Google dit aux éditeurs ce qu’une politique de confidentialité doit indiquer sur les cookies publicitaires, puis il ajoute que la formulation varie selon les juridictions et qu’il ne fournit aucun modèle. D’après notre expérience, beaucoup de petits sites se retrouvent alors avec une politique générique qui décrit un autre site que le leur. Une politique courte et vraie vaut mieux qu’une longue qui ne l’est pas, et c’est aussi la seule qui survive au jour où vous ajoutez quelque chose.
La nôtre est courte parce que le site l’est : aucun compte, aucun cookie, aucune publicité aujourd’hui, et des journaux de serveur supprimés au bout d’environ 14 jours. Le paragraphe sur la publicité est conditionnel. Il annonce que la politique sera mise à jour avant l’affichage de la première annonce, et il liste les mentions qui s’appliqueront alors. C’est le schéma que nous recommandons à un site qui n’a pas encore candidaté à AdSense : décrire ce qui se passe maintenant, et dire ce qui changera en premier.
Ce que Google exige que la politique dise
La page d’aide de Google sur la confidentialité et les annonces demande que votre politique indique trois choses aux visiteurs :
- Des fournisseurs tiers, dont Google, utilisent des cookies pour diffuser des annonces d’après les visites précédentes d’un internaute sur votre site ou sur d’autres sites.
- L’usage des cookies publicitaires par Google lui permet, ainsi qu’à ses partenaires, de diffuser des annonces d’après les visites sur votre site et sur d’autres sites de l’internet.
- Les visiteurs peuvent désactiver la publicité personnalisée dans les Paramètres des annonces de Google.
Si vous laissez activée la diffusion d’annonces par des tiers, Google ajoute une quatrième obligation : identifier les fournisseurs concernés, lier leurs sites et dire que les visiteurs peuvent s’y opposer. Il cite aboutads.info comme autre voie de désactivation. Au-delà, il ne donne aucune formulation, et précise que les termes diffèrent d’une juridiction à l’autre.
Ce qu’un examen vérifie réellement, Google ne le dit pas. Notre vérificateur cherche la page, la formulation sur les cookies publicitaires et la possibilité d’indexer la page. Nous voyons là un plancher, parce que c’est la partie qu’un outil peut contrôler.
Politique et consentement : deux rôles distincts
La politique est un document : elle dit aux gens ce qu’il advient de leurs données. Le consentement est un mécanisme : il demande la permission avant de déposer un cookie. Aucun des deux ne remplace l’autre, et un site qui n’a que l’un des deux a une lacune.
Pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse, la règle de Google sur le consentement des utilisateurs de l’UE exige un consentement juridiquement valable pour les cookies, le stockage local et la personnalisation des annonces. Vous devez conserver la preuve de ce consentement et expliquer comment un visiteur le retire. Depuis le 16 janvier 2024 pour l’EEE et le Royaume-Uni, et depuis le 31 juillet 2024 pour la Suisse, diffuser des annonces personnalisées exige aussi une plateforme de gestion du consentement (CMP) certifiée par Google et compatible avec le TCF de l’IAB. Sans elle, vous n’avez pas d’annonces personnalisées.
La politique doit donc dire ce que couvre le consentement et où le retirer, tandis que le bandeau le recueille. Les détails du bandeau sont dans consentement cookies et AdSense.
Le squelette RGPD
Les articles 13 et 14 du RGPD énumèrent ce qu’un site doit dire aux personnes, et l’article 13 l’exige au moment de la collecte, ce qui, sur un site web, signifie un lien visible sur chaque page. La structure ci-dessous suit cette liste. La colonne de droite donne des choix typiques pour un petit site de contenu. Nous ne sommes pas juristes : les bases légales dépendent de votre situation et de votre pays, alors faites relire le texte si vous vendez à des consommateurs ou traitez des données sensibles.
| Section | Ce qu’elle doit préciser | Exemple pour un petit site |
|---|---|---|
| Qui | Qui décide de ce qu’il advient des données, et comment le joindre | Votre nom ou celui de votre société, et une boîte mail que vous lisez |
| Quoi | Quelles données, et comment elles sont collectées | Adresse IP et user-agent dans les journaux du serveur ; une adresse e-mail si quelqu’un vous écrit |
| Pourquoi et sur quelle base | La finalité de chaque usage et son fondement juridique | Sécurité et diagnostic des erreurs (intérêt légitime) ; cookies publicitaires (consentement) |
| Qui les reçoit | Hébergeurs et autres sous-traitants | Votre hébergeur ; les fournisseurs de publicité une fois les annonces en place |
| Transferts | Si les données quittent l’EEE | L’emplacement de vos serveurs ; celui où vos fournisseurs de publicité traitent les données |
| Durée | Une durée de conservation pour chaque type de données | Journaux supprimés au bout de 14 jours |
| Vos droits | Accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement, réclamation | Comment faire la demande, et auprès de quelle autorité se plaindre |
Traitez les adresses IP de vos journaux de serveur comme des données personnelles. Le considérant 30 du RGPD range les adresses IP parmi les identifiants en ligne qu’il vise, et une politique qui affirme « nous ne collectons aucune donnée personnelle » alors qu’un serveur web enregistre chaque visite est fausse dès sa première ligne.
3 passages en langage clair
Ces passages concernent un site inventé, sans compte, hébergé dans l’EEE. Ce sont des points de départ et non des textes juridiques : changez chaque fait qui n’est pas vrai pour votre site, et remplacez ce qui est entre crochets par vos propres informations. Les lignes sont coupées pour tenir dans le cadre ; le HTML ou le Markdown les rassemble en paragraphes.
Le paragraphe sur la publicité, pour le jour où des annonces s’affichent :
Publicité. Nous affichons des annonces diffusées par Google et par
d'autres fournisseurs tiers. Ces fournisseurs utilisent des cookies pour
diffuser des annonces d'après vos visites précédentes sur ce site ou sur
d'autres sites. L'usage des cookies publicitaires par Google lui permet,
ainsi qu'à ses partenaires, de vous diffuser des annonces d'après votre
visite sur ce site et sur d'autres sites de l'internet. Si vous vous
trouvez dans l'Espace économique européen, au Royaume-Uni ou en Suisse,
nous demandons votre consentement avant de déposer un cookie
publicitaire, et vous pouvez le modifier ou le retirer à tout moment via
le lien « Paramètres de confidentialité » du pied de page. Vous pouvez
désactiver la publicité personnalisée dans les Paramètres des annonces de
Google (adssettings.google.com), ou refuser l'utilisation de cookies par
certains fournisseurs tiers sur www.aboutads.info.Le paragraphe sur les journaux du serveur, dont presque tous les sites ont besoin :
Journaux du serveur. Notre serveur web enregistre chaque requête : votre
adresse IP, l'heure, la page demandée, le code de réponse et le
user-agent de votre navigateur. Nous utilisons ces journaux pour assurer
la sécurité du site, diagnostiquer les erreurs et établir des
statistiques qui ne contiennent aucune adresse IP. Notre base légale est
notre intérêt légitime à exploiter un service sécurisé. Les journaux sont
supprimés automatiquement au bout de 14 jours. Ils sont conservés par
notre hébergeur, [nom de l'hébergeur], en [pays].Le paragraphe sur les droits :
Vos droits. Vous pouvez nous demander quelles données nous détenons sur
vous, en demander la rectification ou la suppression, demander que nous
en limitions l'usage ou que nous y mettions fin, et en obtenir une copie
dans un format portable. Lorsque nous nous appuyons sur votre
consentement, vous pouvez le retirer à tout moment. Écrivez à [adresse de
contact] et nous répondrons dans un délai d'un mois. Si la réponse ne
vous satisfait pas, vous pouvez introduire une réclamation auprès de
votre autorité de protection des données, par exemple la CNIL en France
ou l'ICO au Royaume-Uni.Quand vous ajoutez quelque chose, mettez la politique à jour
Une politique est exacte le jour où elle est écrite et commence à dériver dès le lendemain. Voici les ajouts qui la rendent le plus souvent fausse :
| Vous ajoutez | La politique doit maintenant dire |
|---|---|
| Google AdSense ou un autre réseau publicitaire | Les mentions sur les cookies vues plus haut, les fournisseurs, comment s’y opposer, et comment fonctionne le consentement pour l’EEE, le Royaume-Uni et la Suisse |
| Un outil de mesure d’audience | Lequel, ce qu’il enregistre, s’il dépose des cookies ou des identifiants, combien de temps les données sont conservées, et la base légale |
| Une lettre d’information ou un formulaire de contact | Ce que vous collectez, quel prestataire le traite, combien de temps vous le gardez et comment se désabonner |
| Des commentaires | Ce qui est stocké (nom, e-mail, adresse IP), ce qui est public et comment faire retirer un commentaire |
| Des vidéos, des cartes ou des boutons sociaux intégrés | Que le fournisseur peut déposer des cookies ou recevoir l’adresse IP du visiteur au chargement de l’élément intégré |
| Un nouvel hébergeur, un CDN ou des polices hébergées ailleurs | Le nouveau sous-traitant, et l’emplacement de ses serveurs |
Changez la date en tête de page à chaque modification, et gardez la trace de ce qui a changé, comme nous le faisons dans notre journal des modifications public.
Les erreurs que nous voyons le plus
« Nous n’utilisons aucun cookie » sur un site qui en utilise. Les outils de mesure d’audience, les lecteurs vidéo intégrés et certains thèmes déposent des cookies sans le signaler. Avant d’écrire cette phrase, ouvrez vos pages dans un profil de navigateur vierge, regardez les cookies et les requêtes tierces dans les outils de développement, et listez ce que vous trouvez. Cette liste est la source de vérité de votre politique.
Une politique qui décrit quelqu’un d’autre. Un texte copié nomme une société que vous n’êtes pas, un hébergeur que vous n’utilisez pas et un pays dont la loi ne s’applique peut-être pas à vous. Le décalage passe inaperçu au moment du collage, et il se défend mal une fois qu’un visiteur, ou un examinateur, le repère.
Des promesses que les fournisseurs de publicité ne tiennent pas. « Nous ne partageons jamais vos données » ne peut pas cohabiter avec les cookies publicitaires de Google. Si des annonces s’affichent, la mention vue plus haut est la version honnête.
Aucun moyen d’exercer ses droits. Une section sur les droits sans adresse de contact n’est que de la décoration. Mettez-y une boîte mail qui fonctionne, et répondez à ce qui y arrive.
Pour bâtir la structure à partir de ce que fait réellement votre site, le générateur de politique de confidentialité transforme les options que vous cochez en politique et en page de mentions sur les annonces, dans votre navigateur. Pour savoir où cette page se place parmi celles qu’un examinateur s’attend à trouver, lisez les pages indispensables à l’approbation AdSense.
Réponses rapides
Où placer la politique de confidentialité ?
À une adresse stable comme /confidentialite/, avec un lien dans le pied de chaque page et ouverte à l'indexation. Notre vérificateur AdSense contrôle que la page existe, qu'elle mentionne les cookies publicitaires et que Google a le droit de l'indexer.
Puis-je copier la politique d'un autre site en changeant le nom ?
Nous le déconseillons. Une politique copiée apporte sur votre site les sous-traitants, la juridiction et les engagements de quelqu'un d'autre, et le texte peut être protégé par le droit d'auteur. Servez-vous d'un modèle comme squelette, puis réécrivez chaque phrase pour qu'elle corresponde à ce que fait votre propre site.
