Politique de confidentialité d'un site internet : contenu, modèle et exemple

Un formulaire de contact, une inscription à la newsletter, un outil de mesure d’audience : presque tous les sites internet collectent des données personnelles. Dès lors, le RGPD impose d’expliquer aux visiteurs ce que vous en faites. C’est le rôle de la politique de confidentialité, parfois appelée « politique de protection des données » ou « page vie privée ».

Ce guide, à jour en septembre 2026, s’adresse aux TPE et PME, aux associations, aux e-commerçants et aux agences qui gèrent des sites pour leurs clients. Il détaille le contenu obligatoire, les traitements courants, l’emplacement de la page et les erreurs fréquentes, avec un exemple et une liste de contrôle.

Pourquoi la politique de confidentialité est obligatoire

L’obligation découle de trois articles du RGPD.

• L’article 12 exige que l’information soit fournie « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». Il fixe aussi le délai de réponse aux demandes d’exercice des droits : un mois, prolongeable de deux mois si la demande est complexe.
• L’article 13 liste les informations à donner lorsque les données sont collectées directement auprès de la personne, ce qui est le cas d’un formulaire en ligne.
• L’article 14 couvre les données obtenues d’une autre source (achat de fichier, données transmises par un partenaire). Il ajoute l’obligation d’indiquer les catégories de données et leur source, et impose d’informer la personne dans un délai raisonnable, au plus tard un mois après l’obtention des données.

En France, l’article 48 de la loi Informatique et Libertés renvoie à ces articles et ajoute une mention propre au droit français : la personne doit être informée de son droit de définir des directives relatives au sort de ses données après son décès, prévu à l’article 85 de la même loi.

Le RGPD ne parle pas de « politique de confidentialité » : il impose un contenu, pas un nom de page. Mais pour un site internet, regrouper cette information sur une page dédiée, accessible depuis chaque page, est la façon la plus sûre de respecter ces articles. En cas de manquement, l’article 83 du RGPD prévoit une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Les mentions obligatoires, une par une

Voici ce que doit contenir la page, d’après les articles 13 et 14 du RGPD et la fiche de la CNIL sur l’information des personnes.

Mention	Ce qu’il faut écrire	Référence
Responsable du traitement	Raison sociale, adresse, moyen de contact	Art. 13.1.a
Délégué à la protection des données	Ses coordonnées, si vous en avez désigné un	Art. 13.1.b
Finalités	Pourquoi chaque donnée est collectée	Art. 13.1.c
Bases légales	Consentement, contrat, obligation légale, intérêt légitime… (art. 6)	Art. 13.1.c
Intérêts légitimes	Les intérêts poursuivis, quand c’est la base retenue	Art. 13.1.d
Destinataires	Services internes, sous-traitants (hébergeur, outil d’e-mailing, prestataire de paiement)	Art. 13.1.e
Transferts hors UE	Le pays, et la garantie utilisée (décision d’adéquation, clauses contractuelles types)	Art. 13.1.f
Durées de conservation	Une durée, ou les critères qui la déterminent, par traitement	Art. 13.2.a
Droits des personnes	Accès, rectification, effacement, limitation, portabilité, opposition	Art. 13.2.b
Retrait du consentement	Possible à tout moment, sans remettre en cause les traitements passés	Art. 13.2.c
Réclamation	Le droit de saisir la CNIL	Art. 13.2.d
Caractère obligatoire ou facultatif	Quelles données sont indispensables, et ce qui se passe si la personne ne les fournit pas	Art. 13.2.e
Décisions automatisées	L’existence d’un profilage ou d’une décision entièrement automatisée, le cas échéant	Art. 13.2.f
Directives post mortem	Le droit de définir des directives sur le sort des données après le décès	Art. 48 loi Informatique et Libertés

Trois points méritent une attention particulière.

Le droit d’opposition doit être présenté séparément. L’article 21 du RGPD exige qu’il soit « explicitement porté à l’attention » de la personne, au plus tard lors de la première communication, et présenté clairement, à part de toute autre information. C’est le cas notamment pour la prospection commerciale.

La portabilité ne s’applique pas à tout. L’article 20 la limite aux données fournies par la personne, traitées par des moyens automatisés et sur la base du consentement ou d’un contrat. La CNIL recommande d’indiquer quels traitements sont concernés.

Le droit de réclamation désigne l’autorité compétente. En France, il s’agit de la CNIL, auprès de laquelle toute personne peut adresser une plainte en ligne (article 77 du RGPD).

Les traitements courants d’un site internet

Une bonne politique de confidentialité se construit traitement par traitement. Le tableau ci-dessous reprend les cas les plus fréquents, avec les bases légales et les durées issues du référentiel de la CNIL sur la gestion des activités commerciales et de ses recommandations sur la mesure d’audience.

Traitement	Finalité	Base légale	Durée de conservation
Formulaire de contact	Répondre à la demande	Intérêt légitime, ou mesures précontractuelles pour une demande de devis	Le temps de traiter la demande ; trois ans après le dernier contact si la personne devient prospect
Newsletter	Envoyer des offres et actualités par courriel	Consentement (article L. 34-5 du Code des postes et des communications électroniques)	Jusqu’au désabonnement, ou trois ans après le dernier contact émanant de la personne
Compte client	Gérer l’espace personnel, l’historique des commandes	Exécution du contrat	Jusqu’à la suppression du compte ; un compte inactif depuis deux ans devrait être supprimé
Commandes et livraison	Traiter la commande, livrer, gérer le service après-vente	Exécution du contrat	Durée de la relation contractuelle, puis archivage limité au délai de prescription
Facturation et comptabilité	Respecter les obligations comptables et fiscales	Obligation légale	10 ans pour les pièces comptables (article L. 123-22 du Code de commerce)
Mesure d’audience exemptée	Statistiques de fréquentation pour le seul compte de l’éditeur	Exemptée de consentement si les conditions de la CNIL sont remplies	Traceurs : 13 mois, sans prolongation automatique ; données collectées : 25 mois au plus
Cookies publicitaires	Publicité ciblée, reciblage, mesure des conversions	Consentement (article 82 de la loi Informatique et Libertés)	Durée de vie à justifier ; choix du visiteur conservé environ 6 mois (bonne pratique CNIL)

Quelques précisions sur ce tableau :

• Pour les clients, le référentiel admet une conservation des données à des fins de prospection pendant la relation commerciale, puis trois ans à compter de sa fin (dernier achat, fin de garantie, dernier contact émanant du client).
• Pour les prospects, le point de départ est la collecte ou le dernier contact émanant du prospect. La CNIL précise que la simple ouverture d’un courriel ne compte pas.
• Le cryptogramme de la carte bancaire doit être supprimé dès que le paiement est finalisé.
• Ces durées sont des repères. Le référentiel n’est pas contraignant : vous pouvez retenir une autre durée si vous êtes en mesure de la justifier.

Comment rédiger une politique de confidentialité

Rédiger la page revient surtout à faire l’inventaire de ce que fait le site. La méthode la plus efficace tient en cinq étapes.

1. Recensez les points de collecte. Formulaires, création de compte, tunnel de commande, chat, prise de rendez-vous, commentaires, sans oublier les outils tiers : mesure d’audience, vidéos intégrées, pixels publicitaires.
2. Associez à chacun une finalité et une base légale. Une même donnée, comme l’adresse électronique, peut servir à plusieurs finalités (livraison, facture, newsletter) avec des bases différentes.
3. Listez vos sous-traitants. Hébergeur, outil d’e-mailing, CRM, prestataire de paiement, transporteur. Vérifiez pour chacun le lieu de traitement des données et, en cas de transfert hors de l’Union européenne, la garantie applicable.
4. Fixez les durées de conservation. Reprenez les repères de la CNIL, puis vérifiez qu’ils sont réellement appliqués dans vos outils (purge automatique, suppression des comptes inactifs).
5. Écrivez pour le visiteur. Phrases courtes, pas de jargon, un tableau par traitement si le site en compte plusieurs. La CNIL recommande une approche en plusieurs niveaux : l’essentiel d’abord (identité du responsable, finalités, droits), le détail ensuite.

Si vous partez de zéro, notre générateur de politique de confidentialité pose les bonnes questions dans cet ordre et produit un texte structuré selon les articles 13 et 14.

Où afficher la politique de confidentialité

L’information doit être accessible au moment où la donnée est collectée, et pas seulement quelque part sur le site. En pratique, trois emplacements se complètent.

• Un lien en pied de page, présent sur toutes les pages, vers la page complète. C’est l’emplacement que les visiteurs et la CNIL cherchent en premier.
• Une mention courte sous chaque formulaire. La CNIL recommande, au minimum, des « mentions CNIL » en bas du formulaire de contact. Elles rappellent le responsable, la finalité, la base légale, la durée de conservation et la façon d’exercer ses droits, avec un lien vers la page complète. La CNIL publie des modèles de mentions d’information à adapter.
• Un lien dans la bannière cookies, vers la politique de cookies ou la section qui en tient lieu.

Pour une newsletter, la case d’inscription doit rester distincte des autres cases et ne pas être pré-cochée : le consentement se recueille par un acte positif.

Politique de confidentialité, politique de cookies et mentions légales

Ces trois documents sont souvent confondus. Ils répondent pourtant à trois obligations différentes.

Document	Ce qu’il contient	Texte applicable
Mentions légales	Identité de l’éditeur, directeur de la publication, hébergeur	Loi pour la confiance dans l’économie numérique (LCEN)
Politique de confidentialité	Traitements de données personnelles, bases légales, durées, droits	RGPD, articles 12 à 14 ; loi Informatique et Libertés
Politique de cookies	Traceurs déposés, finalités, émetteurs, durée de vie, moyen de retirer son consentement	Article 82 de la loi Informatique et Libertés ; recommandations de la CNIL

La politique de cookies peut être une section de la politique de confidentialité. Une page à part reste plus facile à tenir à jour, car la liste des traceurs change à chaque nouvel outil installé. Vous pouvez la préparer avec notre générateur de politique de cookies. Pour les mentions légales, voir notre guide sur les mentions légales d’un site internet.

Aucune de ces pages ne remplace la bannière : le consentement aux cookies non essentiels doit être recueilli avant leur dépôt. Le fonctionnement complet est détaillé dans notre article sur la gestion du consentement RGPD.

Les erreurs les plus fréquentes

Copier un modèle sans l’adapter. Un texte récupéré sur un autre site mentionne des traitements que vous ne faites pas et en oublie d’autres. La CNIL présente d’ailleurs ses propres modèles comme des illustrations à compléter, non comme des mentions valables dans toutes les situations. Un modèle ou un générateur gratuit donne une structure fiable ; le contenu doit décrire votre site.

Se tromper de base légale. Invoquer le consentement pour traiter une commande est une erreur : la base est l’exécution du contrat. À l’inverse, invoquer l’intérêt légitime pour une newsletter adressée à des particuliers qui ne sont pas clients ne tient pas, car l’article L. 34-5 du Code des postes et des communications électroniques exige leur consentement.

Invoquer l’intérêt légitime pour les cookies. La CNIL est explicite : même lorsque le traitement des données issues des traceurs repose sur l’intérêt légitime, le dépôt des traceurs non essentiels reste soumis à l’accord préalable du visiteur (questions-réponses de la CNIL sur les cookies).

Écrire « aussi longtemps que nécessaire ». Une durée de conservation se chiffre, ou se définit par un critère précis (« trois ans après le dernier contact »). Une formule vague ne répond pas à l’article 13.2.a.

Oublier les directives post mortem. Cette mention, propre au droit français, manque dans la plupart des modèles traduits de l’anglais.

Ne jamais mettre la page à jour. Chaque nouvel outil (chat, prise de rendez-vous, pixel publicitaire) doit y être ajouté. Indiquez la date de dernière mise à jour en haut de la page.

Exemple de politique de confidentialité : un extrait

Voici un extrait rédigé pour une entreprise fictive, l’Atelier Lumen, SARL qui vend des luminaires en ligne. Il illustre le niveau de précision attendu pour un traitement.

Newsletter

Responsable du traitement : Atelier Lumen SARL, 12 rue des Artisans, 69000 Lyon, contact : vieprivee@exemple.fr.

Finalité : vous envoyer, environ deux fois par mois, nos nouveautés et nos offres par courriel.

Base légale : votre consentement, recueilli par la case que vous avez cochée lors de l’inscription. Vous pouvez le retirer à tout moment grâce au lien de désabonnement présent dans chaque courriel, sans que cela remette en cause les envois déjà effectués.

Données traitées : adresse électronique (obligatoire pour recevoir la lettre), prénom (facultatif).

Destinataires : notre équipe marketing et notre prestataire d’envoi de courriels, qui héberge les données dans l’Union européenne.

Durée de conservation : jusqu’à votre désabonnement, ou trois ans après votre dernier clic dans l’une de nos lettres.

Vos droits : vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Écrivez à vieprivee@exemple.fr. Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL.

La page complète reprend ce format pour chaque traitement : contact, commandes, compte client, mesure d’audience. Le générateur de politique de confidentialité produit ce type de blocs à partir de vos réponses.

Liste de contrôle avant publication

• L’identité et les coordonnées du responsable du traitement figurent en haut de la page.
• Les coordonnées du DPO sont indiquées, si vous en avez désigné un.
• Chaque traitement a sa finalité, sa base légale et sa durée de conservation chiffrée.
• Les sous-traitants ou catégories de destinataires sont listés.
• Les transferts hors de l’Union européenne sont signalés, avec leur garantie.
• Les droits sont énumérés, avec une adresse pour les exercer et le délai de réponse d’un mois.
• Le droit d’opposition est présenté séparément, notamment pour la prospection.
• Le retrait du consentement, la réclamation auprès de la CNIL et les directives post mortem sont mentionnés.
• Le caractère obligatoire ou facultatif des champs est indiqué, sur la page et dans les formulaires.
• Un lien figure en pied de page, et une mention courte sous chaque formulaire.
• Les cookies sont décrits sur la page ou dans une politique de cookies dédiée, reliée depuis la bannière.
• La date de dernière mise à jour est indiquée.

Et pour les cookies : Cookilio

La politique de confidentialité décrit les traitements ; la bannière, elle, doit bloquer les traceurs tant que le visiteur n’a pas donné son accord. Cookilio génère automatiquement une bannière de consentement à partir de l’analyse de votre site, bloque les scripts avant accord et délivre à chaque visiteur un reçu de consentement. Le service est édité par DPLIANCE en partenariat avec un cabinet spécialisé en droit du numérique et en RGPD, et démarre à 19 € HT par mois (voir les tarifs).

Sources

Consultées le 30 septembre 2026.

• Règlement (UE) 2016/679 (RGPD), chapitre III : articles 12 à 22, CNIL
• Loi Informatique et Libertés, article 48, Légifrance
• Loi Informatique et Libertés, article 85, Légifrance
• Code de commerce, article L. 123-22, Légifrance
• Référentiel relatif à la gestion des activités commerciales, CNIL
• Conformité RGPD : information des personnes et transparence, CNIL
• Les modèles de mentions d’information, CNIL
• RGPD en pratique : communiquer en ligne, CNIL
• Cookies : solutions pour les outils de mesure d’audience, CNIL
• Questions-réponses sur les cookies et autres traceurs, CNIL