Le sujet met tout le monde mal à l'aise, alors on fait au jugé : on copie le bandeau cookies du voisin, on colle des mentions légales trouvées en ligne, et on espère que ça suffit.
Résultat, je vois régulièrement l'inverse de ce qu'il faudrait : des sites qui affichent un bandeau de consentement dont ils n'ont aucun besoin, et qui oublient les informations qui, elles, sont réellement obligatoires.
Faisons le tri. C'est plus simple qu'il n'y paraît.
1. Les mentions légales : obligatoires, sans exception
C'est le seul point qui ne souffre aucune discussion. Tout site professionnel doit permettre d'identifier qui est derrière, c'est la LCEN, la loi pour la confiance dans l'économie numérique.
Concrètement, une page accessible depuis toutes les pages du site, qui indique :
- votre nom ou la raison sociale, et la forme juridique s'il s'agit d'une société ;
- l'adresse du siège ou de l'établissement ;
- un téléphone et une adresse e-mail ;
- le numéro d'inscription au RCS ou au répertoire des métiers, selon votre activité ;
- le capital social, pour une société ;
- le numéro de TVA intracommunautaire si vous y êtes assujetti ;
- le nom du directeur de la publication, en pratique, vous ;
- l'identité et les coordonnées de votre hébergeur.
Deux cas particuliers fréquents chez les artisans : si votre activité est réglementée (professions du bâtiment soumises à qualification, professions de santé, etc.), il faut mentionner l'ordre ou l'organisme professionnel et les règles qui s'y appliquent. Et si vous êtes soumis à l'obligation de garantie décennale, indiquez l'assureur et la couverture géographique du contrat.
La loi prévoit des sanctions pénales en cas d'absence. En pratique, le risque le plus courant reste plus prosaïque : un client mécontent qui ne trouve pas à qui s'adresser, et un défaut de sérieux qui se voit.
2. Le bandeau cookies : souvent inutile
C'est là que la plupart des sites se trompent, dans un sens comme dans l'autre.
La règle est simple : le consentement est requis pour les traceurs qui ne sont pas nécessaires au fonctionnement du site. Autrement dit, ce qui sert à mesurer, à cibler ou à suivre.
Un site vitrine qui ne dépose rien n'a besoin d'aucun bandeau. Des pages, des photos, un formulaire de contact : aucun consentement à demander. Afficher un bandeau dans ce cas ne protège de rien et fait perdre des visiteurs.
En revanche, il en faut un dès que vous ajoutez :
- Google Analytics, dans sa configuration habituelle ;
- un pixel publicitaire (Meta, LinkedIn, Google Ads) ;
- une carte Google Maps ou une vidéo YouTube intégrées directement dans la page ;
- un chat en ligne, un outil de test A/B, une carte de chaleur.
Deux points que beaucoup ignorent :
Refuser doit être aussi facile qu'accepter. Un bandeau avec un gros bouton « Tout accepter » et un lien minuscule « paramétrer » ne constitue pas un consentement valable. Il faut un « Tout refuser » de même niveau.
Rien ne doit se déclencher avant le choix. Un bandeau qui s'affiche pendant que le traceur est déjà chargé ne sert à rien. C'est l'erreur technique la plus répandue.
La mesure d'audience bénéficie d'une exemption, mais seulement dans une configuration restreinte : pas de croisement avec d'autres traitements, finalité limitée à la statistique, durée de conservation encadrée. La configuration par défaut de Google Analytics n'entre pas dans cette exemption.
S'il n'y a qu'une chose à retenir : le meilleur moyen de se passer de bandeau cookies, c'est de se passer de ce qui l'impose. Beaucoup de sites vitrines n'ont aucun besoin réel de mesure d'audience détaillée.
3. Le RGPD pour un simple formulaire de contact
Dès que votre site recueille un nom, un e-mail ou un téléphone, vous traitez des données personnelles. Cela n'a rien d'insurmontable pour un site vitrine.
Quatre obligations, en pratique :
Informer. À côté du formulaire, indiquez à quoi servent les données (vous recontacter), combien de temps vous les gardez, et que la personne peut demander à les consulter, les corriger ou les supprimer.
Ne collecter que le nécessaire. Pour rappeler quelqu'un, un nom, un moyen de contact et un message suffisent. La date de naissance ou l'adresse postale n'ont rien à faire dans un formulaire de devis.
Sécuriser. Le site doit être en HTTPS, c'est aujourd'hui gratuit et automatique chez tous les hébergeurs sérieux. Un formulaire sur une page non sécurisée fait circuler les données en clair.
Tenir un registre. Un simple tableau qui liste vos traitements (« formulaire de contact », « fichier clients », « newsletter ») avec leur finalité et leur durée de conservation. Une page suffit pour une petite entreprise.
Vous n'avez en revanche pas besoin d'un délégué à la protection des données : cette obligation ne vise pas les activités de ce type.
4. Ce qui n'est pas obligatoire
Pour finir de rassurer, trois choses qu'on croit souvent imposées et qui ne le sont pas pour un site vitrine classique :
- Des CGV. Elles sont obligatoires pour la vente en ligne. Un site qui présente une activité sans rien vendre directement n'en a pas besoin.
- Une politique de confidentialité de dix pages. L'information doit être claire et accessible, pas longue. Une page honnête vaut mieux qu'un document copié ailleurs.
- Un bandeau cookies, donc, si vous ne déposez aucun traceur.
En résumé
| Élément | Obligatoire ? |
|---|---|
| Page de mentions légales | Oui, toujours |
| HTTPS | Oui, en pratique |
| Information sur le formulaire de contact | Oui, dès qu'il existe |
| Registre des traitements | Oui, sous forme simple |
| Bandeau cookies | Seulement si vous déposez des traceurs |
| CGV | Seulement en cas de vente en ligne |
| Délégué à la protection des données | Non, dans la quasi-totalité des cas |
Ces règles évoluent et leur application dépend de votre situation exacte : cet article donne des repères, il ne remplace pas l'avis d'un professionnel du droit. Le site de la CNIL propose des fiches pratiques gratuites et à jour, écrites pour les petites structures.
Sur le plan technique, tout cela se met en place à la création du site, en une poignée d'heures, c'est beaucoup plus pénible à rattraper après coup. Si vous partez sur un nouveau site ou sur une refonte, c'est le moment de le prévoir.
