RGPD et site internet : la checklist pour être en règle

Pour un site d’entreprise classique, la conformité tient en quatre éléments : des mentions légales complètes, une politique de confidentialité, un bandeau de consentement où refuser est aussi simple qu’accepter, et des formulaires avec une case de consentement non pré-cochée. Le reste dépend de ce que vous collectez réellement. Ce n’est pas un chantier de plusieurs semaines : sur un site vitrine, c’est une journée de travail.

Ce qui vous concerne vraiment

Le règlement s’applique dès que vous traitez des données personnelles, et la définition est large : un nom, une adresse e-mail, un numéro de téléphone, mais aussi une adresse IP.

Autrement dit, si votre site a un formulaire de contact ou un outil de statistiques, vous êtes concerné. Y compris en tant qu’indépendant, et y compris avec trois visiteurs par jour.

Ce qui change selon la taille, ce n’est pas l’obligation, c’est le niveau de formalisme. Une TPE avec un formulaire de contact n’a pas les mêmes contraintes qu’une plateforme qui traite des données de santé. La proportionnalité est explicitement prévue.

Les mentions légales, obligation distincte

On les confond souvent avec la politique de confidentialité. Ce sont deux textes différents, et les mentions légales relèvent d’une autre loi, antérieure au règlement.

Elles doivent contenir votre identité complète : nom et prénom pour un entrepreneur individuel, dénomination et forme juridique pour une société, adresse, numéro SIRET, et le nom du directeur de la publication. Ajoutez les coordonnées de votre hébergeur, raison sociale et adresse comprises.

Un site professionnel dont le pied de page ne contient que « tous droits réservés » est en infraction, et c’est un signal de fiabilité négatif que vos visiteurs comme Google savent lire.

La politique de confidentialité

C’est le document qui explique ce que vous faites des données. Il doit répondre à six questions, dans un langage compréhensible.

Quelles données vous collectez, et par quel moyen. Pourquoi, c’est-à-dire la finalité. Sur quelle base légale : consentement, contrat, obligation légale ou intérêt légitime. Combien de temps vous les conservez. À qui vous les transmettez, en nommant vos prestataires. Et comment la personne exerce ses droits.

Évitez les modèles génériques recopiés sans adaptation. Un document qui mentionne des outils que vous n’utilisez pas est pire que rien : il prouve que personne n’a réfléchi au sujet.

Le bandeau de cookies, là où presque tout le monde se trompe

Trois règles, et la troisième est celle qu’on néglige.

Aucun cookie non essentiel ne doit être déposé avant le consentement. Beaucoup de bandeaux affichent la demande alors que les traceurs sont déjà en place : le bandeau ne sert alors à rien.

Refuser doit être aussi simple qu’accepter. Un bouton « Tout accepter » bien visible face à un lien « Gérer mes préférences » en petit n’est pas conforme. Il faut un bouton de refus au même niveau.

Et le consentement doit pouvoir être retiré à tout moment, aussi facilement qu’il a été donné. En pratique, un lien permanent en pied de page qui rouvre le module de gestion.

Les cookies strictement nécessaires au fonctionnement, eux, ne demandent pas d’accord. La mémorisation de votre choix de cookies en fait partie.

Vos formulaires

C’est le point le plus simple à corriger et le plus souvent négligé.

Une case de consentement, jamais pré-cochée, avec un texte explicite et un lien vers la politique de confidentialité. Ne demandez que les champs dont vous avez réellement besoin : collecter une date de naissance sur un formulaire de contact est difficile à justifier.

Vérifiez aussi où atterrissent les messages. Beaucoup d’extensions de formulaire enregistrent une copie en base de données, indéfiniment. Si vous n’en avez pas besoin, désactivez l’enregistrement ; sinon, prévoyez une purge périodique.

Enfin, une case de consentement pour la newsletter doit être distincte de celle du contact. Un consentement groupé n’est pas valable.

La mesure d’audience

Le sujet a beaucoup bougé ces dernières années, et il mérite une décision consciente.

Un outil de statistiques classique dépose des traceurs et transfère souvent les données hors d’Europe : il exige donc le consentement, et vous perdez la moitié de vos mesures puisque beaucoup de visiteurs refusent.

Il existe une alternative : les outils de mesure sans cookie, qui n’identifient pas les visiteurs. Correctement configurés, certains sont exemptés de consentement, ce qui vous donne des statistiques complètes et un bandeau plus léger. C’est le choix que je recommande sur la plupart des sites vitrines.

Le registre des traitements

Cela sonne administratif, et c’est plus simple qu’il n’y paraît. C’est un tableau qui liste ce que vous faites des données personnelles.

Une ligne par traitement : formulaire de contact, newsletter, comptes clients, facturation. Pour chacune, la finalité, les données concernées, la durée de conservation et les destinataires.

Pour un site vitrine, ce document tient sur une page et se remplit en une heure. Il est obligatoire, et c’est la première chose demandée en cas de contrôle. Le fait de l’avoir compte autant que son contenu.

En cas de fuite de données

Le point qui coûte le plus cher quand on l’ignore, et qui arrive plus souvent qu’on ne le croit : un site piraté qui contenait un fichier clients.

Vous avez 72 heures pour notifier la CNIL, à compter du moment où vous avez connaissance de l’incident. Et si le risque pour les personnes est élevé, vous devez les informer directement.

C’est pour cette raison que la question des données fait partie du diagnostic quand je nettoie un site compromis : il faut déterminer ce qui a réellement été exposé, et le dire clairement.

Les durées de conservation

C’est l’obligation la plus souvent oubliée, et la plus facile à respecter : on ne garde pas les données indéfiniment.

Des repères usuels. Un message de formulaire de contact : trois ans après le dernier échange. Un prospect qui n’a pas donné suite : trois ans. Un client : la durée de la relation commerciale, puis les délais comptables et fiscaux pour les factures. Un abonné newsletter : jusqu’à son désabonnement, avec une relance de consentement au bout de trois ans d’inactivité.

Le point important, c’est que la durée soit écrite et appliquée. Une politique qui annonce trois ans alors que votre boîte mail contient dix ans de demandes n’est pas conforme.

Les sous-traitants

Dès que vous confiez des données à un prestataire, il devient sous-traitant au sens du règlement, et vous devez pouvoir le nommer.

Concrètement : votre hébergeur, votre service d’envoi d’e-mails, votre outil de statistiques, votre solution de paiement, et votre prestataire technique si comme moi il a un accès administrateur. Chacun doit apparaître dans votre politique de confidentialité.

Vérifiez surtout où les données sont stockées. Un hébergement européen simplifie beaucoup de choses ; un service américain suppose des garanties supplémentaires que vous devez pouvoir justifier.

La checklist en dix points

Mentions légales complètes avec SIRET et hébergeur. Politique de confidentialité adaptée à vos outils réels. Politique de cookies listant ce que vous déposez. Bandeau conforme, avec refus au même niveau que l’acceptation. Aucun dépôt avant consentement. Retrait du consentement accessible en permanence. Cases de consentement non pré-cochées et distinctes. Durées de conservation définies et appliquées. Registre des traitements rempli. Et site en HTTPS, ce qui est aujourd’hui la base.

Ces dix points sont intégrés d’emblée aux sites que je livre, parce que les rattraper après coup coûte toujours plus de temps. Le détail est sur la page création de site vitrine.