Vérifier et tenir à jour la politique de confidentialité de votre site

Quiconque exploite un site web traite automatiquement des données à caractère personnel des visiteurs, et est tenu d'en informer de manière transparente. C'est précisément ce que régit la politique de confidentialité (en allemand : Datenschutzerklärung), qui ne doit manquer sur aucun site web allemand.

En bref : la politique de confidentialité est une information prescrite par la loi au titre des art. 13/14 du RGPD, qui explique quelles données à caractère personnel un site web collecte, à quelle fin et sur quelle base juridique. Tout exploitant de site web est concerné, de l'entrepreneur individuel au grand groupe. En son absence, ou si elle est obsolète, des amendes et des mises en demeure d'agir (Abmahnungen, avertissements concurrentiels) sont encourues.

Qui est concerné par l'obligation de disposer d'une politique de confidentialité ?

Toute personne et toute entreprise qui exploite un site web et y traite des données à caractère personnel doit mettre à disposition une politique de confidentialité. Cela concerne pratiquement tous les sites web, car la simple consultation d'une page, un formulaire de contact, un formulaire d'inscription à une lettre d'information ou des outils de suivi intégrés traitent déjà des données à caractère personnel telles que des adresses IP ou des adresses e-mail. La forme juridique et la taille de l'entreprise ne jouent aucun rôle : l'obligation s'applique aux entrepreneurs individuels et aux professions libérales comme aux petites structures et aux grandes sociétés de capitaux. Même les sites purement informatifs, sans boutique en ligne ni espace de connexion, ne sont pas exclus. Même si un site n'a que peu de visiteurs ou semble purement privé, cela ne change rien à l'obligation juridique : seul compte le fait que des données à caractère personnel soient traitées, et non la taille du public.

Que doit contenir la politique de confidentialité ?

Pour chaque traitement de données sur le site, vous devez indiquer la finalité, la base juridique, les destinataires possibles des données ainsi que la durée de conservation. Cela vaut pour chaque traitement séparément : une mention générale selon laquelle des données sont traitées « dans le cadre des dispositions légales » ne suffit pas. En complément, les droits des personnes concernées doivent figurer dans la politique : le droit d'accès, de rectification, d'effacement et d'opposition au traitement. S'y ajoutent les coordonnées du responsable du traitement et, le cas échéant, du délégué à la protection des données, afin que les personnes concernées puissent réellement faire valoir leurs droits. L'exhaustivité au niveau de chaque service est ici importante : un formulaire de contact, un outil de lettre d'information et un hébergeur sont chacun des traitements autonomes, avec leur propre finalité et leur propre base juridique, et doivent être présentés séparément en conséquence.

Que devez-vous faire concrètement ?

Pour établir une politique de confidentialité juridiquement sûre et la tenir durablement à jour, il est préférable de procéder selon les étapes suivantes :

1. Recenser tous les traitements de données sur le site (formulaire de contact, lettre d'information, suivi, hébergement, services de paiement).
2. Indiquer pour chaque traitement la finalité, la base juridique, les destinataires et la durée de conservation.
3. Mentionner les droits des personnes concernées (accès, effacement, opposition) et les coordonnées du responsable du traitement.
4. Placer un lien facilement repérable vers la politique de confidentialité (en règle générale dans le pied de page).
5. En cas de nouveaux outils ou services, par exemple un nouveau fournisseur de lettre d'information, actualiser rapidement la politique.

Jusqu'à quand et à quelle fréquence doit-elle être mise à jour ?

Il n'existe pas de délai précis pour l'établissement initial : l'obligation d'information existe dès le jour où votre site est mis en ligne et traite des données à caractère personnel. Plus déterminante que la première échéance est la mise à jour continue : dès qu'un traitement change, par exemple par un nouvel outil de suivi, un nouveau fournisseur de lettre d'information ou un nouvel hébergeur ou prestataire de paiement, la politique doit être adaptée rapidement. Une vérification régulière, par exemple une fois par an, est en outre judicieuse pour repérer les mentions obsolètes, même si rien n'a apparemment changé. Celui qui n'ajoute les nouveaux traitements qu'avec retard risque une politique qui, au moment de l'utilisation, ne correspond plus à la réalité : c'est précisément ce que vérifient autant les autorités de contrôle que les concurrents.

Que risque-t-on en cas de manquement ?

Si la politique de confidentialité est absente, obsolète ou incomplète, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial sont encourues. En pratique, ce sont toutefois plus rarement les autorités de contrôle qui réagissent en premier : plus souvent, des concurrents ou des associations de protection des consommateurs adressent des mises en demeure (Abmahnungen), qui considèrent l'absence ou le caractère défectueux d'une politique de confidentialité comme une infraction au droit de la concurrence. Les deux risques existent indépendamment l'un de l'autre et peuvent aussi se produire simultanément lorsqu'une infraction ne devient publique que dans un second temps et est ensuite reprise par une autorité. Un outil tel que Company Audit, qui vérifie les exigences de conformité de façon individualisée pour votre entreprise, montre lesquelles de ces obligations s'appliquent concrètement à vous.

Questions fréquentes

Un générateur suffit-il pour la politique de confidentialité ?

Les générateurs ne fournissent qu'une ossature. Vous devez renseigner correctement vous-même les traitements concrets de votre site, faute de quoi la politique reste incomplète ou erronée. Un modèle généré ne remplace donc pas votre propre inventaire de tous les outils et services effectivement utilisés.

Dois-je avoir une politique de confidentialité même si je n'utilise aucun formulaire de contact ?

Oui. La simple consultation d'une page traite en règle générale déjà des données à caractère personnel comme l'adresse IP, via l'hébergeur, de sorte que l'obligation d'information s'applique indépendamment d'un formulaire de contact. Même les pages purement textuelles ou de portfolio, sans possibilité d'interaction, ne sont pas exclues.

Où la politique de confidentialité doit-elle être liée ?

Un lien bien visible dans le pied de page, accessible depuis chaque sous-page du site, est usuel et recommandé. Ainsi, les visiteurs trouvent la politique quelle que soit la page par laquelle ils arrivent, sans avoir à la chercher activement.

Qu'est-il préférable : tout énumérer ou seulement les services réellement utilisés ?

En cas d'incertitude, il est plus judicieux de formuler de manière concise et conforme à la réalité, plutôt que d'énumérer de façon générale tous les traitements imaginables qui n'ont pas lieu sur le site. Une énumération trop large, faite par précaution, peut être aussi trompeuse qu'une énumération incomplète.

Qui est responsable de la mise à jour de la politique de confidentialité ?

L'exploitant du site lui-même. Il doit actualiser de son propre chef la politique à chaque nouveau traitement, par exemple un outil ou un prestataire supplémentaire : une obligation qui ne peut pas être déléguée à des agences ou à des hébergeurs.

Source : art. 13/14 du RGPD. Cet article est une information générale et ne remplace pas un conseil juridique pour un cas particulier. Date : juillet 2026.