Politique de confidentialité : les points à vérifier

‍

La politique de confidentialité est le document qui permet d’informer vos clients ou les utilisateurs de votre site ou application quant aux conditions dans lesquelles sont traitées leurs données personnelles. Pour que votre politique de confidentialité réponde aux exigences du RGPD, il est essentiel de ne pas la négliger : elle doit être claire, transparente et adaptée à votre activité.

À quoi sert une politique de confidentialité ?

‍

Votre politique de confidentialité matérialise les obligations d’information et de transparence que vous devez respecter au titre du RGPD et de la loi Informatique et libertés.

Elle s’adresse donc directement aux utilisateurs de votre site internet, de votre application ou solution logicielle, et à vos clients ou prospects. Elle leur fournit ainsi toutes les informations exigées par la réglementation applicable.

Elle représente le niveau d’information le plus complet. Les mentions d’information insérées dans un formulaire ou une zone de collecte des données (1er niveau d’information) doivent donc renvoyer vers la politique de confidentialité (second niveau).

La politique de confidentialité doit donc être aisément accessible, rédigée en des termes clairs, correspondre à vos activités, et surtout, contenir l’ensemble des informations visées par la réglementation.

Quelles informations doit contenir une politique de confidentialité conforme ?

‍

Le RGPD précise les informations et mentions que doit contenir votre politique de confidentialité.

Il s’agit d’informer les personnes concernées sur les modalités de traitement de leurs données personnelles et de leur indiquer quels sont leurs droits et comment les exercer.

Les éléments suivants doivent notamment figurer dans votre politique de confidentialité :

l’identification et les coordonnées de votre organisme, et le cas échéant, du DPO que vous avez désigné ;
les finalités des traitements de données personnelles mis en œuvre dans le cadre de votre activité, correspondant aux objectifs poursuivis par votre organisme (gestion de la relation client, traitement des commandes, prospection commerciale, etc.) ;
la base juridique de ces traitements de données : exécution d’un contrat avec vos clients, obligation légale, intérêt légitime ou consentement des personnes concernées ;
la durée de conservation des données ;
les destinataires ou catégories de destinataires des données, dont vos sous-traitants éventuels (qui pourra avoir accès aux données en dehors de votre organisme ?) ;
le fait que les données feront l’objet d’un transfert international (en dehors de l’Union européenne ou de l’Espace économique européen) ;
le fait que la collecte des données est obligatoire ou facultative, et si elle conditionne l’accès à un contrat (par exemple, la loi vous impose de collecter certaines données, ou vous avez besoin de données particulières pour réaliser votre prestation) ;
l’existence d’une prise de décision automatisée ou d’un profilage ;
les droits des personnes concernées et les modalités de leur exercice : accès, rectification, suppression, opposition, limitation, portabilité, retrait du consentement et droit d’introduire une réclamation auprès de la CNIL.

Il est donc important que votre politique de confidentialité soit adaptée à votre activité, ces éléments n’étant pas standards et dépendant largement de vos pratiques.

Enfin, votre politique de confidentialité doit être lisible et compréhensible par les personnes concernées. Vous pouvez notamment recourir à des tableaux ou des schémas afin de fournir une information claire.

Quelles sont les erreurs à éviter lorsqu’on rédige sa politique de confidentialité ?

‍

Plusieurs erreurs sont commises par certains organismes. La première consiste à reprendre un modèle générique ou le document d’un concurrent sans les adapter.

Les informations de votre politique de confidentialité seront alors erronées, ce qui pourrait constituer un manquement à l’obligation d’information de votre organisme et entraîner des sanctions de la part de la CNIL.

On relève également d’autres erreurs fréquentes :

Mentions incomplètes ou manquantes : toutes les informations visées par la réglementation doivent figurer dans votre politique de confidentialité.
Manque de clarté ou d’accessibilité : la politique de confidentialité doit fournir une information claire et loyale, et elle doit être aisément accessible (lien en pied de page, renvois dans le parcours client, etc.).
Incohérences entre la politique de confidentialité et votre documentation contractuelle ou de conformité (CGV, CGU, mentions légales, etc.). Votre documentation contractuelle peut ainsi y faire directement référence.
Absence de mise à jour : les modifications des traitements de données doivent être prises en compte (recours à un nouveau prestataire, modification d’une durée de conservation, etc.).

Par ailleurs, la politique de confidentialité ne doit pas être confondue avec les mentions légales de votre site internet, qui relèvent d’une obligation distincte. Leur contenu est fixé par la loi pour la confiance dans l’économie numérique (informations relatives au directeur de publication, à l’hébergeur du site, etc.).

Comment intégrer la politique de confidentialité dans la stratégie de conformité de votre entreprise ?

‍

La politique de confidentialité tient une place essentielle dans votre documentation de conformité au RGPD (registre de traitements, notice d’information à destination de vos salariés, etc.).

Elle vous sera aussi particulièrement utile pour répondre aux demandes des personnes concernées, vous permettant de cadrer vos réponses.

Enfin, une politique de confidentialité claire et bien structurée permettra de rassurer vos partenaires. Par exemple, ses mentions seront vérifiées si vous fournissez une solution logicielle permettant de réaliser des traitements de données à vos clients professionnels.

La mise en conformité, un incontournable

‍

S’il s’agit avant tout de respecter votre obligation d’information et de transparence, votre politique de confidentialité s’inscrit plus largement dans la mise en conformité de votre organisme au RGPD.

En effet, elle vous permet de revenir en détail sur les conditions dans lesquelles sont traitées les données personnelles de vos clients, utilisateurs, ou de vos prospects, et ainsi de déceler d’éventuelles non-conformités.

Il s’agit donc d’un incontournable, lequel fait aussi la démonstration de votre démarche de conformité auprès de vos clients, de vos partenaires, mais aussi de la CNIL.

Legal Spot Avocats vous accompagne dans la rédaction de votre politique de confidentialité et, plus largement, de votre documentation de conformité. Contactez-nous.