Politique de confidentialité et déclaration cookies pour votre site web : ce qu'il faut y mettre

Rédiger une politique de confidentialité pour votre site web revient à créer deux documents distincts : une déclaration de confidentialité qui explique quelles données personnelles vous collectez, pourquoi et pendant combien de temps, et une déclaration cookies qui décrit quels cookies et traceurs vous placez. Beaucoup d’entreprises B2B mélangent les deux ou collent le texte d’un générateur gratuit en bas de page, s’exposant ainsi à un risque à la fois juridique et de confiance. Dans cet article, vous découvrez la différence entre les deux, ce qui doit obligatoirement figurer dans chaque document, et comment construire une version précise qui correspond à votre site.

Quelle est la différence entre une déclaration de confidentialité et une déclaration cookies ?

Une déclaration de confidentialité concerne toutes les données personnelles que vous traitez, tandis qu’une déclaration cookies porte spécifiquement sur ce qui est stocké ou lu sur l’appareil de votre visiteur. Ce sont deux documents dotés chacun de leur propre base juridique, et les confondre est une erreur fréquente.

La déclaration de confidentialité relève du RGPD (le Règlement général sur la protection des données). Il régit tout traitement de données personnelles : un formulaire de contact rempli, une inscription à la newsletter, une demande de devis, des candidatures, votre CRM. Vous y expliquez qui vous êtes, ce que vous faites de ces données et quels droits chacun possède.

La déclaration cookies relève quant à elle des règles ePrivacy, en Belgique ancrées dans la législation relative aux communications électroniques. Celles-ci ne concernent pas uniquement les données personnelles, mais le placement et la lecture d’informations sur l’appareil du visiteur. C’est pourquoi vous avez besoin d’un consentement préalable pour les cookies non essentiels, même s’ils contiennent en soi peu de données personnelles. En résumé : un document décrit ce que vous faites des données, l’autre décrit ce que vous placez et sur quelle base.

Que doit obligatoirement contenir votre déclaration de confidentialité ?

Votre déclaration de confidentialité doit pouvoir expliquer au visiteur, dans un langage clair, qui vous êtes, quelles données vous traitez, pourquoi, sur quelle base juridique et ce qu’il peut faire à ce sujet. Le RGPD énumère concrètement ces obligations d’information.

Une déclaration de confidentialité complète contient généralement au moins ces éléments :

• Qui est le responsable du traitement : le nom de votre entreprise, votre numéro d’entreprise et vos coordonnées, ainsi que celles d’un éventuel délégué à la protection des données.
• Quelles données personnelles vous collectez et via quels canaux (formulaires, e-mail, analytics, gestion de la clientèle).
• Les finalités pour lesquelles vous les utilisez, par exemple établir un devis, répondre à une question ou facturer.
• La base juridique par traitement : le consentement, l’exécution d’un contrat, une obligation légale ou un intérêt légitime.
• Avec qui vous partagez les données : les sous-traitants comme votre hébergement, votre outil e-mail, votre CRM ou votre fournisseur d’analytics, et si des données quittent l’UE.
• Combien de temps vous les conservez, ou quel critère vous appliquez pour cela.
• Les droits de la personne concernée : accès, rectification, effacement, opposition et le droit d’introduire une réclamation auprès de l’autorité de contrôle.

Cela semble beaucoup, mais l’essentiel est que chaque élément corresponde à ce que votre site fait réellement. Si vous avez un formulaire de devis et une newsletter, les deux doivent y figurer. Si vous n’avez pas de boutique en ligne, les informations de paiement n’ont pas leur place. Une déclaration de confidentialité n’est pas un modèle que l’on remplit, c’est une description honnête de vos propres flux de données.

Que doit contenir votre déclaration cookies et votre bandeau cookies ?

Votre déclaration cookies doit préciser, par cookie ou par catégorie, lesquels vous placez, à quoi ils servent, qui les place et combien de temps ils restent, et votre bandeau doit demander un consentement valide avant de charger le moindre élément non essentiel. L’Autorité belge de protection des données a formulé des attentes claires à ce sujet.

Concrètement, cela signifie notamment : pas de cases pré-cochées, et un bouton pour tout refuser au même niveau et aussi visible que le bouton pour tout accepter. Les visiteurs doivent comprendre immédiatement, dès la première couche du bandeau, pour quoi vous demandez leur consentement, et ils doivent pouvoir modifier leur choix par la suite. Un bandeau qui n’affiche que « Accepter », ou qui ne vous laisse passer que si vous acceptez, n’est pas conforme.

Important en pratique : les cookies essentiels (par exemple pour un panier d’achat ou pour mémoriser une session connectée) peuvent être placés sans consentement. Pour l’analytics, les pixels marketing et les contenus tiers intégrés, vous avez bien besoin d’un consentement préalable. Cela a une conséquence technique directe : vos scripts de suivi ne peuvent se déclencher qu’après que le visiteur a donné son consentement. Si votre bandeau de consentement est mal intégré, ces scripts se chargent malgré tout, et votre consentement ne vaut plus rien. C’est précisément l’endroit où la construction de votre site et votre texte juridique se rejoignent, et où cela dérape souvent.

Pourquoi un texte copié d’un générateur est-il un risque ?

Un générateur gratuit vous fournit un texte générique adapté à un site web moyen, pas au vôtre, et c’est précisément là le problème. Le document a l’air professionnel, mais décrit des traitements que vous ne faites peut-être pas et omet des traitements que vous faites bel et bien.

Les erreurs typiques : un paragraphe sur la boutique en ligne alors que vous ne traitez aucun paiement, des outils et sous-traitants mentionnés que vous n’utilisez pas, ou justement pas les outils que vous employez réellement comme votre CRM spécifique, votre plateforme d’e-mail marketing ou votre logiciel de formulaires. Parfois, le texte renvoie à une législation étrangère plutôt qu’au cadre belge. Une déclaration de confidentialité qui ne correspond pas à la réalité n’est pas seulement juridiquement faible, elle est aussi tout simplement mensongère vis-à-vis de votre visiteur.

Et c’est là que se situe le coût B2B. Un acheteur professionnel sur le point de demander un devis lit parfois bel et bien les petits caractères. Un texte de confidentialité négligé ou manifestement copié sème le doute au moment précis où vous voulez gagner sa confiance. Cela sape le signal même que vous construisez si soigneusement ailleurs sur votre site, comme sur votre page à propos ou via les signaux de confiance qui rendent un site B2B crédible. Un générateur est un excellent point de départ pour en voir la structure, mais jamais un produit fini que vous publiez sans le lire.

Comment aborder concrètement une politique de confidentialité correcte ?

L’approche la plus fiable consiste à travailler à rebours : ne commencez pas par le texte, mais par un inventaire de ce que votre site fait réellement avec les données. Ce n’est qu’une fois cela cartographié que vous rédigez les deux documents.

Un ordre de travail réaliste :

1. Cartographiez vos flux de données. Passez en revue chaque formulaire, chaque outil et chaque intégration. Quels champs demandez-vous sur votre page de contact et dans vos formulaires de conversion ? Où vont ces données ?
2. Listez vos sous-traitants. Hébergement, analytics, CRM, outil e-mail, widget de chat, logiciel de formulaires. Ce sont les parties que vous devez mentionner dans votre déclaration de confidentialité.
3. Inventoriez vos cookies et scripts. Lesquels se chargent, qui les place, et sont-ils essentiels ou non ? Cela détermine votre déclaration cookies et la configuration de votre bandeau de consentement.
4. Rédigez ou adaptez les textes sur cette base, dans un langage clair, en phase avec le cadre belge et européen.
5. Faites-les vérifier juridiquement. Pour la formulation définitive, un juriste ou un DPO est la personne indiquée, surtout en cas de traitements sensibles.

Customer Impact est une agence, pas un cabinet d’avocats : nous ne donnons pas de conseil juridique. Ce que nous faisons en revanche, c’est construire votre site de sorte que la technique corresponde au texte, que votre bandeau de consentement ne déclenche les traceurs qu’après le consentement, et que vos déclarations de confidentialité et cookies soient trouvables et lisibles sur votre site. Cette exactitude technique appartient au même socle que l’accessibilité et est trop souvent traitée comme un détail. Si vous voulez plonger plus profondément dans le processus de construction plus large, vous le trouverez dans notre guide sur la création d’un site web B2B et auprès de notre agence de webdesign.

Le résumé en bref

Vous avez besoin de deux documents : une déclaration de confidentialité sous le RGPD qui décrit honnêtement vos flux de données, et une déclaration cookies avec un bandeau de consentement qui fonctionne correctement sous les règles ePrivacy. Le plus grand piège est un texte de générateur qui ne correspond pas à ce que votre site fait réellement : c’est juridiquement faible et cela vous coûte la confiance de l’acheteur professionnel que vous voulez précisément convaincre. Commencez donc par un inventaire de vos véritables flux de données, adaptez vos textes en conséquence, et veillez à ce que la technique de votre site respecte aussi les promesses juridiques. Ne planifiez pas une telle mise à jour comme une tâche isolée, mais comme un élément d’une approche plus large : comment regrouper des correctifs isolés en un plan de croissance, vous le lisez dans l’établissement d’une roadmap web.

Planifiez votre entretien gratuit