Politique de confidentialité RGPD pour votre site : ce qu'elle doit contenir en 2026 (le bon modèle)
Un guide concret des sections obligatoires d'une politique de confidentialité conforme au RGPD pour le site d'une petite entreprise — sans modèles génériques erronés.
Presque tous les sites de petites entreprises collectent des données personnelles : un formulaire de contact, une inscription à la newsletter, des commandes en ligne, ou simplement Google Analytics. Dès cet instant, il vous faut une vraie politique de confidentialité — pas un texte copié d'un autre site, avec le nom d'une autre société encore oublié dans le troisième paragraphe.
Le problème, c'est que la plupart des modèles gratuits sont soit génériques et vides de tout contenu utile, soit des traductions de modèles américains qui ne respectent pas le RGPD. Et une page erronée est parfois plus risquée qu'une page absente, car elle donne une fausse assurance. Voici, section par section, ce qu'une politique correcte doit contenir en 2026 et comment l'adapter à votre entreprise, et non l'inverse.
Qui vous êtes — le responsable du traitement
La première section identifie sans ambiguïté l'entreprise qui décide de ce qu'il advient des données — le responsable du traitement, au sens du RGPD. Un simple nom de marque ne suffit pas.
Elle doit indiquer :
- la dénomination légale complète et la forme juridique de l'entité
- les numéros d'identification (CUI/CIF et, le cas échéant, le numéro au registre du commerce)
- le siège social ou une adresse de correspondance
- un email réel et surveillé pour les demandes relatives aux données
Si vous avez désigné un délégué à la protection des données (DPO), indiquez ses coordonnées ici. La plupart des petites entreprises n'ont pas l'obligation d'en avoir un, alors n'en inventez pas juste pour faire sérieux. L'essentiel est que le visiteur sache à qui il s'adresse et qui est responsable de ses données.
Quelles données vous collectez et d'où elles viennent
C'est ici que l'on va trop vite et que l'on reste vague. Le RGPD exige de la transparence, alors soyez concret et rattachez tout à ce que fait réellement votre site.
Énumérez les catégories réelles :
- données de formulaire (nom, email, téléphone, le message écrit par le visiteur)
- données de commande et de facturation, si vous vendez
- données techniques collectées automatiquement (IP, type de navigateur, pages visitées) via l'analytique
- cookies et technologies similaires
Précisez aussi la source : directement du visiteur (formulaire) ou automatiquement (navigation). La règle d'or : si un champ ou un outil n'est pas listé ici, il ne devrait pas figurer sur le site. Beaucoup de politiques listent des données que l'entreprise ne collecte même pas — signe évident d'un texte copié. Faites l'inverse : partez de ce que votre site exploite vraiment et ne décrivez que cela.
Pourquoi vous les collectez (finalité) et sur quelle base légale
C'est la section que les modèles ratent le plus souvent, alors qu'elle est le cœur du RGPD. Chaque traitement a une finalité et une base légale. Sans base, le traitement est illicite, aussi joli que soit le reste de la page.
Rattachez chaque finalité à une base :
- répondre à un message de formulaire — intérêt légitime ou mesures précontractuelles
- envoyer une newsletter — le consentement, que vous devez pouvoir prouver
- émettre des factures et tenir la comptabilité — l'obligation légale
- exécuter une commande — le contrat
Ne collez pas « consentement » partout par réflexe. Si vous émettez une facture, la base est l'obligation légale, pas l'accord du client — et un client ne peut pas retirer un consentement qui n'a jamais vraiment existé. Bien traiter ce point évite la plupart des vrais problèmes.
Combien de temps vous conservez les données et à qui vous les transmettez
Deux informations que le visiteur a le droit de connaître : combien de temps vous gardez ses données et qui d'autre y touche en dehors de vous.
Pour la durée, n'écrivez pas seulement « le temps nécessaire ». Donnez des repères concrets : les messages de formulaire peuvent être conservés une durée raisonnable après le traitement de la demande, les données de facturation suivent les délais légaux d'archivage comptable, et la newsletter — jusqu'au désabonnement.
Pour les destinataires, listez les catégories de tiers qui traitent des données pour votre compte (sous-traitants) :
- votre hébergeur / l'infrastructure du site
- le service d'emailing
- le prestataire de paiement
- votre comptable ou cabinet comptable
Si un prestataire stocke des données hors UE, mentionnez-le ainsi que la base du transfert. Vous n'êtes pas obligé de citer des marques, mais les catégories doivent être claires et exactes.
Droits du visiteur et cookies
La politique doit indiquer clairement quels droits a la personne et comment les exercer en pratique — pas seulement les énumérer comme une décoration.
Mentionnez les droits : accès, rectification, effacement, limitation, portabilité, opposition et retrait du consentement, ainsi que le droit de saisir l'autorité de contrôle (l'ANSPDCP, l'autorité roumaine). Surtout, donnez un canal réel : un email auquel vous répondez vraiment et un délai de réponse indicatif.
Les cookies méritent leur propre section, avec les catégories utilisées (strictement nécessaires, analytique, marketing) et la manière de refuser ce qui n'est pas essentiel. Le bandeau cookies doit permettre de refuser aussi facilement que d'accepter — pas seulement un gros bouton « Tout accepter ».
Si vous n'êtes pas sûr que votre page couvre vraiment tout cela, écrivez-nous sur WhatsApp à MPO Web Studio. Nous créons des sites pour petites entreprises partout dans le pays, à distance, et nous livrons une démo prête avant tout paiement — avec la structure de confidentialité posée correctement dès le départ.
Questions fréquentes
Puis-je utiliser un modèle gratuit de politique de confidentialité ?+
Oui, comme point de départ, mais jamais tel quel. Presque tout modèle doit être adapté à ce que votre site collecte réellement, aux vraies bases légales et à vos prestataires. Un modèle laissé inchangé liste souvent des données que vous n'avez pas et des bases erronées — plus risqué qu'utile. Partez de ce que fait votre site et retirez tout ce qui ne s'applique pas.
Ai-je besoin d'une politique si je n'ai qu'un formulaire de contact ?+
Oui. Dès que vous recueillez un nom, un email ou un téléphone, vous traitez des données personnelles et vous relevez du RGPD. Même un seul formulaire déclenche l'obligation d'information. Peu importe que l'entreprise soit petite ou que vous ne vendiez pas en ligne — c'est la collecte elle-même qui compte.
Le bandeau cookies et un DPO sont-ils obligatoires ?+
Un bandeau est nécessaire si vous utilisez des cookies non essentiels (analytique, marketing), et il doit permettre de refuser aussi facilement que d'accepter. Le DPO, en revanche, n'est pas obligatoire pour la plupart des petites entreprises — il s'impose surtout pour les traitements à grande échelle ou de données sensibles. Ne nommez pas un DPO juste pour la forme.
Quel risque si ma page de confidentialité est erronée ou absente ?+
Vous pouvez faire l'objet de plaintes et, dans les cas graves, de sanctions de l'autorité de contrôle, mais le risque pratique le plus fréquent est la perte de confiance : un visiteur attentif repère aussitôt un texte copié avec le nom d'une autre société. Une page erronée donne une fausse assurance, parfois plus dangereuse que de savoir qu'on n'en a pas.
Qui doit rédiger la politique — un avocat ou l'agence web ?+
Cela dépend de la complexité. Pour un site vitrine simple, une structure correcte adaptée par l'agence couvre l'essentiel des besoins. Si vous traitez des données sensibles, faites du profilage ou opérez à grande échelle, il vaut mieux consulter un spécialiste de la protection des données. Honnêtement : personne ne peut vous promettre une conformité parfaite à partir d'une seule page — la façon dont vous traitez les données en pratique compte tout autant.
7 erreurs qui font fuir vos clients de votre site
Laissez votre e-mail et recevez le guide ici, tout de suite. Sans spam.
Envie de voir à quoi ressemblerait le site de votre entreprise ?
Écrivez-nous sur WhatsApp et nous vous préparons gratuitement un site de démonstration au nom de votre entreprise. Vous le voyez d'abord, puis vous décidez — sans engagement.