{"id":23360,"date":"2026-09-18T10:00:00","date_gmt":"2026-09-18T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23360"},"modified":"2026-09-09T14:26:13","modified_gmt":"2026-09-09T14:26:13","slug":"politique-confidentialite-rgpd-modele-conforme","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/politique-confidentialite-rgpd-modele-conforme\/","title":{"rendered":"Politique de confidentialit\u00e9 : le mod\u00e8le conforme au RGPD"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Septembre 2026<\/em><\/em><\/p>\n\n\n\n

\n

La politique de confidentialit\u00e9 est le document le plus visible de votre conformit\u00e9. Or, c’est aussi l’un des plus souvent sanctionn\u00e9s. En effet, une mention oubli\u00e9e suffit \u00e0 caract\u00e9riser un manquement. C’est pourquoi une politique de confidentialit\u00e9 RGPD doit suivre une structure pr\u00e9cise. Ce guide la d\u00e9taille section par section, avec les erreurs \u00e0 \u00e9viter.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi ce document est si sensible<\/a><\/li>\n\n\n\n
  2. Le cadre : les articles 12 \u00e0 14 du RGPD<\/a><\/li>\n\n\n\n
  3. La structure conforme, section par section<\/a><\/li>\n\n\n\n
  4. Tableau : mentions, fondement et criticit\u00e9<\/a><\/li>\n\n\n\n
  5. Les erreurs les plus sanctionn\u00e9es et la section IA<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi ce document est si sensible<\/h2>\n\n\n\n

    La politique de confidentialit\u00e9 est visible par tous, \u00e0 tout moment. En effet, elle figure au pied de chaque site web et application mobile. Or, cette forte visibilit\u00e9 en fait une cible facile pour le r\u00e9gulateur. C’est pourquoi une politique de confidentialit\u00e9 RGPD mal r\u00e9dig\u00e9e se rep\u00e8re aussit\u00f4t.<\/p>\n\n\n\n

    Un simple contr\u00f4le en ligne suffit \u00e0 d\u00e9tecter un d\u00e9faut. La CNIL peut ainsi agir sans m\u00eame avoir \u00e0 se d\u00e9placer. Ainsi, une mention manquante devient imm\u00e9diatement opposable au responsable. Le r\u00e9gulateur n’a m\u00eame pas besoin d’un signalement pr\u00e9alable. De ce fait, une politique de confidentialit\u00e9 RGPD concentre un risque de conformit\u00e9 \u00e9lev\u00e9.<\/p>\n\n\n\n

    Les montants en jeu sont dissuasifs. Un manquement \u00e0 la transparence rel\u00e8ve du plafond haut des sanctions. Il peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Par cons\u00e9quent, la rigueur de r\u00e9daction prot\u00e8ge directement l’entreprise. Elle rassure aussi les clients et les partenaires exigeants.<\/p>\n\n\n\n

    Ce document s’inscrit dans un dispositif RGPD plus large. Il compl\u00e8te directement notre guide du RGPD en entreprise<\/strong><\/a>, socle de la conformit\u00e9. De plus, il doit rester coh\u00e9rent avec le registre des traitements.<\/p>\n\n\n\n

    2. Le cadre : les articles 12 \u00e0 14 du RGPD<\/h2>\n\n\n\n

    Trois articles structurent l’obligation d’information. Les conna\u00eetre \u00e9vite les oublis les plus courants d’une politique de confidentialit\u00e9 RGPD.<\/p>\n\n\n\n

    2.1 L’article 12 : la forme de l’information<\/h3>\n\n\n\n

    L’article 12 fixe les exigences de forme. L’information doit \u00eatre concise, transparente et compr\u00e9hensible. Surtout, elle doit utiliser un langage clair et simple. De plus, elle doit rester facilement accessible et gratuite. Un document cach\u00e9 ou payant m\u00e9conna\u00eet donc l’article 12.<\/p>\n\n\n\n

    2.2 L’article 13 : la collecte directe<\/h3>\n\n\n\n

    L’article 13 vise les donn\u00e9es collect\u00e9es aupr\u00e8s de la personne. Il impose une longue liste de mentions pr\u00e9cises. On y trouve les finalit\u00e9s, la base l\u00e9gale et les destinataires des donn\u00e9es. Chaque \u00e9l\u00e9ment doit \u00eatre pr\u00e9cis et v\u00e9rifiable. S’y ajoutent les dur\u00e9es, les droits et la r\u00e9clamation possible aupr\u00e8s de la CNIL.<\/p>\n\n\n\n

    2.3 L’article 14 : la collecte indirecte<\/h3>\n\n\n\n

    L’article 14 concerne les donn\u00e9es obtenues aupr\u00e8s d’un tiers. Il reprend les mentions de l’article 13, avec un ajout cl\u00e9. En effet, il faut indiquer la source exacte des donn\u00e9es collect\u00e9es. Cette mention distingue nettement l’article 14 de l’article 13. Ainsi, la personne comprend d’o\u00f9 provient l’information la concernant. De plus, elle peut mieux exercer ses droits en connaissance de cause.<\/p>\n\n\n\n

    2.4 La doctrine de transparence du CEPD<\/h3>\n\n\n\n

    Le Comit\u00e9 europ\u00e9en (CEPD) pr\u00e9cise ces obligations. Ses lignes directrices sur la transparence recommandent une information en couches. Autrement dit, un r\u00e9sum\u00e9 clair renvoie vers des d\u00e9tails complets et exhaustifs. De cette fa\u00e7on, la lisibilit\u00e9 et l’exhaustivit\u00e9 coexistent enfin. Le premier niveau reste court, le second donne tous les d\u00e9tails.<\/p>\n\n\n\n

    3. La structure conforme, section par section<\/h2>\n\n\n\n

    Une bonne politique suit un ordre logique et complet. Voici les sections d’une politique de confidentialit\u00e9 RGPD, dans un encha\u00eenement clair.<\/p>\n\n\n\n

    3.1 Le responsable et le DPO<\/h3>\n\n\n\n

    Commencez par identifier clairement le responsable de traitement. Indiquez sa raison sociale et ses coordonn\u00e9es compl\u00e8tes. Le cas \u00e9ch\u00e9ant, mentionnez le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, ou DPO. Cette section pose l’interlocuteur de r\u00e9f\u00e9rence pour la personne. En effet, elle doit pouvoir contacter un responsable identifi\u00e9.<\/p>\n\n\n\n

    3.2 Les finalit\u00e9s et les bases l\u00e9gales<\/h3>\n\n\n\n

    D\u00e9crivez ensuite chaque finalit\u00e9 de traitement, une \u00e0 une. \u00c0 chaque finalit\u00e9, associez ensuite sa base l\u00e9gale pr\u00e9cise et v\u00e9rifiable. Par exemple, le consentement, le contrat ou l’int\u00e9r\u00eat l\u00e9gitime. Cette rigueur est le c\u0153ur d’une politique de confidentialit\u00e9 RGPD solide.<\/p>\n\n\n\n

    3.3 Les destinataires et les transferts<\/h3>\n\n\n\n

    Listez les cat\u00e9gories de destinataires des donn\u00e9es. Pr\u00e9cisez notamment le recours \u00e0 des sous-traitants. Notre analyse du DPA de l’article 28<\/strong><\/a> d\u00e9taille ce point. En cas de transfert hors Union europ\u00e9enne, indiquez les garanties applicables. Par exemple, les clauses contractuelles types de la Commission.<\/p>\n\n\n\n

    3.4 Les dur\u00e9es et les droits<\/h3>\n\n\n\n

    Indiquez ensuite les dur\u00e9es de conservation, par cat\u00e9gorie. \u00c0 d\u00e9faut de dur\u00e9e fixe, donnez des crit\u00e8res clairs. Puis \u00e9num\u00e9rez, un par un, tous les droits reconnus \u00e0 la personne. Enfin, expliquez comment les exercer, simplement et sans frais. De m\u00eame, rappelez le droit de saisir la CNIL en cas de difficult\u00e9.<\/p>\n\n\n\n

    4. Tableau : mentions, fondement et criticit\u00e9<\/h2>\n\n\n\n

    Le tableau ci-dessous r\u00e9capitule les mentions attendues. Il relie chaque mention \u00e0 son fondement et \u00e0 son risque.<\/p>\n\n\n\n

    Mention<\/th>Fondement<\/th>Criticit\u00e9<\/th><\/tr><\/thead>
    Responsable et DPO<\/td>Article 13, 1\u00b0 a) et b)<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Finalit\u00e9s et bases l\u00e9gales<\/td>Article 13, 1\u00b0 c)<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Destinataires et transferts<\/td>Article 13, 1\u00b0 e) et f)<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Dur\u00e9es de conservation<\/td>Article 13, 2\u00b0 a)<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Droits et r\u00e9clamation CNIL<\/td>Article 13, 2\u00b0 b) \u00e0 d)<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    D\u00e9cision automatis\u00e9e \/ IA<\/td>Article 13, 2\u00b0 f) + AI Act art. 50<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. Les erreurs les plus sanctionn\u00e9es et la section IA<\/h2>\n\n\n\n

    Certaines erreurs reviennent sans cesse dans les d\u00e9cisions. Les conna\u00eetre permet de s\u00e9curiser la r\u00e9daction d’une politique de confidentialit\u00e9 RGPD.<\/p>\n\n\n\n

    5.1 Les dur\u00e9es et la base l\u00e9gale oubli\u00e9es<\/h3>\n\n\n\n

    L’absence de dur\u00e9es de conservation est l’erreur la plus fr\u00e9quente. De m\u00eame, une base l\u00e9gale non indiqu\u00e9e fragilise tout le document. Or, ces deux mentions sont express\u00e9ment exig\u00e9es par le texte. Leur absence est d’ailleurs relev\u00e9e quasi syst\u00e9matiquement en contr\u00f4le. Ainsi, leur oubli suffit \u00e0 caract\u00e9riser un manquement.<\/p>\n\n\n\n

    5.2 Le langage opaque et la politique introuvable<\/h3>\n\n\n\n

    Un langage trop juridique trahit l’esprit de l’article 12. En effet, la personne doit comprendre sans effort. De plus, une politique de confidentialit\u00e9 noy\u00e9e dans le site pose un vrai probl\u00e8me. Elle doit rester visible et accessible en un clic depuis chaque page. Un lien en pied de site reste la solution la plus s\u00fbre.<\/p>\n\n\n\n

    5.3 La section IA, nouveau standard 2026<\/h3>\n\n\n\n

    L’usage de l’IA impose d\u00e9sormais des mentions suppl\u00e9mentaires. Le RGPD exige d\u00e9j\u00e0 d’informer sur les d\u00e9cisions automatis\u00e9es et leur logique. L’article 50 de l’AI Act ajoute une transparence sur les contenus g\u00e9n\u00e9r\u00e9s et les deepfakes. La politique doit donc citer les outils d’IA utilis\u00e9s. Notre guide de la charte IA en entreprise<\/strong><\/a> aide \u00e0 cadrer ces usages.<\/p>\n\n\n\n

    5.4 La coh\u00e9rence avec le reste du dispositif<\/h3>\n\n\n\n

    Une politique isol\u00e9e ne suffit jamais. Elle doit fid\u00e8lement refl\u00e9ter le registre des traitements r\u00e9el de l’entreprise. De m\u00eame, elle doit co\u00efncider parfaitement avec la banni\u00e8re cookies. Ainsi, la coh\u00e9rence globale devient une v\u00e9ritable preuve de s\u00e9rieux. Un r\u00e9gulateur d\u00e9tecte vite une politique d\u00e9connect\u00e9e de la r\u00e9alit\u00e9.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    R\u00e9diger une politique de confidentialit\u00e9 exige plus qu’un mod\u00e8le type. Il faut l’ajuster aux traitements r\u00e9els de l’entreprise. Il faut aussi articuler le RGPD avec l’AI Act et les cookies. Atias Avocats, cabinet du 5e arrondissement de Paris, ma\u00eetrise ces sujets. En effet, un mod\u00e8le g\u00e9n\u00e9rique laisse souvent des mentions manquantes. De m\u00eame, une politique d\u00e9cal\u00e9e du terrain reste tr\u00e8s risqu\u00e9e. Cet accompagnement transforme un document standard en protection sur mesure. Pour aller plus loin, consultez nos services en protection des donn\u00e9es<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    Une politique de confidentialit\u00e9 RGPD n’est pas un simple habillage juridique. C’est la vitrine directe de votre conformit\u00e9 aux donn\u00e9es. Or, une seule mention manquante peut d\u00e9clencher une sanction. C’est pourquoi la structure des articles 12 \u00e0 14 doit \u00eatre respect\u00e9e. De plus, la nouvelle section IA devient incontournable en 2026. Faire v\u00e9rifier son document par un professionnel reste, ainsi, la meilleure protection. \u00c0 d\u00e9faut, un contr\u00f4le en ligne peut r\u00e9v\u00e9ler la faille au pire moment.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Qu’est-ce qu’une politique de confidentialit\u00e9 conforme au RGPD ?<\/h3>\n\n\n\n

    C’est le document qui informe les personnes sur le traitement de leurs donn\u00e9es. Le RGPD l’impose par ses articles 12 \u00e0 14. Il doit \u00eatre concis, transparent et r\u00e9dig\u00e9 en langage clair. Il liste notamment les finalit\u00e9s, les bases l\u00e9gales, les destinataires et les droits. Une politique conforme suit une structure pr\u00e9cise, sans mention manquante.<\/p>\n\n\n\n

    Quelles mentions sont obligatoires selon l’article 13 du RGPD ?<\/h3>\n\n\n\n

    L’article 13 vise les donn\u00e9es collect\u00e9es directement aupr\u00e8s de la personne. Il impose d’indiquer l’identit\u00e9 du responsable et, le cas \u00e9ch\u00e9ant, du DPO. Il faut aussi pr\u00e9ciser les finalit\u00e9s, la base l\u00e9gale et les destinataires. S’y ajoutent les dur\u00e9es de conservation, les droits et le droit de r\u00e9clamation aupr\u00e8s de la CNIL. L’existence d’une d\u00e9cision automatis\u00e9e doit \u00e9galement \u00eatre signal\u00e9e.<\/p>\n\n\n\n

    Quelle diff\u00e9rence entre l’article 13 et l’article 14 du RGPD ?<\/h3>\n\n\n\n

    L’article 13 s’applique aux donn\u00e9es collect\u00e9es directement aupr\u00e8s de la personne. L’article 14 vise, lui, les donn\u00e9es obtenues indirectement, par exemple aupr\u00e8s d’un tiers. Dans ce dernier cas, il faut en plus indiquer la source des donn\u00e9es. L’information doit \u00eatre d\u00e9livr\u00e9e dans un d\u00e9lai raisonnable, au plus tard sous un mois. Des exceptions limit\u00e9es existent en cas d’effort disproportionn\u00e9.<\/p>\n\n\n\n

    Quelles sont les erreurs les plus sanctionn\u00e9es ?<\/h3>\n\n\n\n

    Plusieurs manquements reviennent souvent dans les d\u00e9cisions de la CNIL. L’absence de dur\u00e9es de conservation est fr\u00e9quente. L’oubli de la base l\u00e9gale ou son caract\u00e8re erron\u00e9 l’est aussi. S’y ajoutent une information insuffisante sur les droits et un langage trop juridique. Enfin, une politique introuvable ou noy\u00e9e dans le site est \u00e9galement sanctionn\u00e9e.<\/p>\n\n\n\n

    Faut-il une section IA dans sa politique de confidentialit\u00e9 ?<\/h3>\n\n\n\n

    Oui, d\u00e8s que la plateforme utilise un mod\u00e8le d’intelligence artificielle. Le RGPD impose d\u00e9j\u00e0 d’informer sur les d\u00e9cisions automatis\u00e9es et leur logique. L’article 50 de l’AI Act ajoute une transparence sur les contenus g\u00e9n\u00e9r\u00e9s et les interactions avec une IA. La politique doit donc d\u00e9crire ces usages et les sous-traitants IA concern\u00e9s. Cette section devient un standard en 2026.<\/p>\n\n\n\n


    Contact :     david@atiasavocats.com<\/a> | LinkedIn: David Joseph Atias<\/em><\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 RGPD, politique de confidentialit\u00e9, transparence & AI Act<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par\u00a0David Joseph Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Septembre 2026 La politique de confidentialit\u00e9 est le document le plus visible de votre conformit\u00e9. Or, c’est aussi l’un des plus…<\/p>","protected":false},"author":1,"featured_media":23361,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-23360","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23360","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23360"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23360\/revisions"}],"predecessor-version":[{"id":23362,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23360\/revisions\/23362"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23361"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23360"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23360"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23360"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}