En 2025, la CNIL a prononcé 486,8 millions d'euros d'amendes, soit près de neuf fois le montant de l'année précédente — et pourtant, 88 % des sites web de TPE-PME contrôlés présentent des non-conformités au RGPD. Rédiger une politique de confidentialité RGPD conforme n'est plus une option : c'est une urgence pour toute entreprise qui collecte ne serait-ce qu'une adresse e-mail via un formulaire de contact. Beaucoup de dirigeants confondent encore ce document avec les mentions légales ou les CGV, commettent des erreurs de fond, ou se contentent de copier un modèle générique trouvé en ligne. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en conformité RGPD, vous guide ici étape par étape pour construire un document solide, conforme aux exigences de 2026.
Ce qu'il faut retenir :
La politique de confidentialité est un document légal qui explique comment votre entreprise collecte, utilise, stocke, partage et protège les données personnelles de ses visiteurs, clients ou utilisateurs. On l'appelle aussi « charte de confidentialité » ou « notice d'information ». Elle répond aux obligations de transparence prévues par les articles 12 à 14 du RGPD. Elle permet d'informer, de manière claire et compréhensible, toute personne dont les données personnelles sont traitées.
Son champ d'application ne connaît aucun seuil. Micro-entreprise, PME, grande société : dès lors que vous collectez des données personnelles — même une simple adresse e-mail — vous devez publier ce document. En 2026, le cadre légal se renforce avec la convergence de plusieurs textes : le RGPD (articles 12, 13, 14), la loi Informatique et Libertés modifiée par l'ordonnance 2018-1125 et la directive ePrivacy (article 82).
Un point fondamental à retenir : politique de confidentialité, mentions légales et CGV/CGU sont trois documents distincts. Les regrouper sur une même page est déconseillé et constitue un signal négatif en cas de contrôle CNIL. Chacun répond à un texte différent : le RGPD, la LCEN (loi pour la confiance dans l'économie numérique) et le Code de la consommation.
L'urgence est d'autant plus marquée qu'en 2026, les articles 12 à 14 du RGPD — c'est-à-dire les obligations de transparence — constituent la priorité d'action coordonnée de l'EDPB (Comité européen de la protection des données). Concrètement, cela signifie que toutes les autorités nationales de protection des données en Europe, dont la CNIL en France, mènent des contrôles coordonnés sur ce point précis. Des milliers de plaintes déposées chaque année auprès de la CNIL concernent directement le manque de transparence et les difficultés des individus à exercer leurs droits. Cette priorité EDPB 2026 se traduit par un risque de contrôle accru pour toute entreprise n'ayant pas de politique de confidentialité conforme ou ne permettant pas l'exercice effectif des droits des personnes concernées.
Avant de rédiger votre politique de confidentialité RGPD, vous devez connaître les informations que le règlement impose d'y faire figurer. Les articles 13 et 14 du RGPD listent neuf mentions incontournables :
L'omission d'une seule de ces mentions expose votre entreprise à des sanctions. La CNIL a rappelé dans l'affaire Doctissimo que l'absence de base légale précise et de durées de conservation détaillées constituait un manquement direct aux articles 13 et 14 du RGPD. L'ampleur des sanctions ne se limite pas aux PME : Amazon Europe Core a fait l'objet en 2021 d'une amende de 746 millions d'euros prononcée par la CNPD luxembourgeoise pour des violations du RGPD liées à ses pratiques de publicité comportementale et au traitement des données personnelles à des fins publicitaires, notamment en raison de l'absence de base juridique valable pour certains traitements.
Conseil : Ne sous-estimez pas l'obligation de signer un DPA avec chacun de vos sous-traitants. Même un simple outil d'emailing comme Mailchimp ou Brevo nécessite un DPA conforme à l'article 28 du RGPD. Faites l'inventaire de vos prestataires traitant des données personnelles et vérifiez que chaque DPA est signé, à jour, et qu'il précise la nature, la finalité et la durée du traitement. La CNIL propose un modèle de DPA téléchargeable sur cnil.fr pour vous aider à démarrer.
La première étape pour rédiger votre politique de confidentialité RGPD consiste à dresser un inventaire exhaustif de vos traitements. Listez précisément quelles données vous collectez (nom, e-mail, adresse IP, cookies, coordonnées bancaires), à quelles fins (formulaire de contact, newsletter, Google Analytics, vente en ligne), par quels outils tiers (hébergeur, CRM, prestataire SaaS), pendant combien de temps et par qui elles sont accessibles — sous-traitants, agence marketing, cabinet comptable. Si vous souhaitez sécuriser l'ensemble de vos relations contractuelles numériques, un accompagnement juridique adapté permet de structurer cette démarche dès le départ.
Sans cette cartographie préalable, votre document ne reflétera pas vos traitements réels et sera non conforme dès sa publication. Par exemple, si vous utilisez Google Analytics pour mesurer l'audience de votre site mais que vous ne le mentionnez pas, la CNIL pourra constater un décalage entre vos pratiques et vos déclarations. Profitez de cette étape pour vérifier si la désignation d'un DPO est obligatoire pour votre structure, notamment si vous traitez des données à grande échelle ou des données sensibles (article 37 RGPD).
Exemple : Marjorie Vellard, dirigeante d'une boutique en ligne de cosmétiques naturels basée à Annecy, pensait que sa politique de confidentialité était conforme parce qu'elle mentionnait les données recueillies via son formulaire de commande. Lors d'un audit, il est apparu qu'elle utilisait également un outil de retargeting publicitaire (Meta Pixel), un CRM (HubSpot) et un prestataire de livraison (Colissimo) — aucun de ces sous-traitants n'était déclaré dans sa politique, et aucun DPA n'avait été signé. La cartographie préalable a permis d'identifier sept traitements de données non documentés, et de les intégrer dans la politique avant qu'un contrôle ne révèle ces manquements.
L'article 6 du RGPD impose de justifier chaque traitement par une base légale spécifique. Voici un exemple concret : l'envoi d'une newsletter repose sur le consentement (case à cocher active, jamais pré-cochée) ; la gestion d'une commande relève de l'exécution d'un contrat ; la conservation de factures découle d'une obligation légale comptable.
Indiquer uniquement « conformément au RGPD » sans détailler la base légale traitement par traitement constitue un manquement sanctionnable. Prenez le temps de documenter chaque finalité avec sa base légale propre : c'est un élément que les contrôleurs vérifient systématiquement.
À noter : Une durée de conservation générique du type « nous conservons vos données le temps nécessaire à nos relations contractuelles » est insuffisante et sanctionnable. Après la fin d'un contrat, vous devez distinguer trois catégories de données : celles que vous conservez pour satisfaire une obligation légale identifiable (par exemple, les factures pendant 10 ans au titre de l'obligation comptable), celles que vous archivez avec un accès restreint, et celles que vous supprimez sans délai. La sanction Free Mobile de janvier 2026 a spécifiquement visé l'absence de mécanisme de tri et de purge automatique des données d'anciens abonnés — un manquement à l'article 5(1)(e) du RGPD.
L'article 12 du RGPD exige un langage compréhensible, concis et sans jargon juridique. Pour y parvenir, structurez votre information en deux niveaux. Le premier niveau consiste en une mention courte, visible au point de collecte — sous chaque formulaire, dans la bannière cookies — indiquant au minimum la finalité du traitement, la base légale et un lien vers la politique complète. Le second niveau est la politique de confidentialité intégrale, accessible en un clic depuis toutes les pages du site, via un lien permanent en pied de page (footer), distinct du lien des mentions légales.
L'article 12(1) du RGPD impose que l'information soit « compréhensible » par le public auquel elle s'adresse. Cette exigence a des conséquences directes sur la langue de rédaction : si un site cible activement des utilisateurs francophones, la politique doit être rédigée en français. Pour un site ciblant plusieurs nationalités — par exemple un site e-commerce franco-belge proposant des versions en français et en néerlandais — chaque version linguistique doit être disponible dans la langue du public concerné. Cette obligation est déclenchée par le ciblage actif d'un public dans une langue donnée, et non par le simple fait de recevoir du trafic incidentel depuis un pays étranger. L'usage de jargon juridique technique sans explication reste incompatible avec cette exigence de clarté, quelle que soit la langue utilisée.
Si votre entreprise utilise un chatbot, un système de recommandation ou un autre outil d'intelligence artificielle traitant des données personnelles, cette utilisation doit être prise en compte dans votre analyse de conformité au RGPD. La politique de confidentialité devra décrire le traitement de données réalisé (finalités, base juridique, destinataires, transferts éventuels, etc.), tandis que l'AI Act peut imposer, dans certains cas, d'informer les utilisateurs qu'ils interagissent avec un système d'intelligence artificielle (article 50). Un chatbot qui ne s'identifie pas comme une machine constitue une infraction passible d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
En France, le contrôle de l'AI Act est réparti entre trois autorités aux périmètres distincts : la CNIL (données personnelles et biométrie), la DGCCRF (pratiques commerciales trompeuses liées à l'IA) et l'Arcom (contenus générés par IA). La CNIL a annoncé qu'elle intensifierait ses contrôles sur les systèmes RH utilisant l'IA — tri automatisé de CV, évaluation des candidats.
À noter : Si votre entreprise utilise un outil d'IA pour trier des candidatures, scorer des prospects ou recommander des produits, vous devez non seulement le mentionner dans votre politique de confidentialité, mais aussi vérifier la conformité de cet outil au regard de l'AI Act. Trois autorités françaises sont compétentes pour contrôler ces obligations (CNIL, DGCCRF, Arcom). L'anticipation est d'autant plus nécessaire que les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
Première erreur : copier-coller la politique d'un concurrent ou utiliser un modèle générique sans l'adapter. Si votre site vitrine ne propose pas de e-commerce mais que votre politique mentionne des données bancaires, ou si vous utilisez Google Analytics sans le déclarer, la CNIL constatera immédiatement le décalage entre traitements déclarés et traitements réels.
Deuxième erreur : citer des articles de loi obsolètes, notamment les anciens numéros de la loi Informatique et Libertés d'avant l'ordonnance 2018-1125. Ce détail peut sembler anodin, mais il signale un document non maintenu et constitue un point d'attention lors d'un contrôle.
Troisième erreur : confondre politique de confidentialité et politique cookies. Les cookies relèvent de l'article 82 de la loi Informatique et Libertés (directive ePrivacy), un régime juridique distinct du RGPD. Créez impérativement une page dédiée pour chaque document. Un bandeau cookies correctement configuré ne vous dispense pas d'une politique cookies accessible et complète.
En 2026, trois règles fondamentales s'appliquent aux cookies en vertu de l'article 82 de la loi Informatique et Libertés (et non du RGPD) :
Pour recueillir le consentement des utilisateurs pour les cookies sur un site web, il faut informer clairement les visiteurs, obtenir une action positive et laisser le choix d'accepter ou de refuser.
Précision importante : certains traceurs sont exemptés du consentement préalable. Il s'agit exclusivement des cookies strictement nécessaires au service expressément demandé par l'utilisateur : conservation du contenu d'un panier d'achat, préférences de langue, authentification à un compte en ligne. En revanche, les cookies de mesure d'audience (Google Analytics, Matomo non paramétré en mode exempté), de retargeting publicitaire et de partage sur les réseaux sociaux restent soumis au recueil du consentement préalable.
Exemple : Thibault Marescot, gérant d'une agence immobilière en ligne à Bordeaux, avait configuré son bandeau cookies avec un bouton « Accepter » en vert vif au centre de l'écran, tandis que l'option « Paramétrer mes choix » — seul moyen de refuser — apparaissait en gris clair, en petits caractères, dans le coin inférieur droit. Suite à une plainte d'un utilisateur auprès de la CNIL, l'agence a dû reprogrammer entièrement son bandeau en urgence, mettre le bouton « Refuser » au même niveau visuel que le bouton « Accepter ». Les frais de mise en conformité technique et juridique se sont élevés à plus de 4 500 euros — une dépense qui aurait été évitée avec une configuration conforme dès le départ.
La conformité RGPD est un processus continu. Votre politique doit être mise à jour à chaque changement significatif : ajout d'un nouvel outil tiers (CRM, chatbot IA), changement d'hébergeur, nouveau sous-traitant ou modification des durées de conservation. Planifiez au minimum une révision annuelle complète — audit du registre des traitements, revue des contrats sous-traitants (DPA), actualisation de la politique.
Datez systématiquement le document. Une politique non datée ou comportant des références légales périmées est un signal négatif majeur. La sanction de Free Mobile en janvier 2026 (42 millions d'euros au total) a notamment mis en lumière l'importance de maintenir à jour ses pratiques de conservation : l'opérateur n'avait pas mis en place de mécanisme de purge des données d'anciens abonnés.
Un événement particulier déclenche une obligation de mise à jour immédiate : la violation de données personnelles. L'article 33 du RGPD impose de notifier la CNIL dans les 72 heures suivant la prise de connaissance d'une violation de données — c'est-à-dire toute destruction, perte, divulgation non autorisée ou accès non autorisé à des données personnelles, au sens de l'article 4(12) du RGPD. Ce délai de 72 heures court à partir du moment où l'entreprise « prend connaissance » de la violation, et non à partir du moment où celle-ci survient. En cas de violation susceptible d'engendrer un risque élevé pour les personnes concernées, l'article 34 du RGPD impose également de les informer. La politique de confidentialité devra être mise à jour si les informations qu'elle contient deviennent inexactes ou si les traitements décrits évoluent. La sanction Free Mobile de janvier 2026 rappelle l'importance de ces obligations : la CNIL a notamment sanctionné des manquements liés à la sécurité des données, à la conservation excessive de certaines données et à l'information des personnes concernées après une violation.
Conseil : Mettez en place une procédure interne écrite de gestion des violations de données, distincte de votre politique de confidentialité. Cette procédure doit désigner un responsable de la notification, décrire le circuit d'alerte interne, et prévoir un modèle de notification pré-rempli à destination de la CNIL. Le délai de 72 heures est très court : sans procédure préétablie, le risque de dépasser ce délai — et d'aggraver la sanction — est élevé.
Trois situations exigent notamment un accompagnement juridique professionnel. Premièrement, lorsque vous traitez des données sensibles (santé, biométrie, e-santé, etc) : une Analyse d'Impact relative à la Protection des Données (AIPD, article 35 RGPD) peut être obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. La politique de confidentialité seule ne suffit alors pas : l'entreprise doit également évaluer les risques, définir les mesures de protection appropriées et documenter sa conformité. Deuxièmement, lorsque vous déployez des systèmes d'IA prenant des décisions automatisées ayant des effets juridiques sur des personnes (article 22 RGPD combiné à l'AI Act) : votre responsabilité personnelle de dirigeant est engagée. Troisièmement, lorsque vous effectuez des transferts de données hors Union européenne, avec les garanties contractuelles spécifiques que cela requiert.
Les sanctions encourues justifient cette prudence : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial au titre du RGPD, et jusqu'à 300 000 euros d'amende et 5 ans d'emprisonnement au pénal. Mais au-delà du risque, une politique de confidentialité bien rédigée constitue un véritable avantage concurrentiel : elle informe, rassure vos clients et partenaires, et démontre le sérieux de votre démarche.
CONNECT AVOCATS accompagne les entreprises sur toute la France dans leurs problématiques de conformité RGPD, de droit du numérique et de protection des données. Le cabinet intervient tant en conseil qu'en contentieux, depuis la cartographie de vos traitements jusqu'à la rédaction de votre politique de confidentialité, en passant par l'audit de vos contrats sous-traitants et la gestion des enjeux liés à l'intelligence artificielle. Pour sécuriser votre conformité face aux exigences cumulées du RGPD, de l'AI Act et de NIS2, n'hésitez pas à solliciter un accompagnement adapté à votre situation.