Mon site a-t-il besoin d’une politique de confidentialité ?

Oui, presque certainement. Si votre site collecte la moindre donnée personnelle, et un formulaire de contact, une inscription à la newsletter, de la mesure d’audience, une vidéo intégrée ou même des journaux serveur avec des adresses IP comptent tous, le RGPD vous oblige à dire aux visiteurs ce que vous en faites, et la politique de confidentialité est la façon dont les sites le font. La loi californienne CalOPPA exige une politique publiée de tout site commercial qui collecte des informations personnellement identifiables sur des résidents de Californie, et les conditions de Google Analytics en exigent une elles aussi. Les seuls sites qui peuvent s’en passer sont ceux qui ne collectent rien du tout, ce qui est plus rare qu’il n’y paraît.

Qu’est-ce qui compte comme collecte de données personnelles ?

Plus de choses que la plupart des propriétaires de sites ne le pensent :

• Les formulaires. Un nom et une adresse e-mail dans un formulaire de contact, une inscription à la newsletter, un commentaire.
• Les comptes et les commandes. Comptes clients, adresses, historique de commandes.
• La mesure d’audience et la publicité. Les identifiants de cookies et les données qui y sont rattachées sont des données personnelles au sens du RGPD quand ils permettent d’isoler un visiteur.
• Les contenus embarqués et les widgets. Une vidéo YouTube, une carte, un widget de chat ou une police chargée depuis un serveur tiers envoie l’adresse IP du visiteur à ce fournisseur.
• Les journaux serveur. La Cour de justice a jugé dans l’arrêt Breyer (C-582/14, 2016) qu’une adresse IP dynamique peut être une donnée personnelle pour l’exploitant d’un site qui dispose de moyens légaux d’identifier la personne avec l’aide du fournisseur d’accès à internet.

Un site vitrine statique sans formulaire, sans mesure d’audience, sans contenu embarqué et avec des polices auto-hébergées peut ne rien collecter au-delà de ce que l’hébergeur journalise pour la sécurité. Même dans ce cas, une courte politique qui dit exactement cela est une assurance peu coûteuse.

Quelles lois en exigent une ?

En pratique, si votre audience est internationale, une politique rédigée selon le standard du RGPD couvre la plupart de ces lois, avec une section pour la Californie et les autres États américains.

Les outils tiers en exigent-ils une ?

Souvent, oui, indépendamment de la loi. Les conditions d’utilisation de Google Analytics vous obligent à publier une politique de confidentialité qui informe de votre utilisation des cookies et indique que vous utilisez Google Analytics et comment il collecte et traite les données. Les magasins d’applications, les régies publicitaires et les prestataires de paiement ont des clauses semblables. Enfreindre ces conditions peut entraîner la suspension du compte, même là où aucun régulateur ne regarde.

Que doit contenir la politique ?

Pour le RGPD, les articles 13 et 14 en listent le contenu :

1. Qui vous êtes et comment vous contacter (ainsi que votre délégué à la protection des données, si vous en avez un).
2. Chaque finalité du traitement et sa base légale (contrat, consentement, obligation légale, intérêt légitime, en nommant l’intérêt).
3. Les destinataires ou catégories de destinataires : hébergement, e-mail, mesure d’audience, publicité, paiement.
4. Les transferts hors de l’UE et la garantie utilisée.
5. La durée de conservation de chaque catégorie de données, ou les critères qui la déterminent.
6. Les droits de la personne : accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement.
7. Le droit d’introduire une réclamation auprès d’une autorité de contrôle.
8. Le caractère légal ou contractuel de la fourniture des données, et ce qui se passe si elles ne sont pas fournies.
9. Toute prise de décision automatisée produisant des effets importants.

Pour la Californie, ajoutez les catégories d’informations personnelles collectées, vendues ou partagées au cours des 12 derniers mois, les droits « Do Not Sell or Share » et la façon dont vous traitez les signaux de préférence d’opposition. La checklist RGPD montre la place de la politique parmi les autres obligations.

Une politique de cookies, est-ce la même chose ?

Non, mais elles se recoupent. La politique de confidentialité couvre toutes les données personnelles ; la politique de cookies liste les cookies et technologies similaires, leur finalité, leur fournisseur et leur durée, et explique comment modifier son consentement. Beaucoup de sites publient la politique de cookies comme une section de la politique de confidentialité, ce qui convient tant qu’elle est facile à trouver depuis le bandeau. Rédiger une politique de cookies en détaille le contenu.

Puis-je copier la politique de quelqu’un d’autre ?

Vous pouvez emprunter la structure, pas les faits. Une politique copiée nomme les mauvais prestataires, les mauvaises durées de conservation et les mauvaises bases légales, et elle peut être protégée par le droit d’auteur de quelqu’un. La pire politique est celle qui décrit des outils que vous n’utilisez pas et omet ceux que vous utilisez, car elle montre aux autorités que personne n’a vérifié. Partez de ce que fait réellement votre site : scannez-le, listez les outils, puis rédigez.

Où faut-il la mettre en lien ?

Sur chaque page (en général dans le pied de page), depuis chaque formulaire qui collecte des données, depuis le bandeau cookies et depuis l’inscription à un compte. Indiquez une date de dernière mise à jour en haut, et mettez-la à jour quand vous ajoutez un outil, un formulaire ou un prestataire.

En générer une à partir de ce que fait votre site

Le générateur de Cookiequiet rédige une politique de confidentialité, une politique de cookies et des conditions d’utilisation à partir d’un questionnaire prérempli par un scan de votre site, pour le RGPD, le UK GDPR, ePrivacy, le CCPA/CPRA, la LGPD et la LPD suisse, en anglais et en français. Ce sont des modèles, pas un conseil juridique, et chaque page le précise. L’offre gratuite couvre un site avec des politiques dans une langue ; l’installation tient en une balise script avant vos autres scripts, soit environ cinq minutes entre l’inscription et un bandeau en ligne. Commencez par le générateur de politique de confidentialité.