Un modèle téléchargé sur Internet suffit-il pour être conforme au RGPD ?

Il existe de nombreux modèles gratuits de politiques de confidentialité, de mentions d’information ou de CGU disponibles sur Internet. La CNIL elle-même propose des exemples, tout en précisant qu’ils doivent être adaptés à chaque situation.

Un modèle peut servir de base de travail, mais il ne connaît ni votre activité, ni votre site, ni vos outils.

Il ne peut pas savoir quelles données vous collectez, pourquoi vous les utilisez, combien de temps vous les conservez, quels prestataires y ont accès ou encore quels cookies sont déposés sur votre site.

Une clause peut donc être juridiquement correcte tout en étant totalement inadaptée à votre entreprise. C’est notamment le cas concernant les bases légales ou les durées de conservation, qui varient selon les traitements réalisés.

Une politique de confidentialité ne doit pas décrire ce qu’une entreprise pourrait faire, mais ce qu’elle fait réellement avec les données personnelles qu’elle collecte.

Même un site internet apparemment simple peut collecter des données personnelles à de nombreux endroits : formulaire de contact, demande de devis, création de compte, newsletter, prise de rendez-vous, candidature, réservation, outils statistiques ou encore cookies publicitaires.

Chaque fonctionnalité doit être analysée afin de déterminer quelles données sont collectées, dans quel objectif, sur quelle base juridique, pendant combien de temps et avec quels destinataires.

Un formulaire de contact ne répond pas aux mêmes enjeux qu’une inscription à une newsletter ou qu’une création de compte. Les mentions d’information doivent donc être adaptées à chaque situation et permettre à l’utilisateur de comprendre simplement comment ses données sont utilisées et quels sont ses droits.

Les modèles téléchargés séparément peuvent également créer des incohérences : une politique de confidentialité qui affirme qu’aucune donnée n’est transmise à des tiers alors que le site transmet les données à des prestataires à des fins de publicité ou de prospection commerciale.

Mentions légales, politique de confidentialité, CGU, formulaires et bandeau cookies doivent former un ensemble cohérent, ce qu’un simple assemblage de modèles génériques ne permet généralement pas d’obtenir.

Dans le cadre du pack RGPD d’Agnès Bardel, elle ne part pas d’un modèle générique. Elle commence par comprendre le fonctionnement réel du site et de l’entreprise.

Une réunion de travail est organisée avec le dirigeant ou la personne en charge du projet : responsable marketing, chargé de communication, référent RGPD, développeur ou agence web.

Elle analyse notamment :

• les fonctionnalités du site et les parcours utilisateurs
• les formulaires et les données collectées
• les outils, logiciels et prestataires utilisés
• les durées de conservation
• les modalités d’exercice des droits
• les cookies, traceurs et le bandeau de consentement

Cette étape permet d’identifier d’éventuelles incohérences : données collectées sans nécessité, cases précochées, informations conservées trop longtemps ou traceurs déposés avant le consentement.

L’objectif est de passer d’une simple logique documentaire à une véritable démarche de conformité.

Le contenu du pack est adapté aux fonctionnalités et à la complexité du site. Il peut comprendre :

• une réunion d’analyse du site et des traitements de données
• la rédaction des mentions d’information propres à chaque formulaire
• une politique de confidentialité personnalisée
• des conditions générales d’utilisation adaptées
• la rédaction ou l’actualisation des mentions légales
• l’analyse des cookies et du bandeau de consentement
• un échange de restitution pour présenter les corrections à mettre en œuvre

Les mentions des formulaires sont rédigées selon leur finalité réelle : contact, devis, newsletter, création de compte, réservation, candidature ou prise de rendez-vous.

La politique de confidentialité précise notamment les données collectées, leurs finalités, leurs bases juridiques, leurs destinataires, leurs durées de conservation et les droits des utilisateurs.

Les CGU encadrent l’utilisation du site, tandis que les mentions légales permettent d’identifier clairement son éditeur, son directeur de publication et son hébergeur.

Enfin, l’analyse des cookies permet de vérifier que le refus est aussi simple que l’acceptation et que les traceurs soumis au consentement ne sont pas déposés avant le choix de l’utilisateur.

Le meilleur moment pour intégrer le RGPD est souvent celui de la création ou de la refonte d’un site internet. Les fonctionnalités étant encore en cours de définition, il est plus simple d’adapter les formulaires, de limiter les données collectées ou de paramétrer correctement les cookies. Cette approche correspond au principe de protection des données dès la conception.

Le pack peut également être mis en place sur un site déjà en ligne afin d’identifier les documents obsolètes, les incohérences et les principaux écarts de conformité.

Il est toutefois important de rappeler qu’un site conforme ne rend pas automatiquement toute l’entreprise conforme au RGPD. Les traitements liés aux clients, salariés, fournisseurs ou à la prospection commerciale nécessitent souvent une démarche plus globale.