Politique de confidentialité

C'est le document que tout le monde a sur son site et que personne ne lit, y compris souvent celui qui l'a mis en ligne. Copié sur un concurrent, il décrit des traitements que l'entreprise ne fait pas et passe sous silence ceux qu'elle fait réellement. Cet écart est exactement ce qu'un contrôle relève en premier : la politique de confidentialité n'est pas une formalité de façade, c'est la déclaration publique de pratiques qui doivent exister.

Qu'est-ce qu'une politique de confidentialité ?

La politique de confidentialité est un document précisant les modalités de collecte, d'utilisation et de protection des données personnelles par une organisation.

Elle informe les utilisateurs de leurs droits, notamment dans le cadre du règlement général sur la protection des données, et constitue une obligation légale pour tout site ou service traitant des données personnelles.

Sa fonction juridique est précise : elle matérialise l'obligation d'information qui pèse sur le responsable de traitement. Toute personne dont les données sont collectées doit savoir qui les collecte, pourquoi, sur quel fondement, combien de temps elles sont conservées, avec qui elles sont partagées et quels droits elle peut exercer.

Elle se distingue de deux documents voisins. Les conditions générales d'utilisation régissent la relation contractuelle avec l'utilisateur d'un service. La bannière de cookies traite spécifiquement des traceurs déposés sur le terminal, et relève d'un régime distinct qui impose un consentement préalable pour les traceurs non essentiels.

Elle concerne toute entreprise qui traite des données personnelles, ce qui inclut les données de salariés, de clients, de prospects et de candidats. Autrement dit, la quasi-totalité des entreprises.

Ce qu'elle doit contenir

Le contenu n'est pas libre : le règlement européen énumère les informations à fournir.

L'identité du responsable de traitement et ses coordonnées, ainsi que celles du délégué à la protection des données lorsqu'il en existe un.

Les finalités de chaque traitement, décrites de façon spécifique. Une formulation générale du type amélioration de nos services ne satisfait pas l'exigence : il faut dire ce que l'on fait, traitement par traitement.

La base légale de chacun : consentement, exécution d'un contrat, obligation légale, intérêt légitime. Ce point est souvent absent des documents recopiés, alors qu'il conditionne les droits de la personne concernée.

Les destinataires, y compris les sous-traitants : hébergeur, outil d'envoi de courriels, service de paiement, logiciel de gestion commerciale, prestataire de facturation.

Les transferts hors de l'Union européenne le cas échéant, avec les garanties encadrant ces transferts.

Les durées de conservation, par catégorie de données, ou à défaut les critères permettant de les déterminer.

Les droits : accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement, et le droit d'introduire une réclamation auprès de l'autorité de contrôle.

Deux qualités de forme sont également exigées : un langage clair et compréhensible, et une accessibilité permanente, ce qui suppose un lien visible depuis toutes les pages et depuis chaque formulaire de collecte.

Questions fréquentes

Un modèle en ligne suffit-il ?
Comme point de départ, oui. Tel quel, non : un modèle décrit des traitements génériques, alors que le document doit refléter les traitements réellement effectués. C'est l'écart entre les deux qui pose problème, pas l'usage d'un modèle.

Une entreprise sans site internet en a-t-elle besoin ?
L'obligation d'information existe dès qu'il y a traitement de données personnelles, y compris pour les salariés ou les clients d'un commerce physique. Elle prend alors d'autres formes : mention sur les formulaires, note d'information remise aux salariés, affichage en cas de vidéosurveillance.

Faut-il désigner un délégué à la protection des données ?
La désignation est obligatoire dans certains cas, notamment pour les organismes publics ou pour un suivi systématique à grande échelle. Hors de ces cas, elle est facultative, mais désigner un référent interne reste une bonne pratique.

Que risque-t-on ?
Des sanctions administratives prononcées par l'autorité de contrôle, dont le montant peut être significatif, et un risque réputationnel. En pratique, les contrôles commencent souvent par une mise en demeure de régulariser.

Ce qui doit exister derrière le document

C'est le point décisif, et celui que la rédaction seule ne règle pas. La politique publiée décrit des pratiques ; ces pratiques doivent exister.

Le registre des traitements est le document interne qui recense ce que l'entreprise fait réellement : quelles données, pour quelles finalités, sur quelle base, combien de temps, avec quels destinataires. Il est obligatoire, avec un régime allégé pour les petites structures dont les traitements sont limités et non sensibles. C'est ce registre qui alimente la politique publique, et pas l'inverse.

Les contrats de sous-traitance doivent comporter les clauses prévues par le règlement. Un hébergeur, un service d'envoi de courriels ou un outil de gestion qui traite des données pour le compte de l'entreprise est un sous-traitant, et le contrat doit le refléter.

La procédure de réponse aux demandes de droits doit permettre de répondre dans le délai prévu par les textes. Une demande d'accès reçue par un formulaire de contact générique, et qui se perd, est un manquement.

La purge effective des données à l'expiration des durées annoncées. Annoncer une durée et conserver indéfiniment est un écart facile à constater.

La procédure en cas de violation de données, avec notification à l'autorité de contrôle dans le délai prévu, et information des personnes concernées lorsque le risque est élevé.

Un dernier réflexe, souvent oublié : la mise à jour. Un nouvel outil, un nouveau prestataire ou une nouvelle finalité modifient les traitements, donc le document.

Une démarche proportionnée pour une petite structure

La réglementation est conçue pour s'appliquer proportionnellement au risque. Une entreprise de quelques personnes n'a pas à déployer le dispositif d'un grand groupe, mais elle doit faire quatre choses.

Recenser. Lister les traitements existants : fichier clients, prospection, gestion des salariés, candidatures, vidéosurveillance éventuelle, cookies du site. Cet inventaire tient sur deux pages et se fait en une demi-journée.

Nettoyer. Supprimer les données inutiles, les fichiers oubliés, les accès de personnes parties, les prestataires qui ne servent plus. C'est l'étape qui réduit le plus le risque pour le moins d'effort.

Rédiger à partir de l'inventaire, pas à partir d'un modèle. Le document sera plus court et plus exact qu'une politique recopiée.

Assigner la responsabilité à une personne identifiée, même sans titre formel, et prévoir une revue annuelle.

Deux points méritent une attention particulière en petite structure. La prospection commerciale par courriel obéit à des règles distinctes selon que le destinataire est un particulier ou un professionnel, et la confusion est fréquente. Et les données de salariés sont souvent les moins bien traitées, alors qu'elles sont parmi les plus sensibles.

L'autorité de contrôle publie des guides et des modèles de registre gratuits, conçus pour les petites entreprises. Les utiliser vaut mieux que de reprendre le document d'un concurrent.

Politique de confidentialité et Qileo

Une bonne part des sous-traitants d'une entreprise sont des outils payés par abonnement, et la liste de ces abonnements est aussi celle des prestataires qui traitent ses données.

Chez Qileo, les prélèvements sont présentés avec leur référence de mandat et les opérations sont catégorisées au fil de l'eau. La revue des débits récurrents fait apparaître les outils en service, y compris ceux dont plus personne ne se souvient, ce qui constitue un point de départ concret pour tenir à jour la liste des sous-traitants.

Les justificatifs restent rattachés aux opérations, de sorte que le contrat d'un prestataire reste associé aux paiements qu'il fonde, jusqu'au moment où il faut vérifier les clauses de traitement de données.

Les droits se règlent par membre de l'équipe, logique voisine de celle du règlement européen : limiter les accès à ce qui est nécessaire. L'ensemble des comptes se consulte sur une vue unique, le compte est ouvert avec un IBAN français, et les fonds déposés n'orientent ni vers les énergies fossiles ni vers les industries controversées.