNIL L'article 83 paragraphe 5 b) du RGPD inscrit le manquement aux obligations d'information des articles 13 et 14 dans la deuxième catégorie de sanctions administratives, dont le plafond atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total. Cette qualification reflète l'importance accordée par le règlement à la transparence comme préalable à l'exercice des droits. Plusieurs sanctions emblématiques de la CNIL ont concerné la qualité des politiques de confidentialité : la sanction du 21 janvier 2019 contre Google (50 millions d'euros) a notamment retenu un défaut de transparence sur les finalités et les bases légales du traitement publicitaire ; la sanction du 31 décembre 2021 contre Facebook Ireland (60 millions d'euros) a sanctionné le défaut de mise en place de mécanismes simples permettant le refus des cookies ; la sanction du 27 décembre 2023 contre Yahoo (10 millions d'euros) a sanctionné le défaut de prise en compte du retrait du consentement aux cookies ; la sanction du 21 décembre 2023 contre Amazon France Logistique (32 millions d'euros) a sanctionné des manquements à l'information dans le contexte de surveillance des salariés. La CNIL a publié plusieurs guides pratiques sur la rédaction des politiques de confidentialité, dont le guide pratique de mise en conformité régulièrement mis à jour. Ces ressources constituent une référence pour la pratique française et orientent les contrôles sur le terrain. L'arrêt CJUE Bundesverband der Verbraucherzentralen und Verbraucherverbände du 28 mai 2020 (C-61/19) a précisé que les associations de consommateurs disposent d'un droit d'action en cessation contre les politiques de confidentialité non conformes, en complément de l'action des autorités de contrôle. Cette voie procédurale renforce l'exposition juridique des responsables de traitement défaillants. Le cabinet Aurore Bonavia se charge de vos enjeux en matière de politique de confidentialité la rédaction de politiques de confidentialité conformes aux articles 13 et 14 du RGPD ; l'audit des politiques existantes au regard des évolutions doctrinales et jurisprudentielles ; la rédaction de politiques en couches (layered notices) facilitant la compréhension ; la rédaction de notices spécifiques pour les traitements particuliers (fidélité, candidatures, santé) ; la mise en place des procédures de mise à jour et d'information des personnes concernées ; la traduction des politiques de confidentialité pour les services internationaux ; la défense face aux contrôles CNIL portant sur la qualité de l'information ; la défense face aux actions des associations de consommateurs en cessation ; la formation des équipes opérationnelles à la rédaction et à l'utilisation des politiques. Sources : Règlement (UE) 2016/679 (RGPD) art. 5, art. 12, art. 13, art. 14, art. 83, EDPB Lignes directrices WP260 sur la transparence, CNIL guide pratique sur la mise en conformité, jurisprudence CJUE 28 mai 2020 (Bundesverband der Verbraucherzentralen C-61/19), sanctions CNIL Google 21 janvier 2019, Facebook Ireland 31 décembre 2021, Yahoo 27 décembre 2023, Amazon France Logistique 21 décembre 2023. Fiche mise à jour le 3 mai 2026. Obtenez des réponseset des conseils Prendre RDV - 30 min / 125€HT