Toute entreprise qui recueille des données sur ses clients doit se doter d'une politique de confidentialité, qu'il s'agisse de propriétaires de sites web ou d'applications.
L'existence d'une politique de protection de la vie privée est une obligation légale et montre aux consommateurs que vous êtes honnête quant à vos activités de traitement des données.
Pour simplifier l'élaboration de l'une de ces politiques commerciales essentielles, j'ai établi la liste de contrôle ultime des exigences en matière de politique de protection de la vie privée, qui explique ce que doit contenir une politique de protection de la vie privée, les lois qui l'influencent, l'endroit où la publier, et bien plus encore.
- Liste de contrôle de la politique de confidentialité
- Exigences légales pour les politiques de protection de la vie privée
- Les exigences de la politique de confidentialité expliquées
- Conseils pour se conformer aux exigences de la politique de protection de la vie privée
- Sanctions en cas de non-respect des lois sur les politiques de protection de la vie privée
- Comment Termly aide votre entreprise à créer une politique de confidentialité
- Résumé
Liste de contrôle de la politique de confidentialité
Vous trouverez ci-dessous ma liste de contrôle pour la politique de confidentialité, qui contient des détails sur les clauses légalement requises, les informations qui doivent figurer dans ces clauses et les lois sur la protection de la vie privée qui les exigent.
| Clause de politique de confidentialité | À faire | Exigé par le... |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Exigences légales pour les politiques de protection de la vie privée
Dans le tableau suivant, je présente les exigences spécifiques en matière de politique de protection de la vie privée définies par les différentes lois sur la protection de la vie privée susceptibles d'avoir un impact sur votre entreprise.
| Loi sur la protection des données | Exigences en matière de politique de protection de la vie privée |
| 🇪🇺 Règlement général sur la protection des données (RGPD) |
|
| 🇬🇧 La loi sur la protection des données(UK RGPD) |
|
| 🇺🇸 Loi californienne modifiée sur les droits des consommateurs en matière de protection de la vie privée(CCPA/CPRA) |
|
| 🇺🇸 Loi californienne sur la protection de la vie privée en ligne(CalOPPA) |
|
| 🇺🇸 Loi sur la protection des données des consommateurs de Virginie(VCDPA) |
|
| 🇺🇸 Loi sur la protection des données dans le Connecticut(CTDPA) |
|
| 🇺🇸 Colorado Privacy Act(CPA) (loi sur la protection de la vie privée au Colorado) |
|
| 🇺🇸 Loi sur la protection de la vie privée des enfants en ligne(COPPA) |
|
| 🇨🇦 Loi sur la protection des renseignements personnels et les documents électroniques(LPRPDE) |
|
| 🇦🇺 Loi australienne de 1988 sur la protection de la vie privée |
|
| 🇳🇿 Loi néo-zélandaise de 2020 sur la protection de la vie privée |
|
| 🇿🇦 La loi sud-africaine sur la protection des informations personnelles(PoPIA) |
|
Les exigences de la politique de confidentialité expliquées
Ensuite, j'explique plus en détail ce qui doit figurer dans les clauses obligatoires que j'ai fournies dans la liste de contrôle de la politique de protection de la vie privée ci-dessus.
Collecte de données personnelles
Chaque loi sur la protection de la vie privée donne aux individus le droit de savoir quelles données personnelles sont collectées ou traitées à leur sujet, ce qui en fait l'une des clauses les plus importantes de votre politique de protection de la vie privée.
Pour vous conformer à ces lois, vous devez énumérer clairement toutes les catégories de données à caractère personnel que vous collectez, y compris les informations personnelles sensibles, qui font l'objet de directives plus strictes en vertu de lois telles que le RGPD, la CCPA et la VCDPA.
Bien que la définition précise des données à caractère personnel varie en fonction de la législation en vigueur, il s'agit généralement de toute information pouvant raisonnablement être reliée à une personne ou à un ménage, directement ou indirectement.
Outre les données que vous collectez, vous devez également déclarer :
- La raison pour laquelle vous collectez les données, y compris votre base juridique si vous devez vous conformer à des lois telles que le RGPD.
- Comment vous recueillez les données personnelles - par exemple, vous pouvez recueillir les informations volontairement auprès de l'utilisateur, par le biais de formulaires web, en plaçant des cookies sur les navigateurs des utilisateurs, ou lorsqu'ils s'inscrivent à des comptes ou effectuent des achats, etc.
- L'utilisation que vous faites des données, par exemple à des fins de marketing ou de recherche, pour améliorer l'expérience de l'utilisateur sur votre site web ou pour fournir aux consommateurs des publicités ciblées et des recommandations de produits plus spécifiques.
De nombreuses entreprises présentent ces informations dans des tableaux ou des listes à puces dans leur politique de confidentialité, avec des titres représentant chaque exigence légale spécifique, comme le service de streaming musical Spotify, que vous pouvez voir dans la capture d'écran ci-dessous.
Vente ou partage de données à caractère personnel
Si vous partagez ou vendez les données personnelles que vous collectez à des tiers, vous devez le mentionner dans votre politique de confidentialité, comme l'exigent les lois, telles que le RGPD, la CCPA et d'autres.
Pour vous conformer, vous devez également dresser la liste de toutes les catégories de tiers avec lesquels vous partagez des informations ou auxquels vous vendez directement des données.
Pour la mise en forme, envisagez d'utiliser un tableau ou une liste à puces, comme Spotify l'a fait dans sa politique de confidentialité, comme le montre la capture d'écran suivante.
Droits des consommateurs en matière de protection de la vie privée
Plusieurs lois sur la protection des données vous obligent à énumérer les droits des personnes dans votre politique de confidentialité et à fournir des instructions sur le suivi de ces droits, ce qui peut être fait en rédigeant des clauses spécifiques aux différentes lois qui s'appliquent à votre entreprise.
Par exemple, si vous relevez à la fois de la VCDPA et de la CCPA modifiée, établissez une clause décrivant les droits des utilisateurs en Virginie et une autre pour les utilisateurs en Californie.
C'est ce que fait le détaillant de marchandises générales Target dans sa politique de confidentialité, comme le montre la capture d'écran ci-dessous.
Voir ensuite les droits des résidents de Virginie.
Veillez à respecter les spécifications définies par toutes les lois qui s'appliquent à votre entreprise, qu'il s'agisse d'un lien "Ne pas vendre ou partager mes informations personnelles" tel que décrit par la CCPA ou d'un formulaire générique de demande d'accès des personnes concernées(DSAR ou SAR) tel que recommandé par le RGPD.
Transferts internationaux de données
Vous pouvez être soumis à des exigences de transfert international, en particulier par le RGPD et le RGPD britannique, si vous transférez des données personnelles d'utilisateurs qui vivent dans un pays différent de celui où votre entreprise est située.
En vertu du RGPD, si une décision d'adéquation est en place, le transfert international de données à partir d'un pays de l'UE/EEE peut avoir lieu sans autres autorisations ou évaluations.
Mais si aucune décision n'a été prise, comme c'est le cas aux États-Unis, vous devez vous assurer que le transfert international répond à toutes les exigences énoncées au chapitre 5, articles 44 à 50 du règlement.
Vous devez également insérer dans votre politique de confidentialité une clause expliquant si et où vous transférez les données et quelles protections sont en place pour garantir que les informations sont protégées de manière appropriée et que les personnes peuvent faire valoir leurs droits.
Voir ci-dessous comment le moteur de recherche Google aborde les transferts internationaux de données dans sa politique de confidentialité.
Limites de conservation des données
Des lois telles que le RGPD, la LPRPDE canadienne et d'autres prévoient que vous ne pouvez conserver les données à caractère personnel que pendant la durée nécessaire à la réalisation des objectifs définis dans votre politique de protection de la vie privée. Mais vous devez également décrire votre processus de limitation des données dans une clause de la politique.
Si la finalité de la collecte de données à caractère personnel n'est pas clairement définie, expliquez comment vous déterminerez le moment où vous aurez atteint votre objectif et où vous n'aurez plus besoin de conserver les informations.
Voir ci-dessous comment Google rédige sa clause de limitation des données dans sa politique de confidentialité.
Mesures de sécurité pour protéger les données personnelles
Les lois sur la protection des données, telles que le RGPD et le CCPA, tiennent les entreprises pour responsables en cas de violation ou de fuite d'informations personnelles. Vous devez expliquer dans une clause de votre politique de confidentialité les mesures de sécurité que vous avez mises en place pour prévenir ce type de cybercriminalité ou d'erreur.
Vous pouvez envisager :
- Anonymisation des données
- Cryptage des données
- Pseudonymisation des données
Cette clause peut être brève et simple, mais elle est nécessaire d'un point de vue juridique. Vous trouverez ci-dessous un excellent exemple de la manière dont la chaîne de supermarchés et de magasins généraux Woolworths formule la partie relative à la sécurité de sa politique de protection de la vie privée.
Mises à jour de la politique de confidentialité
Légalement, votre politique de protection de la vie privée doit toujours être à jour. Incluez donc une clause expliquant quand vous apporterez des modifications à la politique, pourquoi ces modifications peuvent être nécessaires et comment vous mettrez vos utilisateurs au courant.
La version modifiée de la CCPA exige que vous mettiez à jour votre politique de protection de la vie privée au moins une fois tous les 12 mois.
Mais nombre de ces lois, notamment le RGPD et le VCDPA, stipulent que vous ne pouvez utiliser les données à caractère personnel que sur la base de ce que vous avez indiqué dans votre politique de protection de la vie privée. Vous devez donc également mettre à jour votre politique, informer vos utilisateurs et parfois même obtenir à nouveau leur consentement si vous souhaitez modifier vos activités de collecte et de traitement des données.
La capture d'écran ci-dessous donne un excellent exemple de ce type de clause dans la politique de confidentialité de Woolworths.
N'oubliez pas qu'il s'agit d'un document évolutif. Il doit être modifié aussi souvent que nécessaire.
Veillez simplement à informer correctement vos consommateurs à chaque fois, fixez la date de la "dernière mise à jour" sur votre police et indiquez à vos utilisateurs ce qui est exactement différent dans votre police.
Dépôt de plaintes
Les lois, y compris le RGPD, le PoPIA et d'autres, accordent aux individus le droit de déposer une plainte s'ils pensent que vous violez leurs droits en matière de confidentialité des données.
Vous devez inclure dans votre politique de protection de la vie privée une clause expliquant ce droit et fournissant les informations de contact appropriées en fonction de la loi applicable.
Si vous relevez de plusieurs législations, vous devriez envisager d'utiliser une clause distincte pour chaque régulateur ou autorité de surveillance concerné(e), afin que les utilisateurs de ces pays puissent facilement trouver les informations de contact appropriées.
Une fois de plus, voyez comment Woolworths procède dans sa politique de protection de la vie privée (voir ci-dessous).
À titre de comparaison, voici comment la célèbre chaîne d'épiceries sud-africaine Shoprite procède dans sa politique de confidentialité, mise en évidence dans la capture d'écran ci-dessous, pour se conformer à la loi PoPIA.
Évaluations de l'impact du traitement des données (DPIA)
Lorsque vous avez l'intention d'effectuer certains types de traitement présentant un "risque élevé" pour vos consommateurs, les lois sur la protection de la vie privée, y compris le RGPD et le CTDPA, vous obligent à effectuer des DPIA, et vous devez expliquer ce processus dans une clause de votre politique de protection de la vie privée afin de tenir vos consommateurs correctement informés.
Vous devez expliquer que vous avez effectué une DPIA appropriée afin d'évaluer les risques associés au traitement et d'identifier les protections adéquates pour vos utilisateurs.
Vos utilisateurs ont également le droit de limiter l'utilisation de leurs données personnelles sensibles, alors donnez-leur un moyen de faire respecter leurs droits concernant ces informations.
Ci-dessous, vous verrez comment le groupe d'enseignement supérieur Study.Iceland traite cette clause dans sa politique de confidentialité.
Coordonnées de l'entreprise
Plusieurs lois sur la protection de la vie privée exigent que vous incluiez des informations de contact appropriées dans votre politique de confidentialité afin que vos utilisateurs puissent déposer une plainte, poser des questions ou demander le suivi de leurs droits d'accès, de modification ou de suppression de leurs données.
En vertu du RGPD, si vous avez désigné un délégué à la protection des données, vous devez également l'identifier et fournir ses coordonnées.
En vertu de lois telles que la COPPA, qui protège les mineurs, vous devez inclure des informations de contact correctes dans votre politique de confidentialité afin que les tuteurs légaux puissent protéger les droits de leurs enfants en matière de protection de la vie privée.
Vous trouverez ci-dessous un exemple de l'endroit où le grand magasin Harrods indique ses coordonnées dans sa politique de confidentialité.
10 conseils pour se conformer aux exigences de la politique de protection de la vie privée
L'élaboration d'une politique de protection de la vie privée implique de trouver un équilibre entre les exigences légales, les clauses nécessaires et bien d'autres choses encore. J'ai rassemblé quelques conseils pour aider votre entreprise à se mettre simplement en conformité.
Conseil n° 1 : la politique de protection de la vie privée diffère des conditions générales, et vous avez besoin des deux car elles ont des fonctions différentes. Vos conditions générales protègent votre entreprise, et certaines clauses et clauses de non-responsabilité ont leur place dans ces conditions générales plutôt que dans votre politique de confidentialité.
Conseil n° 2 : effectuez un audit de confidentialité de votre site web ou de votre application avant d'élaborer votre politique de confidentialité afin de vous assurer que vous connaissez toutes les données que vous traitez et l'endroit où elles sont collectées.
Conseil n° 3 : n'utilisez que des termes faciles à lire dans votre politique de protection de la vie privée, afin qu'elle soit accessible au plus grand nombre, et évitez le jargon juridique et technique.
Conseil n° 4 : pour que vos consommateurs aient facilement accès aux politiques juridiques pertinentes, insérez des liens directs vers ces autres documents dans votre avis de confidentialité, y compris votre site politique de cookies et votre accord sur les conditions de service (et vice-versa).
Conseil n° 5 : mettez une politique de confidentialité sur votre site web, même si vous ne collectez pas de données ou si vous ne relevez pas des lois sur la protection de la vie privée. Les internautes s'attendent à en voir une et peuvent supposer que votre site n'est pas digne de confiance s'ils ne la trouvent pas.
Conseil n° 6 : prévoyez de publier votre politique de confidentialité à plusieurs endroits, notamment dans le pied de page de votre site web et avant ou pendant les points où des données sont collectées, comme les écrans de paiement ou les pages de création de compte pour les nouveaux utilisateurs.
Conseil n° 7 : vous devez également mettre en place une procédure de mise à jour de votre politique de protection de la vie privée. Vous devez revoir ce document tous les deux mois et l'adapter chaque fois que vos protocoles en matière de protection de la vie privée changent.
Conseil n° 8 : vous pouvez rédiger vous-même votre politique de confidentialité, mais essayez d'utiliser un générateur de politique de confidentialité ou de commencer par un site gratuit comme le nôtre. Générateur de politique de confidentialité ou de commencer par un site gratuit modèle de politique de confidentialité pour vous donner une longueur d'avance - bien sûr, si vous utilisez un générateur comme le nôtre, il fait tout le travail à votre place.
Conseil n° 9 : ne mentez pas sur vos activités de traitement des données et n'essayez pas de contourner le problème, car il s'agit d'un point important à éviter dans votre politique de protection de la vie privée. Si vous vous faites prendre, la mauvaise presse et les amendes potentiellement élevées pour violation des lois pourraient nuire à votre entreprise.
Conseil 10 : La politique de confidentialité, l'avis de confidentialité et l'accord de confidentialité font tous référence à la même chose, alors donnez-lui le titre que vous voulez. Veillez simplement à ce qu'il soit très clair pour vos consommateurs qu'il s'agit du document qui explique vos activités de traitement des données.
Croyez-moi, j'ai aidé de nombreuses entreprises et agences de marketing à élaborer des politiques de protection de la vie privée, et les conseils suivants vous faciliteront la tâche.
Sanctions en cas de non-respect des lois sur les politiques de protection de la vie privée
J'ai mentionné que la violation des lois sur la protection de la vie privée pouvait entraîner de lourdes amendes et une grande attention de la part du public - c'est ici que je joins le geste à la parole.
Dans le tableau ci-dessous, lisez les conséquences financières de la violation des lois et règlements sur la protection des données que j'ai mentionnés dans la liste de contrôle de la politique de protection de la vie privée.
| Loi sur la protection des données | Sanctions en cas de violation de la loi |
| Règlement général sur la protection des données (RGPD) |
|
| La loi sur la protection des données( RGPD) |
|
| Loi californienne modifiée sur les droits des consommateurs en matière de protection de la vie privée(CCPA/CPRA) |
|
| Loi californienne sur la protection de la vie privée en ligne(CalOPPA) |
|
| Loi de Virginie sur la protection des données des consommateurs(VCDPA) |
|
| Loi sur la protection des données du Connecticut(CTDPA) |
|
| Loi du Colorado sur la protection de la vie privée(CPA) |
|
| Loi sur la protection de la vie privée des enfants en ligne(COPPA) |
|
| Loi sur la protection des renseignements personnels et les documents électroniques(LPRPDE) |
|
| Loi australienne de 1988 sur la protection de la vie privée |
|
| Loi néo-zélandaise de 2020 sur la protection de la vie privée |
|
| Loi sud-africaine sur la protection des informations personnelles(PoPIA) |
|
Selon la taille de votre entreprise, le non-respect de ces lois, même par accident, peut entraîner des amendes suffisamment importantes pour mettre votre entreprise en faillite.
Mais en plus de perdre de l'argent, vous vous exposeriez à des réactions négatives de la part du public, ce qui est sans doute tout aussi préjudiciable à votre marque qu'une amende.
Il suffit de consulter ces statistiques sur la confidentialité des données pour constater que les clients n'hésitent pas à mettre fin à leur relation avec vous si vous ne traitez pas leurs informations personnelles avec respect :
- 63 % des internautes pensent que la plupart des entreprises ne sont pas transparentes sur la manière dont leurs données sont utilisées, et 48 % ont cessé de faire des achats auprès d'une entreprise en raison de préoccupations liées à la protection de la vie privée.(Tableau)
- 33 % des utilisateurs ont mis fin à leurs relations avec des entreprises à cause des données. Ils ont quitté des entreprises de médias sociaux, des fournisseurs d'accès Internet, des détaillants, des fournisseurs de cartes de crédit, des banques ou des institutions financières.(Cisco)
Les conséquences n'en valent tout simplement pas la peine. Conservez davantage de clients et évitez les amendes et la mauvaise presse en publiant une politique de confidentialité honnête et conforme sur votre plateforme.
Comment Termly aide votre entreprise à créer une politique de confidentialité
À ce stade, j'espère vous avoir convaincu de l'importance des politiques de protection de la vie privée pour les entreprises opérant en ligne.
Mais ne vous inquiétez pas, vous n'avez pas besoin de créer votre propre modèle - Termly peut faire le travail à votre place si vous utilisez notre site Générateur de politique de confidentialité ou un modèle gratuit.
Termly's Générateur de politique de confidentialité
Permettez-moi de prendre une seconde pour vanter les mérites de Termly. Générateur de politique de confidentialité - c'est vraiment génial.
Notre équipe la met à jour chaque fois qu'une nouvelle réglementation entre en vigueur (ou que l'ancienne est modifiée).
Chaque fois que cela se produit, nos clients reçoivent par courrier électronique des instructions sur les mesures à prendre pour assurer la conformité avec les lois sur la protection des données.
Pour l'utiliser, il vous suffit de répondre à des questions simples sur votre entreprise, et il crée une politique conforme basée sur vos réponses, prête à être publiée sur votre site web ou votre application.
Voir une capture d'écran ci-dessous.
TermlyModèles de politique de confidentialité
Outre notre générateur, nous proposons également un modèle de politique de confidentialité que vous pouvez personnaliser pour répondre à tous les besoins de votre entreprise.
Les modèles nécessitent plus de travail de votre part, car vous devez remplir manuellement les sections vides avec des détails sur votre entreprise. Mais il est déjà formaté pour vous et comprend des clauses qui respectent les lois sur la protection de la vie privée que j'ai abordées dans ce guide.
Vous trouverez ci-dessous une capture d'écran de ce que cela donne.
Consultez ce vaste tableau de guides et de modèles sur lesquels vous pouvez vous appuyer en fonction de votre secteur d'activité, de la plateforme que vous utilisez ou des lois qui s'appliquent à votre entreprise.
Résumé
Les politiques de confidentialité sont des documents essentiels qui aident les entreprises à se conformer aux lois applicables et à instaurer la confiance en informant les utilisateurs de ce que vous faites de leurs données personnelles.
En suivant la liste de contrôle de la politique de protection de la vie privée et les conseils fournis, vous pouvez élaborer une politique complète et conforme à la législation pour votre entreprise.
Facilitez-vous la tâche en utilisant le site Termly's Générateur de politique de confidentialité pour préparer votre police en quelques minutes.
En savoir plus sur l'auteur
Écrit par James Ó Nuanáin, CIPP/E, CIPM, CIPT
James est un professionnel de la protection de la vie privée qui a plus de sept ans d'expérience dans l'assistance aux grandes organisations pour qu'elles se conforment à leurs obligations au titre du GPDR et d'autres réglementations locales en matière de protection de la vie privée. Il est passionné par la confidentialité des données et l'intersection entre le droit et la technologie. En savoir plus sur l'auteur
