Quels services doivent figurer dans la politique de confidentialité ?

Chaque service tiers intégré qui traite des données personnelles — analyse, publicité, polices, cartes, chat, CDN, hébergement — doit apparaître dans la politique de confidentialité.

La politique de confidentialité et le bandeau de consentement répondent à deux questions différentes. Le bandeau détermine si un service a le droit de se charger (consentement selon l’art. 25 TDDDG). La politique de confidentialité remplit l’obligation d’information selon l’art. 13 RGPD — elle doit aussi nommer les services qui fonctionnent sur une autre base que le consentement : hébergement, CDN, un filtre anti-spam côté serveur, la livraison des polices. Un service qui n’a pas besoin de bandeau peut malgré tout devoir figurer dans la politique de confidentialité.

Les indications pour chaque service suivent une grille fixe : nom et adresse du fournisseur, finalité du traitement, base légale (consentement, contrat, intérêt légitime), catégories de données traitées, durée de conservation, si et vers où des données sont transférées dans un pays tiers et sur quelle base, ainsi que les droits des personnes concernées, y compris le retrait. Si l’un de ces points manque, la déclaration est incomplète sur ce point — et il s’agit d’une violation autonome passible d’amende, indépendamment du fait que l’intégration elle-même était licite.

L’erreur la plus fréquente est la liste obsolète. Des services s’ajoutent via des extensions, le Tag Manager ou une mise à jour de thème sans que la politique de confidentialité soit mise à jour. À l’inverse, on y trouve souvent encore des outils supprimés depuis longtemps. Un contrôle pragmatique : charger la page dans une fenêtre privée, noter tous les hôtes tiers dans l’onglet réseau et les comparer à la politique de confidentialité — au moins après chaque modification majeure du site.

Est-ce un risque ?

L'art. 13 RGPD exige des indications sur la finalité, la base légale, les destinataires, la durée de conservation et le transfert vers un pays tiers. Une politique de confidentialité incomplète est une infraction distincte — indépendamment du fait que l'intégration elle-même soit licite.

Ce que vous pouvez faire

• Établir une liste complète de tous les services intégrés (y compris ceux qui viennent via une extension ou un tag manager).
• Pour chaque service : ajouter fournisseur, finalité, base légale, durée de conservation, pays destinataire.
• Mettre à jour la politique de confidentialité à chaque modification du site.
• Rapprocher régulièrement les services réellement chargés et la politique de confidentialité.

Questions fréquentes

Dois-je aussi mentionner l’hébergement et le CDN dans la politique de confidentialité ?

Oui. Les hébergeurs et les CDN traitent les adresses IP des visiteurs et sont des destinataires au sens de l’art. 13 RGPD. Ils n’ont pas besoin de bandeau de consentement, mais doivent figurer dans la politique avec leur finalité, leur base légale et, le cas échéant, le transfert vers un pays tiers.

Un générateur de politique de confidentialité suffit-il ?

Comme point de départ, oui. Les textes générés couvrent les services standard mais doivent être adaptés aux outils réellement utilisés et tenus à jour. Un générateur ne remplace ni l’inventaire ni l’examen juridique.

Que se passe-t-il en cas de politique de confidentialité incomplète ?

C’est une violation autonome du RGPD au titre de l’art. 13 que les autorités de contrôle peuvent sanctionner d’une amende — même si le traitement lui-même est licite. En pratique, des avertissements et des mises en demeure interviennent d’abord.

À quelle fréquence dois-je vérifier la politique de confidentialité ?

Après chaque changement qui ajoute ou supprime des services, et en plus à intervalle fixe (par ex. tous les six mois). Une comparaison rapide des hôtes tiers chargés dans l’onglet réseau avec la déclaration suffit pour le contrôle de routine.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.