Rédiger une politique de confidentialité avec l'IA

Une politique de confidentialité explique aux personnes ce que vous faites de leurs données : qui les traite, pourquoi, sur quelle base légale, avec qui elles sont partagées, combien de temps elles sont gardées, et comment exercer leurs droits. Un assistant d'IA aide à la rédiger en langage clair à partir de vos informations, et à vérifier qu'aucune rubrique demandée par la CNIL ne manque. Il ne connaît pas vos traitements : si vous ne les lui décrivez pas, il en inventera de plausibles, et il peut se tromper sur une base légale ou une rubrique. Faites relire le texte par votre délégué à la protection des données (DPO) si vous en avez un, ou par un avocat ou un juriste.

Les informations à donner, selon la CNIL

La page de la CNIL sur l'information des personnes distingue ce qui est à donner dans tous les cas et ce qui dépend de la situation.

Dans tous les cas :

• l'identité et les coordonnées du responsable du traitement ;
• les finalités, c'est-à-dire à quoi servent les données ;
• la base légale (consentement, contrat, obligation légale…) ;
• le caractère obligatoire ou facultatif des données demandées et les conséquences d'un refus ;
• les destinataires ou catégories de destinataires, sous-traitants compris ;
• la durée de conservation, ou les critères pour la fixer ;
• les droits des personnes (accès, rectification, effacement, limitation) ;
• les coordonnées du DPO ou d'un point de contact ;
• le droit d'introduire une réclamation auprès de la CNIL.

Selon les cas : les intérêts légitimes poursuivis, les transferts hors de l'Union européenne et leurs garanties, l'existence d'une décision automatisée ou d'un profilage, le droit de retirer son consentement, les droits d'opposition et de portabilité. Si les données ne viennent pas de la personne elle-même, il faut ajouter les catégories de données et leur source.

La CNIL demande une information concise, en langage simple, organisée par niveaux (l'essentiel d'abord, le détail ensuite) et facile à trouver. La fiche d'Entreprendre Service Public sur les mentions d'un site (vérifiée le 13/10/2026) ajoute qu'elle doit être distincte des CGV et des CGU, avec un lien visible sur chaque page.

Étape 1 : décrire vos traitements

Partez de votre registre des traitements si vous l'avez. Sinon, commencez par lui : voyez préparer le registre des traitements.

Je vais te décrire les traitements de données personnelles de mon entreprise. Pose-moi les questions nécessaires, une rubrique à la fois, pour remplir pour chaque traitement : finalité, catégories de personnes, données collectées, base légale, destinataires (dont prestataires informatiques), durée de conservation, transferts hors Union européenne.
Mon activité : [décrire]. Les canaux par lesquels je collecte des données : [site, formulaire de contact, boutique, téléphone, salons…].
Ne propose aucune réponse à ma place : si je ne sais pas, note « à vérifier ».

Étape 2 : rédiger la politique

Tu es un rédacteur qui écrit pour le grand public. À partir des traitements ci-dessus, rédige la politique de confidentialité de mon entreprise.

Structure :
1. Un résumé de dix lignes au plus : qui nous sommes, ce que nous collectons, pourquoi, vos droits, comment nous contacter.
2. Le détail, un paragraphe par traitement, avec toutes les rubriques demandées par la CNIL (liste ci-dessous).
3. Vos droits et comment les exercer, avec l'adresse de contact et le droit de saisir la CNIL.

Liste CNIL : [coller la liste de cette page]

Contraintes : phrases courtes, aucun jargon (« nous utilisons votre adresse pour vous envoyer votre facture » plutôt que « finalité de gestion de la relation contractuelle »). N'ajoute aucun traitement, destinataire ni durée que je ne t'ai pas donnés. Laisse [à compléter] pour ce qui manque.

À vérifier dans la réponse :

• Chaque traitement décrit existe vraiment chez vous, et aucun n'est oublié (formulaire de contact, lettre d'information, vidéosurveillance, recrutement…).
• Les durées de conservation sont les vôtres. Un assistant propose volontiers des durées « habituelles » : ne les reprenez que si elles correspondent à votre pratique et ont été validées.
• Les prestataires listés (hébergeur, outil d'emailing, logiciel de facturation) sont bien les vôtres.

Mettre à jour une politique existante

Voici ma politique de confidentialité actuelle : [coller].
Voici ce qui a changé : [nouvel outil, nouvelle finalité, nouveau prestataire, nouveau formulaire].
Indique les paragraphes à modifier, propose la nouvelle rédaction, et liste les rubriques CNIL absentes de la version actuelle.
Présente les modifications sous forme « avant / après ».

Gardez la date de mise à jour en haut du texte et archivez l'ancienne version.

Ce que vous décrivez à l'assistant

Pour rédiger une politique de confidentialité, l'assistant a besoin de la description de vos traitements, jamais des données elles-mêmes. N'y collez ni extrait de fichier client, ni export de formulaire, ni liste de salariés : « des clients particuliers, leur nom, adresse et téléphone » suffit pour écrire la phrase juste.