Cookies et RGPD : ce qu'un site d'entreprise doit prévoir

Un site d'entreprise, même modeste, doit respecter quelques obligations légales : afficher des mentions légales, informer les visiteurs sur l'usage de leurs données dans une politique de confidentialité, recueillir leur consentement avant de déposer des cookies non essentiels, limiter les données collectées par les formulaires et permettre aux personnes d'exercer leurs droits. En France, la CNIL (Commission nationale de l'informatique et des libertés) publie des recommandations détaillées sur ces sujets. Cet article donne un panorama pratique de ce qu'il faut prévoir.

Cet article est fourni à titre informatif. Il ne remplace pas un conseil juridique adapté à votre situation. En cas de doute, référez-vous aux publications officielles de la CNIL ou consultez un professionnel du droit.

Les mentions légales : qui est derrière le site

Les mentions légales sont une page qui permet d'identifier l'éditeur du site, c'est-à-dire l'entreprise ou la personne qui le publie. Elles sont obligatoires pour un site professionnel, en application de la loi pour la confiance dans l'économie numérique, consultable sur Légifrance (nouvel onglet).

On y trouve généralement :

• La dénomination ou raison sociale, la forme juridique et l'adresse du siège.
• Le numéro d'immatriculation (registre du commerce et des sociétés ou registre national des entreprises, selon votre activité).
• Les coordonnées de contact : adresse e-mail et téléphone.
• Le nom du directeur ou responsable de la publication.
• Le nom, l'adresse et le téléphone de l'hébergeur du site.
• Le cas échéant, le numéro de TVA intracommunautaire et les informations propres aux professions réglementées.

La page doit être facilement accessible, en général par un lien dans le pied de page présent sur toutes les pages. Pour un site de vente en ligne, des conditions générales de vente s'ajoutent à ces mentions.

La politique de confidentialité : expliquer l'usage des données

Le RGPD (Règlement général sur la protection des données) est le texte européen qui encadre l'utilisation des données personnelles, c'est-à-dire toute information qui permet d'identifier une personne directement ou indirectement : nom, e-mail, numéro de téléphone, adresse IP, identifiant de cookie.

Dès que votre site collecte de telles données, par exemple via un formulaire de contact ou un outil de mesure, vous devez informer les personnes de manière claire et accessible. C'est le rôle de la politique de confidentialité. Elle précise notamment :

1. Qui est responsable du traitement des données, et comment le contacter.
2. Quelles données sont collectées, et par quels moyens.
3. Dans quels buts elles sont utilisées (on parle de « finalités ») : répondre à une demande, envoyer une lettre d'information, mesurer l'audience.
4. Sur quelle base légale repose chaque utilisation : consentement, exécution d'un contrat, intérêt légitime, obligation légale.
5. Qui reçoit les données : votre équipe, vos prestataires (hébergeur, outil d'e-mailing), d'éventuels partenaires.
6. Combien de temps elles sont conservées.
7. Si elles sont transférées hors de l'Union européenne, et avec quelles garanties.
8. Quels sont les droits des personnes et comment les exercer.

Évitez les modèles copiés sans adaptation : une politique de confidentialité doit décrire ce que fait réellement votre site.

Les cookies : le consentement préalable

Un cookie est un petit fichier déposé sur l'appareil du visiteur lorsqu'il consulte un site. Plus largement, la réglementation parle de « traceurs », ce qui inclut d'autres techniques comparables. Certains sont indispensables au fonctionnement du site, d'autres servent à mesurer l'audience, à personnaliser la publicité ou à intégrer des contenus de réseaux sociaux.

Ce qui nécessite un consentement

Le principe est le suivant : les traceurs non essentiels ne peuvent être déposés qu'après le consentement du visiteur. Cela concerne notamment les cookies publicitaires, les outils de suivi des réseaux sociaux et, dans la plupart des configurations, les outils de mesure d'audience.

Certains traceurs sont exemptés de consentement parce qu'ils sont strictement nécessaires : le panier d'achat, la connexion à un espace client, la mémorisation du choix exprimé dans le bandeau cookies, certains dispositifs de sécurité. Certains outils de mesure d'audience peuvent également être exemptés s'ils respectent des conditions strictes définies par la CNIL. En cas de doute, considérez qu'un consentement est nécessaire.

Refuser aussi facilement qu'accepter

La CNIL insiste sur un point : le visiteur doit pouvoir refuser aussi simplement qu'il accepte. Concrètement, ses recommandations sur les cookies et autres traceurs (nouvel onglet) conduisent aux pratiques suivantes :

• Un bouton pour refuser, aussi visible et accessible que le bouton pour accepter, dès le premier niveau du bandeau.
• Aucune case précochée et aucun consentement déduit du simple fait de continuer à naviguer.
• Une information claire sur les finalités des traceurs et sur les partenaires concernés.
• La possibilité de retirer son consentement à tout moment, aussi facilement qu'on l'a donné, par exemple grâce à un lien permanent en pied de page.
• Aucun dépôt de traceur non essentiel avant que le visiteur ait fait son choix.

Vérifier ce que fait vraiment votre site

Beaucoup de sites affichent un bandeau correct, mais déposent quand même des cookies avant le choix du visiteur, à cause d'un outil mal configuré ou d'un module ajouté plus tard. Il est utile de vérifier régulièrement, avec les outils de développement de votre navigateur ou avec l'aide de votre prestataire, quels traceurs sont réellement déposés. Si vous utilisez Google Analytics 4 ou Google Ads, Google propose un mode de consentement qui adapte le fonctionnement de ses balises selon le choix du visiteur ; sa mise en place est décrite dans l'aide officielle de Google. Pour le volet mesure, lisez aussi notre article sur la mesure des résultats web marketing.

Les formulaires : collecter le minimum

Les formulaires de contact, de devis ou d'inscription collectent des données personnelles. Le RGPD impose un principe de minimisation : ne collecter que les données nécessaires à l'objectif poursuivi.

Bonnes pratiques :

• Limitez les champs à l'essentiel, par exemple nom, moyen de contact et message pour une demande d'information.
• Distinguez clairement les champs obligatoires des champs facultatifs.
• Ajoutez près du bouton d'envoi une courte mention d'information, avec un lien vers la politique de confidentialité.
• Si vous souhaitez envoyer une lettre d'information ou des offres commerciales, demandez un accord distinct, par une case non précochée.
• Définissez une durée de conservation des demandes et supprimez celles qui ne sont plus utiles.
• Protégez les données reçues : boîte e-mail sécurisée, accès limité aux personnes concernées, mots de passe solides.

Un formulaire court est aussi plus agréable à remplir. Sur ce point, voir notre article pour transformer les visiteurs en demandes de contact.

Les droits des personnes

Les personnes dont vous traitez les données disposent de plusieurs droits. Vous devez leur permettre de les exercer simplement, et leur répondre dans les délais prévus par le RGPD.

• Le droit d'accès : savoir quelles données vous détenez sur elles et en obtenir une copie.
• Le droit de rectification : faire corriger des données inexactes.
• Le droit à l'effacement : demander la suppression de leurs données, dans certaines conditions.
• Le droit d'opposition : s'opposer à certains traitements, notamment à la prospection commerciale.
• Le droit à la limitation : demander le gel temporaire de l'utilisation de leurs données dans certains cas.
• Le droit à la portabilité : récupérer certaines données dans un format réutilisable.
• Le droit de retirer son consentement, lorsque le traitement repose sur celui-ci.

Indiquez dans votre politique de confidentialité une adresse ou un moyen de contact dédié, et rappelez la possibilité d'adresser une réclamation à la CNIL. En interne, prévoyez qui traite ces demandes et comment retrouver les données concernées.

Une checklist pour faire le point

1. Les mentions légales sont complètes, à jour et accessibles depuis toutes les pages.
2. La politique de confidentialité décrit les traitements réels du site.
3. Le bandeau cookies permet d'accepter, de refuser et de personnaliser, avec le même niveau de facilité.
4. Aucun traceur non essentiel n'est déposé avant le choix du visiteur.
5. Le choix peut être modifié à tout moment.
6. Les formulaires ne demandent que le nécessaire et renvoient vers la politique de confidentialité.
7. Les durées de conservation sont définies et appliquées.
8. Une procédure existe pour répondre aux demandes d'exercice des droits.
9. Les contrats avec vos prestataires qui traitent des données pour vous encadrent cette sous-traitance.

En résumé

• Tout site professionnel doit afficher des mentions légales identifiant l'éditeur et l'hébergeur.
• Une politique de confidentialité adaptée explique quelles données sont collectées, pourquoi et pour combien de temps.
• Les traceurs non essentiels exigent un consentement préalable, et refuser doit être aussi simple qu'accepter.
• Les formulaires doivent respecter la minimisation des données.
• Les personnes doivent pouvoir exercer facilement leurs droits.
• Les recommandations de la CNIL sont la référence à consulter, et cet article ne remplace pas un conseil juridique.

Vous souhaitez vérifier la configuration technique de votre bandeau cookies et de vos formulaires ? Découvrez notre service d'optimisation de site Internet ou contactez-nous.