RGPD et site web : les obligations d'une TPE, sans jargon

Ce que tout site professionnel doit afficher

Tout site professionnel doit afficher des mentions légales : identité de l'entreprise (nom ou raison sociale, forme juridique, adresse, numéro SIREN), contact, directeur de la publication et coordonnées de l'hébergeur. C'est une obligation de la loi pour la confiance dans l'économie numérique, indépendante du RGPD.

Dès que le site collecte des données personnelles, même un simple e-mail dans un formulaire de contact, il doit aussi proposer une politique de confidentialité claire : quelles données sont collectées, pourquoi, combien de temps elles sont conservées, qui y a accès et comment exercer ses droits. Sur les sites que je livre, ces deux pages sont prévues dès le départ.

Le bandeau cookies : refuser doit être aussi simple qu'accepter

Un bandeau cookies n'est obligatoire que si le site dépose des traceurs qui nécessitent un consentement : publicité, réseaux sociaux intégrés, certains outils de statistiques. Les cookies strictement nécessaires au fonctionnement (panier, session, préférence de langue) n'en demandent pas.

Quand un bandeau est nécessaire, la CNIL est claire : refuser doit être aussi simple qu'accepter, avec un bouton « Tout refuser » au même niveau que « Tout accepter ». Aucun traceur soumis à consentement ne doit être déposé avant le choix de l'utilisateur. Les bandeaux qui cachent le refus derrière un lien discret sont précisément ceux que la CNIL sanctionne.

Mesurer l'audience sans bandeau, c'est possible

Beaucoup de TPE affichent un bandeau uniquement pour leurs statistiques de visite. Or certains outils de mesure d'audience peuvent être exemptés de consentement s'ils sont configurés selon les recommandations de la CNIL : usage strictement limité à la mesure d'audience du site, données anonymisées, pas de croisement avec d'autres traitements.

C'est le choix que je fais par défaut quand c'est possible : un outil de statistiques respectueux de la vie privée, correctement configuré, et pas de bandeau du tout. Le site est plus léger, plus rapide, et le visiteur n'est pas accueilli par une fenêtre qui masque la moitié de l'écran.

Le formulaire de contact : ne demander que l'utile

Le principe de minimisation s'applique aussi à un formulaire de contact : ne demandez que les informations nécessaires pour répondre. Un nom, un moyen de contact et un message suffisent souvent. La date de naissance ou l'adresse postale n'ont rien à faire dans un formulaire de demande de devis.

Ajoutez sous le formulaire une phrase courte qui explique l'usage des données et renvoie vers la politique de confidentialité. Et fixez une durée de conservation : pour des prospects, la CNIL recommande de ne pas conserver les données plus de trois ans après le dernier contact.

Cet article donne des repères pratiques, pas un avis juridique. Pour une activité qui traite des données sensibles (santé, données d'enfants) ou en grand volume, un accompagnement spécialisé reste indispensable.