L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Comment rédiger une politique de confidentialité conforme ?
Structure, mentions obligatoires et pièges de rédaction. Pourquoi un modèle générique constitue un risque plutôt qu'une protection.
Structure, mentions obligatoires et pièges de rédaction. Pourquoi un modèle générique constitue un risque plutôt qu'une protection.
Introduction
La politique de confidentialité est le document le plus consulté par un contrôleur et le plus souvent recopié. Sa valeur tient à sa correspondance avec la réalité, pas à sa longueur.
La structure recommandée
Une présentation par finalité de traitement est la plus lisible.
Pour chaque finalité, indiquer les données collectées, la base légale, les destinataires, la durée de conservation et, le cas échéant, les transferts.
Un tableau permet cette présentation de manière compacte et vérifiable, là où un texte continu dilue l’information.
Les mentions obligatoires
L’identité et les coordonnées du responsable de traitement, et le cas échéant du délégué à la protection des données.
Les finalités poursuivies et la base légale de chaque traitement. Lorsque l’intérêt légitime est invoqué, cet intérêt doit être précisé, et non simplement mentionné.
Les catégories de données, y compris celles obtenues indirectement, avec l’indication de leur source.
Les destinataires ou catégories de destinataires, prestataires compris.
Les transferts vers des pays tiers, avec l’indication du mécanisme d’encadrement.
Les durées de conservation par finalité, ou les critères de détermination lorsque la durée ne peut être fixée à l’avance.
Les droits des personnes, avec les modalités concrètes de leur exercice : adresse dédiée, formulaire, pièces éventuellement demandées.
Le droit d’introduire une réclamation auprès de la CNIL.
L’existence d’une décision automatisée, le cas échéant, avec des informations utiles sur la logique sous-jacente.
Ce qui distingue une politique utile
Elle décrit les traitements réels, dans les termes de l’activité, et non des formulations abstraites.
Elle indique des durées effectivement appliquées, ce qui suppose que les purges existent.
Elle nomme les catégories de prestataires, hébergeur, outil de gestion de la relation client, service d’envoi d’emails, plutôt que d’évoquer vaguement des tiers autorisés.
Elle est rédigée dans un langage clair et accessible, exigence expresse du règlement, et non dans un style juridique dense.
Les pièges de rédaction
Mentionner des traitements inexistants, hérité d’un modèle : géolocalisation, profilage, données de santé.
Omettre les traitements réels : candidatures spontanées, vidéosurveillance, enregistrement des appels, outils de mesure d’audience.
Indiquer des durées irréalistes ou illimitées.
Employer des formules conditionnelles pour couvrir toutes les hypothèses, ce qui prive l’information de toute portée : le règlement exige une information précise, non une énumération de possibilités.
Confondre la politique avec les mentions légales ou les conditions générales.
La collecte indirecte
Lorsque les données ne sont pas collectées auprès de la personne, une information spécifique est due, dans un délai raisonnable et au plus tard dans le mois, ou lors de la première communication avec la personne.
Cette obligation concerne notamment l’achat de fichiers de prospection, l’enrichissement de bases, ou la collecte auprès de partenaires.
La politique doit alors indiquer la source des données.
La mise à jour et la traçabilité
La politique évolue avec les traitements.
Sa date de dernière mise à jour doit figurer sur le document, et les versions antérieures être conservées : en cas de litige, il faut pouvoir démontrer quelle information était accessible à une date donnée.
Les modifications substantielles doivent être portées à la connaissance des personnes, notamment lorsque de nouvelles finalités apparaissent.
Rédiger à partir du registre
Une politique cohérente se déduit du recensement, elle ne se rédige pas en amont. Notre expertise RGPD et protection des données personnelles construit ces documents.
En résumé
- Une présentation par finalité, sous forme de tableau, est la plus lisible et la plus vérifiable.
- Préciser la nature de l’intérêt légitime lorsqu’il est invoqué.
- Indiquer des durées effectivement appliquées, pas des durées théoriques.
- Une information spécifique est due en cas de collecte indirecte, avec mention de la source.
- Dater la politique et conserver les versions antérieures.
Questions fréquentes
Peut-on utiliser un modèle trouvé en ligne ?
C'est déconseillé. Une politique doit décrire les traitements réellement mis en œuvre. Un modèle générique mentionne des traitements inexistants et omet ceux qui existent, ce qui se voit immédiatement en contrôle.
Faut-il détailler chaque traitement ?
Oui, au moins par finalité. Une présentation par tableau, indiquant pour chaque finalité la base légale, les données, les destinataires et la durée, est la forme la plus lisible et la plus vérifiable.
À quelle fréquence la mettre à jour ?
À chaque changement de traitement, d'outil ou de prestataire, et en revue au moins annuelle. La date de dernière mise à jour doit figurer sur le document.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
