Mentions légales, cookies, RGPD : ce que votre site doit afficher

Un site professionnel n’est pas qu’une vitrine, il est aussi soumis à des règles. Mentions légales, données personnelles, cookies, conditions de vente : beaucoup de petites entreprises ont un site incomplet, parce que personne ne leur en a parlé ou parce qu’un modèle trouvé en ligne ne correspond pas à leur situation. Je ne suis pas juriste et cet article ne remplace pas un conseil juridique, mais il donne le tour de ce qu’il faut prévoir.

Les mentions légales

La loi pour la confiance dans l’économie numérique oblige tout site professionnel à identifier son éditeur. L’information doit être accessible depuis chaque page, en général par un lien dans le pied de page. On y trouve, selon votre statut, votre nom ou votre dénomination sociale, votre adresse, un e-mail et un téléphone, votre numéro SIRET, votre numéro de TVA si vous y êtes assujetti, le nom du directeur de la publication et les coordonnées de l’hébergeur du site. Les professions réglementées ajoutent leur ordre ou autorité de rattachement et leur titre.

Un manque ou une erreur peut être sanctionné. Sur un site bien conçu, ces informations sont saisies une seule fois et reprises partout, pour ne pas devoir corriger dix pages le jour où l’adresse change.

La politique de confidentialité

Dès que le site collecte des données personnelles, ne serait-ce qu’un nom et un e-mail dans un formulaire de contact, le RGPD s’applique, quelle que soit la taille de l’entreprise. Il faut informer les personnes, dans un texte clair, de qui est responsable des données, lesquelles sont collectées et pourquoi, sur quelle base légale, pendant combien de temps, à qui elles sont transmises (hébergeur, outil d’e-mailing, prestataire de statistiques) et comment exercer leurs droits d’accès, de rectification, d’effacement ou d’opposition.

Le point qu’on oublie le plus souvent est la durée de conservation. Une demande de contact n’a pas à dormir indéfiniment dans votre boîte mail. Fixez-vous une durée raisonnable et appliquez-la vraiment.

Le formulaire de contact

Près du bouton d’envoi, une phrase doit dire pourquoi les données sont demandées et renvoyer vers la politique de confidentialité. Ne demandez que le nécessaire : un nom, une adresse e-mail, un message. Chaque champ en trop (société, téléphone obligatoire, date de naissance) est une donnée de plus à justifier et à protéger.

Cookies et bandeau de consentement

Les règles viennent de la directive ePrivacy et de la CNIL. Un cookie ou un traceur qui n’est pas strictement nécessaire au fonctionnement du site demande un consentement préalable. Cela couvre la publicité, les réseaux sociaux intégrés et la plupart des outils de statistiques, Google Analytics en tête.

Concrètement, le bandeau ne doit déposer aucun traceur soumis à consentement avant que l’internaute ait choisi. Le bouton « Refuser » doit être aussi visible et aussi simple à atteindre que « Accepter ». Le choix doit pouvoir être modifié à tout moment, par exemple avec un lien dans le pied de page. La CNIL recommande de redemander le consentement environ tous les six mois.

Un site qui n’utilise que des cookies techniques peut se passer de bandeau, mais doit le mentionner dans sa politique de confidentialité. Certaines mesures d’audience configurées très strictement sont aussi exemptées de consentement, j’en parle dans l’article sur la mesure d’audience pour une TPE. Le site de la CNIL publie ses recommandations à jour.

Les conditions générales de vente

Si vous vendez en ligne à distance, des conditions générales de vente sont obligatoires et doivent être acceptées avant le paiement. Elles couvrent les prix toutes taxes comprises, les délais, les moyens de paiement, le droit de rétractation de 14 jours quand il s’applique à un consommateur, les garanties légales et la médiation de la consommation. Un simple site vitrine n’a pas à les afficher, mais vos devis doivent y faire référence.

Les petits oublis qui coûtent

Les contenus du site (photos, textes, polices) doivent être libres de droits ou vous appartenir. Une carte, une vidéo ou un bouton de réseau social intégrés peuvent déposer des traceurs : on les charge de préférence après accord de l’internaute. Enfin, le RGPD vous demande de protéger les données, ce qui suppose un site en HTTPS, à jour et sauvegardé ; la checklist de maintenance détaille ces points.

Pour vérifier votre site en cinq minutes

Ouvrez-le comme un visiteur. Les mentions légales sont-elles complètes, avec le SIRET et l’hébergeur ? La politique de confidentialité décrit-elle ce que fait réellement le site ? Peut-on refuser les cookies aussi facilement que les accepter ? Des outils tiers se chargent-ils avant tout consentement ? Et si vous vendez en ligne, les CGV sont-elles acceptées avant le paiement ? Une seule réponse négative suffit à justifier une remise à plat.

Pour mes clients, ces pages et le réglage du bandeau font partie de la création du site vitrine. Pour faire le point sur le vôtre, écrivez-moi.