Politique de confidentialité : ce qu'il est obligatoire d'indiquer et où le placer

Sommaire

• Qu'est-ce que la politique de confidentialité ?
• Quelles informations sont obligatoires ?
• Où devez-vous l'afficher ?
• Quel risque courez-vous si vous n'informez pas correctement ?
• Comment Tranquilia la génère
• Questions fréquentes
• Sources officielles

Qu'est-ce que la politique de confidentialité ?

C'est la façon de remplir le « devoir d'information » du RGPD. La loi part d'une idée simple : si vous allez utiliser les données d'une personne, cette personne a le droit de savoir ce que vous en faites, dans un langage clair et avant que vous ne les conserviez.

Ce n'est pas la même chose que les mentions légales (qui identifient l'entreprise) ni que la politique de cookies (qui porte sur le pistage sur le site). Ce sont trois textes distincts, même s'ils cohabitent souvent dans le même pied de page.

Quelles informations sont obligatoires ?

Les art. 13 et 14 du RGPD fixent ce que vous devez indiquer. Au minimum :

1. Qui vous êtes : identité et coordonnées du responsable (votre entreprise).
2. À quelles fins vous utilisez les données (les finalités) et sur quelle base légale.
3. À qui vous les communiquez (gestoría, prestataires, Administration).
4. Combien de temps vous les conservez.
5. Quels droits a la personne (accès, rectification, effacement, opposition...) et comment les exercer.
6. Qu'elle peut réclamer auprès de l'AEPD si elle estime que vous n'êtes pas en conformité.

L'art. 13 s'applique lorsque vous collectez les données directement auprès de la personne ; l'art. 14, lorsque vous les obtenez par une autre voie. L'information doit être « concise, transparente et intelligible » (art. 12) : pas de pavé en petits caractères que personne ne comprend.

Où devez-vous l'afficher ?

Partout où vous demandez des données et à un endroit toujours accessible :

• Dans le pied de page de votre site, sous forme de lien permanent.
• À côté de chaque formulaire (contact, devis, newsletter), avec une case ou un lien clair.
• Lorsque quelqu'un vous laisse ses données en personne ou par téléphone, avec une version que vous pouvez remettre ou lire.

Quel risque courez-vous si vous n'informez pas correctement ?

Mal informer — ou ne pas informer — est l'une des choses les plus faciles à détecter : il suffit de regarder votre site. L'AEPD (Agencia Española de Protección de Datos, l'autorité espagnole de protection des données) reçoit de nombreuses réclamations précisément pour des formulaires sans information ou avec des textes génériques qui ne disent rien.

Le RGPD fixe les plafonds de sanction à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD) ; c'est le chiffre le plus élevé qui s'applique. Pour une PME, l'amende maximale n'est pas la règle, mais un formulaire sans politique de confidentialité est une porte ouverte à une réclamation que vous auriez pu éviter avec un texte bien rédigé.

Comment Tranquilia la génère

À partir du questionnaire, Tranquilia rédige la politique de confidentialité avec les finalités et les bases légales propres à votre activité, et vous la laisse prête à publier sur votre site et à lier depuis vos formulaires. Si vous êtes une gestoría (un cabinet qui gère les formalités administratives d'autres entreprises), vous la générez pour chaque entreprise cliente.

Questions fréquentes

Suffit-il de copier la politique de confidentialité d'un autre site ?

Non. Chaque entreprise traite des données différentes, à des fins différentes. Une politique copiée ment généralement sur ce que vous faites vraiment, et c'est pire que de ne pas en avoir : vous informez mal, ce qui est également sanctionné.

La politique de confidentialité et les mentions légales, est-ce la même chose ?

Non. Les mentions légales identifient l'entreprise et respectent la LSSI (la loi espagnole sur les services de la société de l'information) ; la politique de confidentialité remplit le devoir d'information du RGPD. Ce sont des textes distincts, même si beaucoup de sites les lient ensemble.

Dois-je informer également mes salariés ?

Oui. Vos salariés sont aussi des personnes dont vous traitez les données (bulletins de paie, contrats). Ils ont besoin de leur propre information de confidentialité, distincte de celle de vos clients.

Sources officielles

• Reglamento (UE) 2016/679 (RGPD), articles 12, 13 et 14 (et art. 83, sanctions) — texte sur EUR-Lex.
• Agencia Española de Protección de Datos (AEPD).
• BOE — Ley Orgánica 3/2018 (LOPDGDD), article 11 (devoir d'information).

---

Informations générales sur la réglementation. Ne remplace pas les conseils d'un avocat ni l'analyse de votre cas concret. Si vous avez des doutes, consultez votre gestoría ou un professionnel du droit.