Cookies, RGPD, mentions légales : ce que doit contenir le site d’une petite entreprise

Un site professionnel doit dire qui le publie, ce qu’il fait des données de ses visiteurs et, le cas échéant, leur demander leur accord avant de déposer des traceurs. Ces obligations ne sont pas des formalités : elles protègent vos clients, et elles vous protègent. Voici l’essentiel, avec les textes. Cet article informe ; il ne remplace pas le conseil d’un juriste.

Les mentions légales

Depuis la loi SREN du 21 mai 2024, les mentions obligatoires figurent à l’article 1-1 de la LCEN (elles étaient auparavant à l’article 6). Pour une société, elles comprennent :

• la dénomination, le siège social et un numéro de téléphone ;
• le numéro d’inscription au registre du commerce et le capital social ;
• le directeur de la publication ;
• le nom, l’adresse et le téléphone de l’hébergeur.

Dès que le site présente une offre commerciale, l’article 19 de la LCEN ajoute notamment l’adresse électronique et le numéro de TVA intracommunautaire. Le code de commerce demande aussi d’indiquer la forme sociale et le capital (articles R123-237 et R123-238). Le manquement aux mentions de l’article 1-1 est puni d’un an d’emprisonnement et de 75 000 € d’amende pour une personne physique (article 1-2).

La politique de confidentialité

Quand vous collectez des données — un formulaire de contact suffit —, l’article 13 du RGPD impose d’informer la personne, au moment de la collecte, de :

• l’identité du responsable du traitement et le moyen de le contacter ;
• les finalités et la base légale du traitement ;
• les destinataires et les éventuels transferts hors de l’Union européenne ;
• la durée de conservation ;
• ses droits (accès, rectification, effacement, limitation, opposition, portabilité) et son droit de réclamation auprès de la CNIL.

L’information peut se faire en deux niveaux : l’essentiel près du formulaire, le détail dans la politique de confidentialité.

Les cookies et autres traceurs

L’article 82 de la loi Informatique et Libertés impose de recueillir le consentement avant de lire ou d’écrire une information sur l’appareil du visiteur, sauf si le traceur est strictement nécessaire au service demandé. La CNIL précise que le stockage local du navigateur (le localStorage) est un traceur comme un autre.

Quelques règles clés des lignes directrices et de la recommandation de la CNIL :

• refuser doit être aussi simple qu’accepter : les boutons « Tout accepter » et « Tout refuser » au même niveau et au même format ;
• l’absence de choix vaut refus ;
• conserver le choix (accord comme refus) six mois est une bonne pratique, à apprécier au cas par cas ;
• les finalités et les destinataires doivent être présentés avant le choix, et le retrait doit rester possible à tout moment.

Certains traceurs sont exemptés de consentement : ceux qui mémorisent le choix du visiteur, l’authentification, le panier, ou une mesure d’audience qui respecte quatre conditions — pour le seul compte de l’éditeur, avec des statistiques anonymes, sans suivi sur d’autres sites et sans transmission à des tiers.

Un site qui n’utilise aucun traceur soumis au consentement n’a pas de consentement à demander. La CNIL recommande néanmoins de le dire dans la politique de confidentialité.

C’est le choix que nous avons fait pour notre propre site : aucun cookie, rien d’enregistré dans le navigateur, aucun service tiers chargé pendant la visite. Il n’y a donc rien à accepter.

Le formulaire de contact

• Ne demandez que l’utile : un nom, une adresse e-mail, le besoin. Pas de donnée sensible.
• Dites ce qui se passe avant le bouton d’envoi : à qui va la demande, et combien de temps elle est gardée.
• Fixez une durée de conservation. Le référentiel de la CNIL retient trois ans après le dernier contact pour un prospect ; nous conservons les demandes reçues douze mois après le dernier échange.

Se protéger du spam sans pister les visiteurs

Les formulaires attirent les robots. Plusieurs protections ne collectent rien sur le visiteur :

• un champ piège, invisible pour un humain, que seuls les robots remplissent ;
• un délai minimal entre l’affichage de la page et l’envoi ;
• une limite du nombre d’envois par période.

Un CAPTCHA utilisé uniquement pour la sécurité ne demande pas de consentement selon la CNIL ; s’il sert aussi à autre chose, il en demande un. Les protections ci-dessus, recommandées notamment par l’OWASP, évitent la question. Notre formulaire combine les trois.

La liste de contrôle

1. Mentions légales complètes, hébergeur compris.
2. Politique de confidentialité à jour, liée depuis chaque formulaire.
3. Inventaire des traceurs : aucun, exemptés, ou soumis à consentement.
4. Si consentement : refus aussi simple que l’accord, choix modifiable à tout moment.
5. Formulaire minimal, information avant envoi, durée de conservation fixée.
6. Protection anti-spam sans pistage.