Site internet conforme au RGPD : la checklist pour TPE

Un site vitrine collecte presque toujours des données personnelles, ne serait-ce que par son formulaire de contact. Il doit donc respecter le RGPD et les règles françaises sur les cookies et les mentions légales. Bonne nouvelle : pour un site vitrine, la mise en conformité tient en quelques points précis. Voici la liste à vérifier.

Cet article est un guide pratique, pas un conseil juridique. Pour les textes de référence, consultez le site de la CNIL.

Pourquoi un site vitrine est-il concerné par le RGPD ?

Le Règlement général sur la protection des données s'applique dès que vous traitez des données permettant d'identifier une personne : un nom, une adresse e-mail, un numéro de téléphone, une adresse IP. Un formulaire de contact, un outil de mesure d'audience ou un service intégré (carte, vidéo, réseaux sociaux) suffisent pour que votre site soit concerné, quelle que soit la taille de votre entreprise.

En cas de manquement, le RGPD prévoit des sanctions qui peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Dans les faits, pour une petite entreprise, le premier risque est surtout une mise en demeure ou une perte de confiance de vos clients.

1. Des mentions légales complètes

Les mentions légales relèvent de la loi pour la confiance dans l'économie numérique (LCEN), et non du RGPD, mais elles vont de pair. Pour une société, elles indiquent notamment :

• la raison sociale, la forme juridique, le capital et l'adresse du siège ;
• le numéro d'immatriculation et, le cas échéant, le numéro de TVA intracommunautaire ;
• un numéro de téléphone et une adresse e-mail ;
• le nom du directeur de la publication ;
• le nom, l'adresse et le téléphone de l'hébergeur.

Elles doivent être accessibles depuis toutes les pages, en général par un lien dans le pied de page.

2. Une politique de confidentialité claire

Elle explique aux visiteurs ce que vous faites de leurs données : quelles données sont collectées, pourquoi, sur quelle base légale, qui y a accès, combien de temps elles sont conservées, et comment exercer leurs droits (accès, rectification, effacement, opposition). Elle mentionne aussi la possibilité de saisir la CNIL.

Elle doit correspondre à la réalité de votre site : une politique copiée d'un autre site, qui parle d'outils que vous n'utilisez pas, ne vous protège pas.

3. Un formulaire de contact sobre

Le principe de minimisation impose de ne demander que les données utiles. Pour une demande de devis, un nom, un moyen de contact et un message suffisent souvent ; le téléphone et le budget peuvent rester facultatifs. Ajoutez sous le formulaire une phrase qui rappelle l'usage des données et renvoie vers la politique de confidentialité.

Fixez aussi une durée de conservation : la CNIL considère par exemple qu'une durée de trois ans à compter du dernier contact est raisonnable pour des prospects.

4. Des cookies avec consentement

Les cookies de mesure d'audience, de publicité ou de réseaux sociaux ne peuvent être déposés qu'après l'accord du visiteur. Selon les recommandations de la CNIL, le bandeau doit permettre de refuser aussi facilement que d'accepter, sans case pré-cochée, et le choix doit pouvoir être modifié à tout moment, par exemple avec un lien « Gérer les cookies » en bas de page.

Certains outils de mesure d'audience peuvent être exemptés de consentement s'ils sont configurés selon les conditions fixées par la CNIL. Google Analytics, lui, nécessite le consentement.

Attention aussi aux contenus intégrés : une vidéo, une carte ou un widget de réseau social chargés directement peuvent déposer des cookies sans que vous le sachiez. La solution consiste à ne les charger qu'au clic du visiteur.

5. Sécurité et prestataires

• HTTPS sur toutes les pages, pour chiffrer les échanges, notamment les envois de formulaire.
• Des prestataires identifiés : hébergeur, outil d'envoi d'e-mails, outil de mesure. Ils traitent des données pour votre compte et doivent présenter des garanties.
• Les transferts hors Union européenne doivent être signalés dans la politique de confidentialité, par exemple pour les services de Google.
• Un registre des traitements : le RGPD prévoit de recenser les traitements de données de l'entreprise ; la CNIL met à disposition un modèle simplifié pour les petites structures.

La checklist de conformité de votre site vitrine

• Mentions légales complètes et accessibles depuis chaque page.
• Politique de confidentialité fidèle à ce que fait réellement le site.
• Formulaire limité aux données utiles, avec une mention d'information.
• Aucun cookie non exempté avant consentement, refus aussi simple qu'acceptation.
• Lien permanent pour modifier ses choix de cookies.
• Site entièrement en HTTPS.
• Prestataires et transferts de données identifiés.

Les erreurs fréquentes sur les sites vitrines

Beaucoup de sites vitrines déposent des traceurs ou transmettent des données sans que leur propriétaire le sache. Les cas les plus courants :

• Des polices chargées depuis un service extérieur : chaque visite transmet l'adresse IP du visiteur à ce service. Héberger les polices sur votre propre serveur évite ce transfert.
• Une carte ou une vidéo intégrée chargée dès l'ouverture de la page, qui dépose des cookies avant tout consentement.
• Un outil de mesure lancé avant l'accord du visiteur, parfois malgré la présence d'un bandeau.
• Une case d'inscription à la newsletter pré-cochée dans le formulaire de contact.
• Un bandeau sans bouton « Refuser » visible au même niveau que « Accepter ».
• Une politique de confidentialité générique qui ne correspond pas au site.

Le plus simple reste de limiter les services extérieurs : moins de traceurs, c'est un site plus léger et une conformité plus facile.

Et si votre site utilise Google Analytics ?

Google Analytics n'est pas interdit, mais il impose quelques précautions :

• il ne doit se charger qu'après l'accord du visiteur, donné via le bandeau ;
• la politique de confidentialité doit le mentionner, avec sa finalité, la durée de conservation des cookies et le transfert de données vers les États-Unis ;
• le visiteur doit pouvoir retirer son accord à tout moment.

Une partie des visiteurs refusera les cookies : vos statistiques ne seront donc pas exhaustives. Si vous voulez surtout un suivi simple de la fréquentation, un outil de mesure configuré pour être exempté de consentement peut être une alternative.

Questions fréquentes

À retenir

• Un site vitrine est concerné par le RGPD dès qu'il a un formulaire ou un outil de mesure.
• Les priorités : mentions légales, politique de confidentialité, formulaire sobre, cookies avec consentement, HTTPS.
• Le moins de traceurs vous utilisez, le plus simple est la conformité.

Nos sites sont conçus avec un formulaire sobre, sans traceur par défaut. Découvrez notre création de site vitrine, ou lisez notre guide pour rédiger le cahier des charges de votre site.

Deux sujets voisins : l'accessibilité de votre site internet et le passage en HTTPS.