Politique de confidentialité : obligatoire même pour un site vitrine ? Contenu et modèle 2026

Le 19 septembre 2024, une armurerie qui vend en ligne et en magasin a été sanctionnée par la CNIL, en procédure simplifiée, d’une amende de 20 000 €. À côté de la sécurité des données et du droit d’effacement, la CNIL lui reprochait deux manquements qui se lisent dans une politique de confidentialité : « Information des personnes et transparence » et « Durée de conservation ». Pas un géant du numérique : un commerce avec un site marchand.

Un formulaire de contact suffit à rendre la politique de confidentialité obligatoire, et un site vitrine sans formulaire y échappe rarement. Voici ce que dit le texte, et un modèle commenté section par section.

La politique de confidentialité est-elle obligatoire sur un site internet ?

Oui, dès que le site collecte la moindre donnée personnelle : les articles 13 et 14 du RGPD imposent d’informer les personnes au moment de la collecte. Le règlement n’emploie pas l’expression « politique de confidentialité », mais c’est la forme que prend cette information sur un site.

L’article 12 ajoute la manière : une information « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». Pour des données obtenues par un tiers (fichier acheté, contacts relevés sur LinkedIn), l’article 14 impose d’informer dans un délai raisonnable ne dépassant pas un mois, ou au plus tard lors du premier message adressé à la personne.

Ce qui déclenche l’obligation sur un site de TPE :

La fiche officielle des mentions obligatoires cite le formulaire de contact comme exemple et précise que cette politique doit être distincte des CGV.

Un site vitrine sans formulaire doit-il avoir une politique de confidentialité ?

Dans la quasi-totalité des cas, oui. Même sans formulaire, un site enregistre des adresses IP dans ses journaux de connexion, et la Cour de justice de l’Union européenne a jugé qu’une adresse IP peut être une donnée personnelle pour l’éditeur du site.

Dans l’arrêt Breyer du 19 octobre 2016, la Cour a jugé qu’une adresse IP dynamique enregistrée par un éditeur de site est une donnée personnelle pour lui lorsqu’il dispose de moyens légaux de faire identifier la personne auprès de son fournisseur d’accès.

S’y ajoutent presque toujours d’autres traitements, souvent invisibles :

• un outil de mesure d’audience installé par l’agence ou le thème ;
• une vidéo YouTube, une carte ou une police chargée depuis un serveur tiers, qui transmet l’adresse IP du visiteur à ce tiers ;
• une adresse e-mail affichée : les messages reçus sont des données collectées auprès des personnes.

Seul un site qui ne collecte strictement rien échappe à l’article 13, ce qui suppose d’avoir vérifié chaque script et chaque contenu intégré. Une politique de dix lignes coûte moins cher que cette vérification.

flowchart TD
  A["Votre site"] --> B{"Formulaire, compte ou newsletter ?"}
  B -->|Oui| P["Politique complète obligatoire"]
  B -->|Non| C{"Mesure d’audience ou contenu intégré ?"}
  C -->|Oui| P2["Politique obligatoire, avec section cookies"]
  C -->|Non| D{"Journaux de connexion ou e-mail de contact ?"}
  D -->|Oui| P3["Politique courte suffisante"]
  D -->|Non| E["Aucune collecte : vérifiez chaque script"]

Pour savoir ce que votre page d’accueil charge réellement, le détecteur de cookies gratuit repère les traceurs connus et les cookies déposés dès le premier chargement.

Que doit contenir une politique de confidentialité ?

Les informations de l’article 13 du RGPD : qui traite les données, pourquoi et sur quelle base, avec qui elles sont partagées, où elles partent, combien de temps elles sont gardées, et quels droits la personne peut exercer. Certaines ne s’imposent que « le cas échéant » (DPO, transferts, décision automatisée).

Le délégué à la protection des données n’est obligatoire que dans les cas de l’article 37 du RGPD (organisme public, suivi ou données sensibles à grande échelle) : un consultant seul n’en a pas, et la ligne disparaît. Et pour tout nouvel usage des données, l’article 13.3 impose d’informer les personnes avant, pas après.

Pour un prestataire américain certifié au cadre UE-États-Unis, citez la décision d’adéquation du 10 juillet 2023 ; sinon, la garantie retenue, le plus souvent les clauses contractuelles types, et où la consulter.

Quelle base légale indiquer pour chaque traitement ?

Chaque finalité repose sur l’une des six bases de l’article 6 du RGPD : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime.

La CNIL détaille chaque base sur sa page « Les bases légales ». Le choix conditionne les droits : pas d’opposition à une obligation légale, retrait toujours possible d’un consentement.

Politique de confidentialité, politique de cookies, mentions légales : quelle différence ?

Les mentions légales disent qui édite le site, la politique de confidentialité ce que vous faites des données personnelles, la politique de cookies quels traceurs sont déposés sur le terminal du visiteur. Trois textes, trois fondements, souvent trois pages.

Aucun texte n’impose trois pages séparées : la politique de cookies peut être une section de la politique de confidentialité. Ce qui compte, c’est que le bandeau et les deux politiques décrivent les mêmes traceurs, finalités et durées. Le détail est dans nos guides sur les mentions légales et le bandeau cookies conforme CNIL.

Modèle de politique de confidentialité : que mettre dans chaque section ?

Un bon modèle suit l’ordre de l’article 13 et décrit vos traitements réels. Exemple pour Claire, consultante RH en SASU : formulaire de contact, newsletter, prise de rendez-vous en ligne et mesure d’audience.

1. Responsable du traitement. « Le responsable du traitement est la société Claire Martin Conseil, SASU, [adresse du siège]. Pour toute question sur vos données : [e-mail dédié]. » Commentaire : une adresse lue régulièrement, car c’est par elle qu’arriveront les demandes d’accès.

2. Données collectées et caractère obligatoire. « Formulaire de contact : nom, e-mail et message sont obligatoires, le téléphone est facultatif. Sans e-mail, nous ne pouvons pas vous répondre. » Commentaire : c’est l’article 13.2.e, souvent oublié. Signalez aussi les champs obligatoires dans le formulaire.

3. Finalités et bases légales. « Répondre à vos demandes de devis (mesures précontractuelles) ; vous adresser la lettre d’information (consentement) ; établir et conserver les factures (obligation légale). » Commentaire : jamais « nous utilisons vos données pour améliorer nos services » sans autre précision.

4. Destinataires. « Vos données sont destinées à Claire Martin Conseil. Elles sont traitées pour notre compte par notre hébergeur, notre outil d’envoi de la lettre d’information, notre outil de prise de rendez-vous et notre expert-comptable pour les factures. » Commentaire : la catégorie de prestataire suffit, mais chacun doit être couvert par un contrat conforme à l’article 28 du RGPD.

5. Transferts hors Union européenne. « Notre outil de prise de rendez-vous héberge les données aux États-Unis ; ce transfert est encadré par [garantie et lien]. » Commentaire : si tout est hébergé en Europe, dites-le en une phrase.

6. Durées de conservation. « Demandes de contact sans suite : 3 ans après votre dernier message. Lettre d’information : jusqu’à votre désinscription. Factures : 10 ans. Mesure d’audience : traceurs 13 mois, données collectées 25 mois. » Commentaire : chaque durée a une source. Les 3 ans pour un prospect viennent du référentiel CNIL sur la gestion des activités commerciales, les 10 ans de l’article L123-22 du Code de commerce, les 13 et 25 mois des recommandations de la CNIL sur la mesure d’audience.

7. Vos droits. « Vous pouvez accéder à vos données, les rectifier, les effacer, en limiter le traitement, vous opposer à leur traitement, en demander la portabilité et retirer votre consentement à tout moment, en écrivant à [e-mail]. » Commentaire : l’article 12.3 vous donne un mois pour répondre, prolongeable de deux mois en prévenant la personne.

8. Réclamation. « Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr). » Commentaire : article 13.2.d, droit fondé sur l’article 77. Son absence trahit un modèle importé.

9. Date de mise à jour. « Dernière mise à jour : 7 octobre 2026. » Commentaire : non exigée en tant que telle, elle permet de prouver ce qui était affiché.

Le registre des traitements contient déjà les sections 3, 4, 5 et 6 : finalités, destinataires, transferts et durées. Remplissez-le d’abord, puis rédigez la politique à partir de lui : les deux documents doivent dire la même chose.

Où placer la politique de confidentialité sur un site ?

Sur une page dédiée, accessible depuis toutes les pages du site (en général en pied de page), et rappelée en quelques lignes sous chaque formulaire. La CNIL recommande cette information en plusieurs niveaux : l’essentiel au moment de la collecte, le détail un clic plus loin.

La fiche d’entreprendre.service-public.fr demande un lien « clairement visible sur chaque page du site ». Dans sa fiche sur l’information des personnes, la CNIL place au premier niveau l’identité du responsable, les finalités et les droits. Elle publie aussi des exemples de mentions d’information, dont un pour un formulaire de collecte. Sous le formulaire de contact de Claire, cela donne :

Les informations saisies sont utilisées par Claire Martin Conseil pour répondre à votre demande et conservées 3 ans après votre dernier message. Vous pouvez y accéder, les rectifier ou les effacer en écrivant à [e-mail]. En savoir plus : [politique de confidentialité].

Inutile d’ajouter une case « J’accepte la politique de confidentialité » : informer n’est pas recueillir un consentement, et la case laisse croire que le traitement en dépend. Gardez les cases pour un vrai consentement, comme l’inscription à la newsletter.

Quelles sanctions sans politique de confidentialité ?

Un manquement aux articles 12 à 14 du RGPD est passible d’une amende jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Dans un dossier sans difficulté particulière, la CNIL peut recourir à la procédure simplifiée, plafonnée à 20 000 € pour une entreprise réalisant moins de 50 millions d’euros de chiffre d’affaires.

Le plafond général est celui de l’article 83.5.b du RGPD. Celui de la procédure simplifiée est fixé par l’article 22-1 de la loi Informatique et Libertés, dans sa version en vigueur depuis le 28 mai 2026 : 20 000 € d’amende et 100 € d’astreinte par jour de retard, portés à 100 000 € et 500 € par jour lorsque le chiffre d’affaires mondial dépasse 50 millions d’euros. La décision n’est pas rendue publique.

Il existe aussi un volet pénal : l’article R625-10 du Code pénal punit de l’amende des contraventions de 5e classe le défaut des informations prévues aux articles 13 et 14 du RGPD, soit, hors récidive, 1 500 € au plus pour une personne physique (art. 131-13) et 7 500 € pour une société (art. 131-41).

Ce qui a été réellement prononcé, d’après la liste des sanctions de la CNIL :

Le précédent de référence reste Google : 50 millions d’euros le 21 janvier 2019 (SAN-2019-001), notamment parce que les informations exigées par l’article 13 étaient « excessivement éparpillées » entre plusieurs documents. Le Conseil d’État a confirmé la sanction le 19 juin 2020, en relevant que l’information disponible était « parfois lacunaire, notamment s’agissant de la durée de conservation des données ». Notre guide des sanctions CNIL détaille les procédures et les montants.

Quelles erreurs reviennent le plus souvent ?

Un modèle copié qui ne décrit pas votre activité, des prestataires oubliés, des durées absentes ou « illimitées ».

• Oublier les sous-traitants. L’outil d’e-mailing, le CRM, l’outil de rendez-vous, le prestataire de paiement, l’hébergeur : chacun reçoit des données et doit figurer parmi les destinataires, avec un transfert hors UE signalé si c’est le cas.
• Écrire « aussi longtemps que nécessaire ». L’article 13.2.a admet des critères quand une durée fixe est impossible, mais une formule vague n’en est pas un. La CNIL le rappelle sur sa page consacrée aux durées de conservation : « Les données personnelles ne peuvent pas être conservées indéfiniment ».
• Tout fonder sur le consentement. Facturer relève d’une obligation légale, livrer d’un contrat : le consentement laisserait croire qu’on peut le retirer.
• Ne jamais mettre à jour. Nouvel outil, nouveau prestataire : la politique doit suivre.

Le RGPD va-t-il changer l’obligation d’information ?

Pas à ce jour. La Commission européenne a proposé le 19 novembre 2025 un règlement dit « Digital Omnibus » qui modifie notamment le RGPD, mais au 7 octobre 2026 la procédure est toujours en cours et l’article 13 s’applique dans sa rédaction actuelle.

D’après la fiche de procédure 2025/0360(COD) du Parlement européen, la proposition COM(2025) 837 attend encore le vote en commission et n’est ni adoptée ni publiée au Journal officiel : c’est sur le texte actuel que la CNIL contrôle.

Comment vérifier sa politique de confidentialité avant de la publier ?

En la confrontant point par point à l’article 13 et à vos traitements réels, de préférence à partir de votre registre.

Pour vérifier que votre page d’accueil renvoie bien vers vos documents légaux, lancez l’audit gratuit de votre site. Pour situer l’ensemble de votre site, faites le quiz de conformité. Et si vous vendez en ligne, complétez avec nos guides sur les CGV obligatoires et les documents obligatoires de l’entreprise.