Le 25 mai marque l'anniversaire de l'entrée en application du Règlement général sur la protection des données, en 2018. Huit ans plus tard, beaucoup de sites de PME, de commerces et d'associations ne sont toujours pas en règle : bandeau cookies trompeur, formulaire de contact sans information, politique de confidentialité copiée d'un autre site… Pourtant, mettre en conformité le RGPD et votre site internet n'a rien d'insurmontable. Voici une check-list pratique pour faire le point.
Le RGPD en deux mots
Le RGPD encadre la collecte et l'utilisation des données personnelles, c'est-à-dire toute information permettant d'identifier directement ou indirectement une personne : nom, e-mail, téléphone, adresse IP, identifiant de cookie, etc.
Il repose sur quelques principes simples :
- ne collecter que les données nécessaires ;
- dans un but précis et légitime ;
- en informant clairement les personnes ;
- en protégeant les données ;
- en ne les conservant que le temps nécessaire ;
- en permettant aux personnes d'exercer leurs droits (accès, rectification, suppression, opposition).
Toutes les entreprises sont concernées, quelle que soit leur taille. En France, c'est la CNIL qui veille à son application.
1. Les mentions légales
Ce n'est pas le RGPD à proprement parler, mais c'est une obligation légale pour tout site professionnel. Elles doivent indiquer :
- l'identité de l'entreprise : raison sociale, forme juridique, adresse, numéro d'immatriculation, capital social le cas échéant ;
- les coordonnées de contact ;
- le nom du directeur de la publication ;
- les coordonnées de l'hébergeur du site.
Vérifiez que ces informations sont à jour, notamment après un déménagement ou un changement d'hébergeur.
2. La politique de confidentialité
C'est la page qui explique comment vous traitez les données personnelles. Elle doit être claire, compréhensible et propre à votre site. Elle précise :
- quelles données vous collectez (via les formulaires, les cookies, les commandes) ;
- pourquoi vous les collectez ;
- sur quelle base légale (consentement, contrat, obligation légale, intérêt légitime) ;
- qui y a accès (vous, vos prestataires) ;
- combien de temps vous les conservez ;
- si elles sont transférées hors de l'Union européenne ;
- comment exercer ses droits et qui contacter ;
- la possibilité de saisir la CNIL.
Une politique de confidentialité copiée d'un autre site ne correspond pas à vos traitements réels. Prenez le temps de l'adapter.
3. Les cookies et traceurs
C'est le sujet qui fait le plus parler, et sur lequel la CNIL a déjà sanctionné de nombreux sites.
Ce qui nécessite un consentement
Les cookies de mesure d'audience non exemptés (comme Google Analytics dans sa configuration standard), les pixels publicitaires (Meta, Google Ads), les boutons de partage des réseaux sociaux et les vidéos intégrées qui déposent des traceurs nécessitent l'accord préalable de l'internaute.
Ce qui n'en nécessite pas
Les cookies strictement nécessaires au fonctionnement du site (panier d'achat, connexion, mémorisation du choix de consentement) et certains outils de mesure d'audience configurés pour respecter les conditions d'exemption fixées par la CNIL.
Les règles du bandeau cookies
- Refuser doit être aussi simple qu'accepter : un bouton « Tout refuser » au même niveau que « Tout accepter ».
- Aucun cookie soumis au consentement ne doit être déposé avant le choix de l'utilisateur.
- Le choix doit pouvoir être modifié à tout moment (par un lien en pied de page, par exemple).
- La CNIL recommande de conserver le choix de l'internaute pendant 6 mois avant de lui reposer la question.
Une solution simple : limiter au maximum les traceurs. Moins vous en avez, plus votre bandeau est simple, et plus votre site est rapide.
4. Les formulaires
Formulaire de contact, demande de devis, inscription à la newsletter, réservation : chaque formulaire collecte des données.
- Ne demandez que l'essentiel : pour un formulaire de contact, un nom, un e-mail ou un téléphone et un message suffisent.
- Ajoutez une mention d'information sous le formulaire, avec un lien vers la politique de confidentialité.
- Pas de case pré-cochée pour l'inscription à une newsletter : le consentement doit être un acte positif.
- Sécurisez l'envoi : votre site doit être en HTTPS (le petit cadenas dans le navigateur).
5. La newsletter et la prospection
Pour envoyer des e-mails commerciaux à des particuliers, vous devez en principe avoir obtenu leur consentement préalable. Il existe une exception pour vos clients existants, si vous leur proposez des produits ou services analogues et qu'ils ont pu s'y opposer au moment de la collecte. Chaque e-mail doit contenir un lien de désinscription fonctionnel.
6. La sécurité et l'hébergement
Le RGPD impose de protéger les données que vous collectez :
- site en HTTPS ;
- CMS, thèmes et extensions à jour ;
- accès d'administration protégés par des mots de passe robustes et la double authentification ;
- sauvegardes régulières ;
- hébergement chez un prestataire fiable, idéalement en France ou dans l'Union européenne.
Pour aller plus loin sur ce dernier point, lisez notre article sur l'hébergement des données en France, ainsi que nos conseils sur les mots de passe en entreprise.
7. Le registre des traitements
Toute entreprise doit en principe tenir un registre listant ses traitements de données (gestion des clients, des salariés, du site, de la newsletter…). La CNIL propose un modèle simplifié pour les petites structures. C'est un document interne, qui vous aide surtout à y voir clair.
La check-list en résumé
- Mentions légales complètes et à jour
- Politique de confidentialité adaptée à votre site
- Bandeau cookies conforme, avec refus aussi simple que l'acceptation
- Aucun traceur avant consentement
- Formulaires limités à l'essentiel, avec mention d'information
- Pas de case pré-cochée
- Site en HTTPS, à jour et sauvegardé
- Hébergement connu et fiable
- Registre des traitements tenu
Questions fréquentes
Mon petit site vitrine est-il vraiment concerné ?
Oui, dès lors qu'il comporte un formulaire de contact, des outils de statistiques ou des contenus intégrés de réseaux sociaux. Les obligations sont proportionnées, mais elles existent.
Que risque-t-on en cas de non-conformité ?
La CNIL peut adresser des mises en demeure et prononcer des sanctions financières, qui peuvent atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros pour les manquements les plus graves. Pour les petites structures, une procédure simplifiée existe, avec des amendes plus limitées.
Faut-il un délégué à la protection des données ?
Ce n'est obligatoire que dans certains cas (organismes publics, traitements à grande échelle de données sensibles…). La plupart des TPE et PME n'en ont pas besoin, mais doivent désigner une personne référente en interne.
Un site conforme dès sa conception
Chez Milady, nous concevons des sites qui respectent le RGPD dès le départ : traceurs limités, bandeau conforme, formulaires sobres, hébergement maîtrisé. Si vous avez un doute sur votre site actuel, contactez-nous ou découvrez notre expertise sites web.
