Politique de confidentialité : comment la rédiger pour son site internet

Pour rédiger une politique de confidentialité, je commence par les outils réellement utilisés : formulaire, messagerie, newsletter ou réservation. Le document doit expliquer ce que vous faites des données et permettre aux personnes d’exercer leurs droits. Il sert à informer ; envoyer un message ne signifie pas accepter cette politique ni consentir à tous les traitements décrits.

Cet article vous explique qui doit avoir une politique de confidentialité sur son site internet, ce qu’elle doit contenir, et comment la rédiger sans jargon juridique inutile.

Politique de confidentialité : obligatoire ou pas ?

Si votre site traite des données personnelles, vous devez fournir l’information prévue par le RGPD. Une politique de confidentialité accessible est un moyen pratique de la regrouper, avec des mentions adaptées aux points de collecte. Le titre du document ne remplace pas son contenu.

Cela concerne concrètement :

• un formulaire de contact (même basique : nom, email, message)
• une inscription à une newsletter
• des cookies de mesure d’audience (Google Analytics, Matomo non anonymisé, etc.)
• un système de réservation, de devis ou de prise de rendez-vous en ligne
• tout module de commentaires ou de connexion utilisateur

Comme expliqué dans l’article sur ce que vous êtes vraiment obligé de faire en tant que freelance face au RGPD, informer les personnes dont vous collectez les données est l’obligation la plus fondamentale du règlement. La politique de confidentialité est le document qui formalise cette information.

Même un site sans formulaire peut traiter des adresses IP dans ses journaux techniques. Je vous conseille donc de vérifier l’hébergement et les outils avant de conclure qu’aucune information sur les données n’est nécessaire.

Politique de confidentialité et mentions légales : deux documents différents

Erreur fréquente : confondre les deux.

• Les mentions légales identifient l’éditeur du site (identité, statut juridique, hébergeur). Elles sont obligatoires pour tout site professionnel, indépendamment du RGPD.
• La politique de confidentialité explique comment les données personnelles des visiteurs sont traitées. Elle découle directement du RGPD.

Les deux documents répondent à des obligations différentes. Vous pouvez les publier sur des pages distinctes ou dans des sections clairement identifiées d’une même page, à condition que chaque information reste facile à trouver.

Ce que doit contenir une politique de confidentialité

Les six questions suivantes vous aident à préparer le document. Elles doivent être complétées selon vos traitements, notamment pour les destinataires, les transferts et les informations conditionnelles. La CNIL détaille l’information à fournir : il faut relire l’ensemble à partir de vos usages réels.

1. Qui collecte les données

Identité du responsable de traitement : votre nom ou raison sociale, votre statut (micro-entrepreneur, société), et un moyen de contact dédié (email ou formulaire).

2. Quelles données sont collectées

Listez concrètement ce que vous récupérez : nom, email, téléphone, adresse IP, données de navigation via cookies. Pas besoin de surcharger — listez ce qui correspond réellement à vos formulaires et outils.

3. Pourquoi ces données sont collectées

Pour chaque traitement, précisez la finalité : répondre à une demande de contact, envoyer une newsletter, établir un devis, mesurer l’audience du site. Une finalité par usage, pas une formule vague du type « améliorer nos services ».

4. Sur quelle base légale

Chaque finalité doit avoir une base légale adaptée parmi celles du RGPD. Précisez aussi l’intérêt poursuivi si vous invoquez l’intérêt légitime ; pour un traitement fondé sur le consentement, expliquez comment le retirer. La gestion d’un contrat et l’envoi d’une newsletter sont deux usages à examiner séparément.

5. Combien de temps les données sont conservées

Définissez une durée ou des critères par finalité. Pour la prospection, le repère de trois ans concernant un prospect part de la collecte ou du dernier contact venant de lui ; il ne s’applique pas automatiquement à chaque message reçu. Distinguez aussi les données utilisées au quotidien des pièces conservées pour une obligation légale ou un contentieux.

6. Quels sont les droits des visiteurs

Expliquez les droits applicables : accès, rectification, effacement, limitation, opposition et, lorsque ses conditions sont réunies, portabilité. Indiquez le contact et la manière de les exercer, ainsi que la possibilité d’adresser une réclamation à la CNIL. Les droits dépendent notamment de la base légale ; il ne faut pas promettre une suppression inconditionnelle.

7. Qui reçoit les données et quels transferts sont prévus

Identifiez les destinataires ou leurs catégories, y compris les prestataires qui traitent des données pour votre compte. Si des données sont transférées hors de l’Union européenne, précisez le cadre applicable et comment obtenir les garanties correspondantes. La localisation du serveur ne suffit pas à décrire les accès et transferts.

8. Quelles informations compléter selon le traitement

Indiquez les champs obligatoires, la raison de cette obligation et les conséquences d’une absence de réponse. Selon la situation, ajoutez les coordonnées du DPO ou du représentant, l’existence d’une décision automatisée et ses effets, ainsi que les informations sur une autre utilisation prévue. Lorsque les données viennent d’un tiers, examinez aussi les exigences de l’article 14 du RGPD, dont leur origine et leurs catégories.

Les sous-traitants à mentionner

Si vous utilisez des outils tiers qui traitent les données de vos visiteurs pour votre compte — un CRM, une plateforme d’emailing, un outil d’analytics, un hébergeur de formulaires — vous devez les mentionner. En pratique, une liste simple suffit :

• Outil utilisé (ex. : Brevo, Mailchimp, Google Analytics)
• Finalité (ex. : envoi de newsletter, mesure d’audience)
• Lieu d’hébergement des données si pertinent (Europe ou hors UE)

C’est aussi l’occasion de vérifier que ces outils sont eux-mêmes conformes, comme évoqué dans l’article sur les obligations RGPD : préférez des prestataires européens ou couverts par des mécanismes de transfert reconnus.

Erreurs fréquentes à éviter

Copier la politique d’un autre site. Chaque politique doit refléter vos traitements réels. Une politique copiée mentionne souvent des outils que vous n’utilisez pas, ou omet des traitements que vous avez bel et bien mis en place.

Une politique trop longue et trop générique. Un document de dix pages en jargon juridique n’est pas plus protecteur qu’une page claire et précise. La CNIL valorise la transparence réelle, pas le volume.

Oublier de la mettre à jour. Si vous ajoutez un nouvel outil (un nouveau CRM, une nouvelle plateforme d’emailing), la politique doit suivre. Un document figé depuis la création du site est souvent obsolète.

La rendre inaccessible. Elle doit être accessible en un clic depuis n’importe quelle page du site, généralement via le pied de page, à côté des mentions légales.

Comment la mettre en place concrètement

1. Listez vos traitements réels : formulaires, newsletter, cookies, outils tiers utilisés.
2. Rédigez les rubriques applicables décrites plus haut, en restant factuel et concret.
3. Publiez-la sur une page dédiée, accessible depuis le pied de page de votre site.
4. Reliez-la depuis vos formulaires : affichez une mention d’information avant l’envoi et un lien vers le détail. La formule « vous acceptez notre politique » ne remplace pas cette information.
5. Mettez-la à jour à chaque changement d’outil ou de traitement.

Pour la mention près du bouton, vous pouvez partir de cette trame à compléter : « [Responsable] utilise vos informations pour [finalité], sur la base de [base légale]. Les champs obligatoires sont signalés ; sans eux, [conséquence]. Pour les destinataires, la durée de conservation, vos droits et le contact utile, consultez [lien vers la politique]. » Le guide du formulaire de contact explique comment l’adapter.

Cette démarche rejoint l’ensemble des obligations RGPD du freelance : ce n’est pas un projet complexe, mais un document qui doit refléter fidèlement votre activité réelle.

Une politique de confidentialité claire, c’est aussi un argument de confiance

Au-delà de l’obligation légale, une politique de confidentialité bien rédigée rassure vos visiteurs et vos clients. Elle montre que vous prenez leurs données au sérieux — un signal de professionnalisme qui peut peser dans la décision d’un prospect hésitant entre vous et un concurrent.

Pour avancer avec un support guidé, le Kit RGPD du Freelance comprend un modèle de politique de confidentialité à personnaliser et une méthode pour examiner vos usages. Je vous conseille de partir de l’inventaire de vos traitements avant de compléter ce modèle : il n’est pas une validation automatique de votre site.

Je me demande donc comment rendre cette information compréhensible pour mes visiteurs tout en la maintenant cohérente avec les outils que j’utilise.

Conseils révisés et sources vérifiées le 5 octobre 2026.