La conformité d’un site fait souvent peur aux dirigeants. Les termes sont techniques, les sanctions impressionnent, et chacun a entendu une histoire d’amende. Résultat : beaucoup préfèrent ne pas regarder.
Pourtant, pour un site vitrine de TPE, les points essentiels tiennent sur une page. Ils relèvent surtout du bon sens : dire qui vous êtes, demander l’accord avant de suivre les visiteurs, et ne garder que les données utiles.
Une précision importante avant de commencer : je suis formateur et je crée des sites, pas juriste. Cette leçon vous aide à comprendre et à repérer les manques. Pour un cas particulier, une activité réglementée ou une boutique en ligne, faites valider vos textes par un professionnel du droit, et appuyez-vous sur les fiches pratiques de la CNIL, très claires.
Les mentions légales : dire qui édite le site
Tout site professionnel doit permettre d’identifier son éditeur. On retrouve en général, sur une page « Mentions légales » accessible depuis le pied de page :
- la dénomination de l’entreprise, sa forme juridique, l’adresse de son siège et son numéro d’immatriculation ;
- un moyen de contact : téléphone et adresse e-mail ;
- le nom du directeur de la publication, souvent le dirigeant ;
- le nom, l’adresse et le contact de l’hébergeur du site ;
- selon l’activité, le numéro de TVA intracommunautaire, l’ordre professionnel, ou l’assurance obligatoire.
L’erreur que je rencontre le plus est une page restée au nom de l’ancien prestataire, avec un hébergeur qui n’est plus le bon depuis des années. Relisez la vôtre ligne par ligne : chaque information doit être exacte aujourd’hui.
Les cookies : demander avant de suivre
Un cookie est un petit fichier déposé dans le navigateur du visiteur. Certains sont indispensables au fonctionnement du site, comme le panier d’une boutique. D’autres servent à mesurer l’audience, à afficher des vidéos externes ou à faire de la publicité ciblée.
Le principe à retenir : les cookies non indispensables demandent l’accord préalable du visiteur. Votre bandeau doit donc :
- apparaître dès l’arrivée, avant tout dépôt de cookie de mesure ou de publicité ;
- permettre de refuser aussi simplement que d’accepter, avec des boutons de même niveau ;
- expliquer en quelques mots à quoi servent les cookies ;
- offrir un moyen de changer d’avis plus tard, par exemple un lien en pied de page.
Un test simple : ouvrez votre site en navigation privée, cliquez sur « Refuser », puis regardez si la vidéo YouTube ou la carte Google se chargent quand même. Si c’est le cas, des cookies tiers passent sans accord. Les bons outils de bandeau bloquent ces contenus et affichent à la place un message invitant à les activer.
Pensez aussi aux éléments intégrés qu’on oublie : la carte Google Maps sur la page contact, la vidéo de présentation, le pixel publicitaire ajouté un jour pour une campagne et jamais retiré.
Le RGPD au quotidien : vos formulaires
Le RGPD encadre toutes les données personnelles que vous collectez : nom, téléphone, e-mail, message. Sur un site vitrine, cela concerne surtout le formulaire de contact et l’inscription à une lettre d’information.
Trois réflexes couvrent l’essentiel :
- Minimiser. Ne demandez que ce qui sert à répondre. Une date de naissance n’a rien à faire dans un formulaire de devis de plomberie.
- Informer. Sous le formulaire, une phrase courte : « Vos informations servent uniquement à répondre à votre demande. Elles ne sont ni vendues ni transmises. Pour en savoir plus, consultez notre politique de confidentialité. »
- Ne pas forcer. L’inscription à la newsletter se fait par une case à cocher volontairement, jamais cochée d’avance, jamais imposée pour envoyer une demande.
Prenons un artisan menuisier près de Givors qui reçoit ses demandes par le site. Elles arrivent dans sa boîte mail et dans un tableur. Il doit savoir où elles sont stockées, qui y a accès, et les supprimer quand elles ne servent plus, par exemple quelques années après le dernier contact pour un prospect qui n’a jamais signé.
La politique de confidentialité : expliquer simplement
Cette page explique aux visiteurs ce que vous faites de leurs données. Elle n’a pas besoin d’être longue, mais elle doit répondre à des questions précises :
- quelles données sont collectées, et par quel moyen ;
- pourquoi vous les collectez ;
- combien de temps vous les gardez ;
- qui peut y accéder, y compris vos outils et prestataires ;
- comment la personne peut demander à les consulter, les corriger ou les supprimer.
Écrivez-la en français clair, avec vos vrais outils. Un modèle copié d’un autre site cite parfois des services que vous n’utilisez pas, ce qui est pire que pas de page du tout.
Les signaux d’alerte à corriger en priorité
- Pas de page de mentions légales, ou une page vide.
- Un bandeau sans bouton « Refuser », ou un bouton caché en petit texte gris.
- Un outil de mesure qui se déclenche avant tout choix du visiteur.
- Un formulaire qui inscrit d’office à la newsletter.
- Un site sans adresse sécurisée (le cadenas « https » absent), alors que des données y transitent.
Exercice : l’audit de conformité en trente minutes
Ouvrez votre site sur un ordinateur, en navigation privée, et notez ce que vous constatez :
- le lien vers les mentions légales est-il visible en pied de page, et chaque information est-elle exacte ?
- le bandeau apparaît-il dès l’arrivée, avec un refus aussi simple que l’acceptation ?
- après un refus, les vidéos et cartes externes restent-elles bloquées ?
- chaque champ du formulaire est-il vraiment nécessaire ?
- une phrase d’information figure-t-elle sous le bouton d’envoi ?
- la politique de confidentialité cite-t-elle vos outils réels ?
Chaque « non » devient une tâche, à corriger vous-même ou à confier à votre prestataire.
Les trois réflexes d’un site respectueux
Dire clairement qui édite le site, demander l’accord avant de suivre les visiteurs, et ne garder que les données utiles le temps nécessaire. Ce sont des règles de transparence qui inspirent aussi confiance à vos prospects. En cas de doute sur un point précis, la CNIL et un conseil juridique restent vos références.