Politique de confidentialité : le modèle utilisable pour une TPE

À quoi sert ce document, vraiment

Le règlement européen impose une information : la personne dont vous traitez les données doit savoir ce que vous en faites, avant de vous les confier. La politique de confidentialité est la forme habituelle de cette information.

Ce n'est donc pas un contrat, ni une décharge de responsabilité. Écrire « en utilisant ce site vous acceptez notre politique » ne vous autorise à rien de plus. Ce que le document doit faire, c'est décrire la réalité. Un document parfait qui décrit une pratique différente de la vôtre est un document faux.

Corollaire rassurant pour une TPE : si vous ne collectez presque rien, votre politique peut être courte. Un site vitrine avec un simple formulaire de contact n'a pas besoin de huit pages.

Les huit rubriques, et comment les remplir

• Qui est responsable. La raison sociale, l'adresse et un contact. Pour une TPE, la même entité que dans les mentions légales.
• Quelles données, et par quel moyen. Listez les champs réels de vos formulaires. « Nom, adresse électronique, message » est une réponse complète pour beaucoup de sites.
• Pourquoi. Une finalité par usage : répondre à une demande, envoyer une lettre d'information, établir une facture. Une finalité vague comme « améliorer nos services » n'en est pas une.
• Sur quelle base. Consentement pour une newsletter, exécution d'un contrat pour une commande, intérêt légitime pour répondre à une demande entrante, obligation légale pour une facture.
• Combien de temps. Une durée chiffrée, pas « le temps nécessaire ». Trois ans après le dernier contact pour une demande commerciale est un usage courant.
• Qui d'autre y a accès. La rubrique la plus souvent fausse, voir ci-dessous.
• Les transferts hors Union européenne, s'il y en a, et sur quel fondement ils reposent.
• Les droits de la personne et comment les exercer : accès, rectification, effacement, opposition, ainsi que la possibilité de saisir l'autorité de contrôle.

Les deux erreurs qui rendent le document faux

1. Recopier un modèle sans l'adapter. Le symptôme est facile à repérer : votre politique mentionne des traitements que vous ne faites pas, ou une durée de conservation que personne chez vous n'applique. Le texte devient une déclaration inexacte, ce qui est plus embarrassant que l'absence de texte.

2. Oublier les destinataires réels. C'est l'erreur la plus répandue, et elle est involontaire. On pense « destinataire » et on imagine une revente de fichier. Mais un destinataire, c'est aussi tout outil qui voit passer les données : l'hébergeur, le service d'envoi d'e-mails, l'outil de mesure d'audience, la police de caractères chargée depuis un serveur tiers, le service de formulaire, le module de prise de rendez-vous.

Chacun de ces appels transmet au minimum l'adresse IP du visiteur, et parfois davantage. Beaucoup sont établis hors de l'Union européenne, ce qui déclenche la rubrique des transferts. C'est exactement pour cette raison que rapatrier ses polices de caractères sur son propre domaine, geste purement technique, simplifie aussi le document juridique.

Faire l'inventaire de ce que votre site appelle

Avant d'écrire la rubrique des destinataires, il faut savoir ce que vos pages appellent réellement. Deux méthodes.

À la main : ouvrez votre site, appuyez sur F12, onglet Réseau, puis rechargez la page. La colonne des domaines vous donne la liste de tout ce que le navigateur du visiteur a contacté. Regardez les noms qui ne sont pas le vôtre.

Automatiquement : notre audit gratuit fait ce relevé et vous rend deux chiffres, le nombre de domaines tiers appelés et le nombre de services établis hors Union européenne, avec leurs noms.

Cet inventaire sert deux fois : à écrire une politique exacte, et à décider ce qui doit passer sous consentement. Ce second point est traité dans l'article sur les cookies et les traceurs.

Le cas du formulaire de contact, le plus fréquent

Neuf sites de TPE sur dix n'ont qu'un seul traitement de données : un formulaire de contact. Voici à quoi ressemble une politique honnête dans ce cas, en quelques lignes, pour montrer qu'il n'y a pas besoin de huit pages.

Les données sont celles des champs, et rien d'autre : nom, adresse électronique, éventuellement téléphone, et le message. La finalité est de répondre à la demande. La base est l'intérêt légitime, puisque la personne vous écrit de sa propre initiative : ce n'est pas un consentement, et il n'y a donc pas de case à cocher à ajouter. La durée est à choisir et à écrire, par exemple trois ans après le dernier échange pour une demande commerciale, ou la durée de la relation contractuelle si elle aboutit.

Les destinataires sont l'hébergeur du site et votre fournisseur de messagerie, qu'il faut nommer. Si le formulaire passe par un service tiers, il s'ajoute à la liste, et s'il est établi hors Union européenne, la rubrique des transferts se déclenche.

Deux points souvent manqués sur ce cas pourtant simple :

• Une case à cocher pour la newsletter n'est pas la même chose qu'un formulaire de contact. S'inscrire à une lettre d'information est un traitement distinct, avec sa propre base, le consentement, et son propre moyen de retrait. La case doit être décochée par défaut et séparée de l'envoi du message.
• Les messages reçus finissent dans une boîte mail, qui les conserve indéfiniment si personne ne fait le ménage. La durée que vous annoncez doit correspondre à une pratique réelle, sinon votre document redevient faux.

Ce que notre audit mesure

La catégorie vie privée et traceurs compte 6 vérifications : présence de traceurs analytiques, cookies déposés dès l'accueil, recueil du consentement lorsque des traceurs sont chargés, ressources chargées depuis d'autres domaines avec leur liste, transferts vers des services établis hors Union européenne avec leur liste, et localisation du serveur. La catégorie conformité légale, avec ses 2 vérifications, contrôle en parallèle que les pages légales existent et sont atteignables en un clic.

Ce que l'audit ne fait pas : il ne lit pas votre politique de confidentialité et ne vérifie pas qu'elle décrit correctement les traitements qu'il a détectés. Il vous donne la matière, c'est-à-dire la liste réelle des services appelés par vos pages ; la confronter à votre document reste un travail humain.