Toute organisation qui collecte des données personnelles, par un formulaire de contact, un compte client ou un recrutement, doit dire aux personnes ce qu'elle en fait. Ce devoir d'information figure aux articles 12 à 14 du règlement général sur la protection des données. Le support le plus courant est une charte de confidentialité RGPD, souvent appelée politique de confidentialité, publiée sur le site et reprise dans les documents internes.
Ce guide suit l'ordre de travail : identifier les mentions exigées, les rédiger clairement, les présenter, les tenir à jour et éviter les erreurs relevées par la CNIL. Il s'appuie sur le texte du RGPD, les fiches de la CNIL et les lignes directrices sur la transparence reprises par le Comité européen de la protection des données (CEPD).
Chapitre 01 — Définition
Charte, politique ou notice : de quoi parle-t-on ?
La charte de confidentialité est le document qui réunit l'information due aux personnes dont vous traitez les données. Le RGPD n'impose ni son nom ni sa forme : il impose un contenu, défini aux articles 13 et 14, et une manière de le présenter, définie à l'article 12.
Charte, politique ou notice d'information désignent donc la même obligation. La politique cookies en est un volet distinct, soumis à des règles propres de consentement, traité dans notre guide cookies et traceurs. Les mentions légales, elles, identifient l'éditeur du site et relèvent d'un autre texte. Une charte de confidentialité RGPD peut enfin être unique pour tout l'organisme ou déclinée par public (clients, prospects, candidats, salariés), ce qui rend souvent chaque version plus lisible.
Chapitre 02 — Mentions obligatoires
Quelles mentions la charte doit-elle contenir ?
La charte doit contenir toutes les informations listées aux articles 13 et 14 du RGPD. L'article 13 s'applique quand vous collectez les données auprès de la personne, l'article 14 quand vous les obtenez par un tiers (achat de fichier, partenaire, source publique).
Pour chaque traitement recensé dans votre registre, vérifiez que les mentions suivantes sont présentes et exactes.
Qui traite les données
Pourquoi et sur quel fondement
Qui reçoit les données et combien de temps
Droits des personnes
La collecte indirecte ajoute deux mentions et modifie le calendrier. Le tableau ci-dessous résume ces écarts, souvent oubliés par les modèles en ligne.
| Point | Collecte directe (art. 13) | Collecte indirecte (art. 14) |
|---|---|---|
| Moment de l'information | Au moment où les données sont obtenues | Dans un délai raisonnable, un mois au plus, ou dès le premier contact ou la première communication à un tiers |
| Catégories de données | Non exigées (la personne les fournit elle-même) | À indiquer |
| Source des données | Sans objet | À indiquer, y compris si elle est publique |
| Principales exceptions | La personne dispose déjà des informations | Information déjà connue, impossibilité ou effort disproportionné, obtention prévue par un texte assorti de garanties, secret professionnel |
Chapitre 03 — Rédaction
Comment rédiger un texte clair et conforme ?
Un texte conforme est concis, transparent, compréhensible, aisément accessible et rédigé en des termes clairs et simples. C'est l'exigence de l'article 12 du RGPD, que la CNIL détaille dans sa fiche sur l'information des personnes et la transparence.
Les lignes directrices sur la transparence (WP260 rév.01), adoptées par le groupe de l'article 29 puis reprises par le CEPD, précisent que des qualificatifs comme « peut », « pourrait », « certains », « souvent » et « possible » sont à éviter. Elles demandent aussi d'adapter le vocabulaire au public visé, en particulier lorsqu'il s'agit d'enfants. Vous pouvez suivre cette séquence pour rédiger votre charte de confidentialité RGPD.
- 1Inventorier — Partez du registre des traitements pour lister chaque finalité, ses données, sa base juridique, ses destinataires et sa durée de conservation.
- 2Regrouper — Classez les traitements par public concerné (clients, prospects, candidats, salariés) pour que chacun trouve vite ce qui le concerne.
- 3Rédiger — Écrivez une phrase simple par finalité, en nommant le traitement réel plutôt qu'une catégorie générale.
- 4Compléter — Ajoutez les droits, le mode d'exercice (adresse électronique ou postale dédiée), le contact du délégué et la réclamation auprès de la CNIL.
- 5Relire — Faites relire le texte par une personne extérieure au projet et supprimez tout terme juridique qu'elle ne comprend pas.
La CNIL publie des exemples de mentions d'information par situation (vente en ligne, prospection, contrôle d'accès, vidéosurveillance). Ils sont à adapter à vos traitements réels.
Chapitre 04 — Présentation
Où et quand présenter l'information ?
L'information se donne au moment de la collecte, à l'endroit où elle a lieu, et selon une approche à plusieurs niveaux. Le premier niveau figure près du formulaire, le second niveau renvoie au texte complet.
Selon les lignes directrices WP260, le premier niveau devrait indiquer l'identité du responsable, les finalités, les droits et le traitement qui a le plus d'incidence sur la personne. Le texte complet reste accessible par un lien visible sur chaque page du site, et, dans une application, à deux actions au plus. Hors ligne, la CNIL admet d'autres supports : document papier, vidéo, message sonore ou code QR renvoyant vers la charte de confidentialité RGPD complète.
- Formulaire web : quelques lignes sous le bouton d'envoi et un lien vers le texte complet.
- Accueil physique ou téléphone : information courte orale ou affichée, puis renvoi vers le document.
- Salariés et candidats : notice remise à l'embauche ou jointe à l'offre, disponible sur l'intranet.
Chapitre 05 — Mise à jour
Quand mettre la charte à jour ?
La charte se met à jour chaque fois qu'un traitement change : nouvelle finalité, nouveau destinataire, nouveau transfert ou nouvelle durée. Pour une nouvelle finalité, l'article 13, paragraphe 3, impose d'informer la personne avant le traitement ultérieur.
Les lignes directrices WP260 jugent insuffisante, et même déloyale, la simple invitation à consulter régulièrement la page. Une modification importante doit être portée activement à la connaissance des personnes, par courriel par exemple. Indiquez la date de dernière mise à jour en tête du document et conservez les versions successives : elles servent de preuve en cas de contrôle.
Chapitre 06 — Erreurs fréquentes
Quelles erreurs la CNIL relève-t-elle ?
Les manquements relevés par la CNIL portent sur une information éparpillée, trop vague ou incomplète. La délibération SAN-2019-001 du 21 janvier 2019 en donne un exemple : l'information était dispersée dans plusieurs documents, jusqu'à cinq ou six actions étaient nécessaires pour la trouver, les finalités étaient génériques et certaines durées de conservation n'étaient pas indiquées.
- Finalités formulées en termes généraux (« améliorer nos services ») sans décrire le traitement.
- Base juridique absente ou identique pour tous les traitements.
- Durées de conservation manquantes ou remplacées par « le temps nécessaire ».
- Destinataires et transferts hors Union européenne passés sous silence.
Un manquement aux articles 12 à 14 relève du plafond d'amende le plus élevé du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus haut (article 83, paragraphe 5). Une charte de confidentialité RGPD complète et claire limite ce risque et répond aux questions des personnes avant qu'elles ne les posent.
À retenir
- Le contenu est fixé par les articles 13 (collecte directe) et 14 (collecte indirecte) du RGPD.
- La forme doit respecter l'article 12 : texte concis, clair, accessible, sans termes vagues.
- L'information se donne au moment de la collecte, en deux niveaux reliés par un lien visible.
- Toute modification substantielle est communiquée activement, et le document est daté.
- La collecte indirecte impose d'indiquer les catégories de données et leur source, dans un délai d'un mois au plus.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Politique de confidentialitéLa politique de confidentialité est le document, généralement publié sur un site internet, qui explique de manière complète comment un organisme collecte, utilise, partage et protège les données personnelles, et comment exercer ses droits.
- CEPDLe CEPD (Comité européen de la protection des données) est l'organe de l'Union qui réunit les autorités de protection des données des États membres, dont la CNIL, pour veiller à une application cohérente du RGPD dans toute l'Europe.
- FinalitéLa finalité est l'objectif précis pour lequel des données personnelles sont collectées et traitées. Le RGPD impose qu'elle soit déterminée, explicite et légitime, et interdit d'utiliser ensuite les données pour un but incompatible.
- TransparenceLa transparence est le principe qui oblige l'organisme à informer les personnes de façon concise, compréhensible et facilement accessible sur l'utilisation de leurs données et sur leurs droits, dans un langage clair et simple.
- CookieUn cookie est un petit fichier déposé sur l'ordinateur ou le téléphone d'un internaute lorsqu'il consulte un site. Sauf s'il est strictement nécessaire au service, il ne peut être déposé ou lu qu'avec le consentement préalable de l'internaute.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
