Politique de confidentialité : ce que la CNIL écrit de l'information des personnes, de son contenu, de sa forme et de sa place sur un site internet
De l'information des personnes, la page « Conformité RGPD : comment informer les personnes et assurer la transparence ? » de la CNIL (mise à jour le 26 juillet 2019, lue le 20 octobre 2026) écrit : « Le RGPD impose une information complète et précise. Les modalités de fourniture et de présentation de cette information doivent être adaptées au contexte. » Cette page cite ce que cette fiche de la CNIL écrit de la politique de confidentialité d'un site internet, du moment de l'information, des informations à donner et de leur forme.
Politique de confidentialité d'un site internet : ce que la CNIL écrit
Sous l'intertitre « Comment faire en pratique ? », la page « Conformité RGPD : comment informer les personnes et assurer la transparence ? » de la CNIL écrit : « Si vous utilisez différentes modalités d’information ou si vous fournissez de l’information relative à plusieurs traitements, pensez en complément à centraliser ces informations dans un document unique ou un espace dédié de votre site internet, pour que les personnes puissent prendre facilement connaissance de l’ensemble de l’information. Si vous optez pour un document unique, assurez-vous qu’il est lisible et compréhensible. »
Elle poursuit : « Par exemple, sur un site internet, vous pouvez utiliser un lien renvoyant directement vers la politique de protection des données, clairement visible sur chaque page du site, intitulé de manière claire (« Données personnelles » ou « Confidentialité » par exemple). »
Puis : « Cette politique de confidentialité doit être distincte des conditions générales de vente (CGV) ou des conditions générales d’utilisation (CGU) du site internet. »
Quand informer les personnes
Sous l'intertitre « Dans quels cas dois-je informer ? », la page « Conformité RGPD : comment informer les personnes et assurer la transparence ? » de la CNIL écrit : « Vous devez informer les personnes concernées : »
Le premier cas : « en cas de collecte directe des données : lorsque les données sont recueillies directement auprès des personnes (exemples : formulaire, achat en ligne, souscription d’un contrat, ouverture d’un compte bancaire) ou lorsqu’elles sont recueillies via des dispositifs ou des technologies d’observation de l’activité des personnes (exemples : vidéosurveillance , analyse de la navigation sur Internet, géolocalisation et wifi analytics/tracking pour la mesure d’audience, etc.) ; »
Le second : « en cas de collecte indirecte des données personnelles : lorsque les données ne sont pas recueillies directement auprès des personnes (exemples : données récupérées auprès de partenaires commerciaux, de data brokers, de sources accessibles au public ou d’autres personnes). »
Sous l'intertitre « À quels moments dois-je informer ? », au titre « Dans le cadre de la collecte » : « en cas de collecte directe : au moment du recueil des données ; »
Puis : « en cas de collecte indirecte : dès que possible (notamment lors du 1er contact avec la personne concernée) et, au plus tard, dans le délai d’un mois (sauf exceptions). »
Ce qu'elle écrit ensuite de la modification substantielle et de l'information régulière n'est pas repris ici.
Les informations à donner dans tous les cas
Sous l'intertitre « Quelles informations dois-je donner ? », la page « Conformité RGPD : comment informer les personnes et assurer la transparence ? » de la CNIL énumère, « Dans tous les cas », neuf informations. La première : « Identité et coordonnées de l’organisme (responsable du traitement de données) ; »
La deuxième : « Finalités (à quoi vont servir les données collectées) ; »
La troisième : « Base légale du traitement de données (c’est-à-dire ce qui donne le droit à un organisme de traiter les données) : il peut s’agir du consentement des personnes concernées, du respect d’une obligation prévue par un texte, de l’exécution d’un contrat, etc.) ; »
La quatrième : « Caractère obligatoire ou facultatif du recueil des données (ce qui suppose une réflexion en amont sur l’utilité de collecter ces données au vu de l’objectif poursuivi – principe de « minimisation » des données) et conséquences pour la personne en cas de non-fourniture des données ; »
La cinquième : « Destinataires ou catégories de destinataires des données (qui a besoin d’y accéder ou de les recevoir au vu des finalités définies, y compris les sous-traitants) ; »
La sixième : « Durée de conservation des données (ou critères permettant de la déterminer) ; »
La septième : « Droits des personnes concernées (les droits d’accès, de rectification, d’effacement et à la limitation sont applicables pour tous les traitements) »
La huitième : « Coordonnées du délégué à la protection des données de l’organisme, s’il a été désigné, ou d’un point de contact sur les questions de protection des données personnelles ; »
La neuvième : « Droit d’introduire une réclamation auprès de la CNIL. »
Les informations à donner selon les cas
Elle énumère ensuite, « Selon les cas », six informations. La première : « les intérêts légitimes poursuivis par le responsable du traitement (exemple : prévention de la fraude) si le traitement est fondé sur la base légale de l’intérêt légitime ; »
La deuxième : « le fait que les données sont requises par la réglementation, par un contrat ou en vue de la conclusion d’un contrat ; »
La troisième : « l’existence d’un transfert des données vers un pays hors Union européenne (ou vers une organisation internationale), les garanties associées à ce transfert et la faculté d’accéder aux documents autorisant ce transfert (exemple : les clauses contractuelles types de la Commission européenne) ; »
La quatrième : « l’existence d’une prise de décision automatisée ou d’un profilage, les informations utiles à la compréhension de l’ algorithme et de sa logique, ainsi que les conséquences pour la personne concernée ; »
La cinquième : « le droit au retrait du consentement à tout moment, si le base légale du traitement est le consentement des personnes ; »
La sixième : « les autres droits applicables au traitement, en fonction de sa base légale : droit d’opposition et droit à la portabilité. »
Les informations supplémentaires qu'elle nomme pour la collecte indirecte ne sont pas reprises ici.
La forme de l'information
Sous l'intertitre « Sous quelle forme dois-je fournir ces informations ? », la page « Conformité RGPD : comment informer les personnes et assurer la transparence ? » de la CNIL écrit : « La personne concernée par un traitement de données doit recevoir une information délivrée : »
Puis : « de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. »
De la clarté, elle écrit : « L’information doit être rédigée de la manière la plus claire, précise et simple possible. »
De la concision : « Faire court et lisible. Il ne faut pas présenter l’information dans une notice d’information composée d’un bloc de 20 pages ou faire des mentions d’information illisibles sous un formulaire de collecte (par exemple, un formulaire d’inscription sur un site internet ou un bon de commande). »
Les autres mesures qu'elle détaille, et ses exemples par support, ne sont pas repris ici.
Ce que cette page ne dit pas
Cette page ne fournit aucun modèle de politique de confidentialité et ne dit pas ce que la vôtre contient : elle cite la page de la CNIL, elle ne l'applique pas à votre situation.
La page de la CNIL citée affiche une mise à jour du 26 juillet 2019. Ce qu'elle écrit de la priorité des informations et de l'information en plusieurs niveaux n'est pas repris ici.
Le registre des traitements a sa page : Registre des traitements. Les cookies aussi : Cookies et consentement.
Pour déterminer les règles applicables à votre situation, consultez les textes officiels dans leur version en vigueur et, si nécessaire, un professionnel compétent.
Sources officielles
Concerneo a retrouvé les passages cités sur cette page entiers dans leurs sources le 20 octobre 2026.
Citer cette page
Concerneo, « Politique de confidentialité : ce que la CNIL écrit de l'information des personnes, de son contenu, de sa forme et de sa place sur un site internet », https://concerneo.fr/politique-de-confidentialite, consulté le 21 octobre 2026.