Politique de confidentialité obligatoire 2026 : modèle gratuit RGPD-conforme

Par Équipe juridique SideBizStarter — 15 septembre 2026

Toute entreprise, association ou freelance qui collecte la moindre donnée personnelle (nom, email, IP, cookie) doit publier une politique de confidentialité conforme RGPD. C’est valable dès la première visite de ton site, dès le premier formulaire de contact, dès la première inscription à ta newsletter. Je te donne le cadre légal 2026 précis, un modèle gratuit à adapter, et les cas particuliers (WordPress, Shopify, freelance).

Le cadre légal en 2026

La politique de confidentialité est obligatoire depuis le RGPD (règlement UE 2016/679) entré en vigueur le 25 mai 2018 et la Loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée). Elle doit être facilement accessible (lien dans le footer, non caché), rédigée en français clair (pas de jargon juridique inaccessible), et datée avec une version en cours (mise à jour à chaque changement de traitement).

Non-conformité = sanctions CNIL jusqu’à 20 millions d’euros ou 4 % du CA mondial (article 83 RGPD). En pratique, pour un freelance français, les sanctions typiques observées en 2024-2026 sont des mises en demeure publiques + amendes de 500 à 5 000 € en première infraction.

Le contenu minimum obligatoire (12 rubriques)

1. Identité et coordonnées du responsable de traitement (toi, si freelance)
2. Coordonnées du DPO si tu en as un désigné (obligatoire > 250 salariés OU traitement à grande échelle)
3. Finalités du traitement (pourquoi tu collectes les données : contact, newsletter, analytics, facturation)
4. Base légale du traitement (consentement, contrat, obligation légale, intérêt légitime)
5. Catégories de données collectées (identité, coordonnées, données de connexion, cookies)
6. Destinataires ou catégories de destinataires (sous-traitants comme Google Analytics, MailChimp, Stripe)
7. Transferts hors UE éventuels (cas USA avec Google, Zapier) + garanties appliquées
8. Durée de conservation ou critère qui la détermine
9. Droits de la personne concernée (accès, rectification, effacement, portabilité, opposition, retrait consentement)
10. Droit d’introduire une réclamation auprès de la CNIL
11. Existence d’une décision automatisée (profilage) le cas échéant
12. Date de dernière mise à jour de la politique

Cas particulier : site WordPress

Si tu utilises WordPress + Google Analytics + un plugin de newsletter (MailPoet, Newsletter), tu dois mentionner :

• Les cookies Google Analytics (durée, finalité, transfert USA — avec Data Privacy Framework depuis juillet 2023)
• Les cookies de session WordPress (nécessaires, exemptés de consentement)
• Les cookies de préférence (thème, langue — soumis à consentement selon durée)
• Le plugin de commentaires (Gravatar transfère l’email hashé aux USA)
• Le CDN si tu en utilises un (Cloudflare, jsDelivr)

Pour générer automatiquement ta politique WordPress conforme, utilise le générateur de politique de confidentialité SBS. Gratuit, sans inscription, mis à jour selon la jurisprudence CNIL.

Cas particulier : boutique Shopify

Shopify utilise ses propres cookies (checkout, panier, tracking Facebook Pixel si activé). Tu dois mentionner en plus :

• Le transfert des données de commande vers Shopify Canada (adéquation garantie par les clauses contractuelles types)
• Les prestataires de paiement (Stripe, PayPal, Apple Pay) et leurs propres politiques
• Les cookies publicitaires si tu utilises Facebook Pixel ou Google Ads
• La géolocalisation IP pour la taxe TVA calculée automatiquement

Cas particulier : freelance qui collecte peu de données

Même si tu as juste un formulaire de contact et une newsletter, tu es soumis au RGPD. La politique peut être courte (2 pages suffisent) mais elle doit être précise sur ce que tu collectes réellement. Ne recopie pas un modèle générique qui liste 40 finalités quand tu en as 3.

Le modèle gratuit SBS à télécharger et adapter

Structure recommandée (à personnaliser avec tes propres informations) :

1. Identité du responsable de traitement
2. Finalités et bases légales
3. Données collectées
4. Destinataires
5. Transferts hors UE
6. Durées de conservation
7. Vos droits
8. Cookies (renvoi vers la politique cookies dédiée)
9. Contact et réclamation CNIL
10. Modifications de la politique
Date de dernière mise à jour : [X]

Version complète Word et PDF à télécharger via mon générateur SBS. Il pose 8 questions (nom entreprise, activité, outils tiers, cookies utilisés, durée conservation) et génère un document conforme en 2 minutes.

Erreurs classiques que je vois en audit

• Politique jamais mise à jour depuis 2019 (avant l’arrêt Schrems II et le Data Privacy Framework 2023). Les mentions sur les transferts USA sont obsolètes.
• Recopie sauvage d’une politique concurrente : viol de droit d’auteur en plus d’une non-conformité factuelle.
• Politique introuvable : lien enfoui dans un menu déroulant. La CNIL exige un lien facilement accessible.
• Consentement pré-coché pour la newsletter à l’inscription : interdit depuis 2020.
• Cookies traceurs déposés avant consentement : contournement de la ligne directrice CNIL de 2020.

Questions fréquentes

Faut-il obligatoirement un DPO en freelance ?

Non, sauf si tu traites des données sensibles à grande échelle (données de santé, profilage massif). En freelance classique, tu es responsable de traitement toi-même.

La politique doit-elle être signée par le visiteur ?

Non. Elle doit être accessible et lisible, mais pas signée. Le consentement se donne au moment précis du traitement (ex : cocher la case newsletter).

Est-ce compatible avec RGPD strict + CCPA californien ?

Si tu vends à des résidents californiens, tu dois compléter avec les mentions CCPA (right to know, right to delete, right to opt-out). Un modèle basé RGPD suffit rarement.

Important. Cet article reflète l’état du droit au 15 septembre 2026. Le RGPD et les lignes directrices CNIL évoluent régulièrement — vérifie sur cnil.fr avant de publier. Pour les activités sensibles (santé, biométrie, profilage), consulte un DPO ou un juriste spécialisé. Cet article a été rédigé par Julie Perrin, DPO certifiée CNIL et ex-avocate droit des affaires.