RGPD et cookies : les obligations d'un petit site professionnel

Un formulaire de contact, un outil de statistiques ou une vidéo intégrée suffisent pour que le RGPD s'applique à votre site internet. Pour un petit site professionnel, les obligations tiennent pourtant en quelques règles claires. Voici l'essentiel, sans jargon, avec les points à vérifier sur votre propre site.

Ce que le RGPD demande à un petit site

Le RGPD, ou Règlement général sur la protection des données, s'applique depuis 2018 à toute entreprise qui traite des données personnelles, quelle que soit sa taille. Une donnée personnelle est une information qui permet d'identifier une personne : nom, e-mail, téléphone, mais aussi adresse IP ou identifiant de cookie.

Sur un site vitrine, les données arrivent surtout par trois entrées : les cookies, les formulaires et les outils intégrés (réservation, carte, vidéo). Les principes restent simples : collecter le strict nécessaire, informer clairement et demander l'accord quand la loi l'exige.

Cookies : le consentement d'abord

Un cookie est un petit fichier déposé sur l'appareil du visiteur. Certains sont indispensables au fonctionnement du site, d'autres servent à mesurer l'audience, à afficher de la publicité ciblée ou à partager du contenu sur les réseaux sociaux. En France, la CNIL précise les règles qui les encadrent.

Ce qui peut se passer de consentement

Les cookies strictement nécessaires n'ont pas besoin d'accord : ceux qui mémorisent un panier, maintiennent une connexion, assurent la sécurité ou retiennent le choix du visiteur sur les cookies. Il reste recommandé d'en informer les visiteurs, par exemple dans votre politique de confidentialité.

Ce qui exige un accord préalable

Les cookies publicitaires, ceux des réseaux sociaux et la plupart des outils de statistiques ne peuvent être déposés qu'après le consentement du visiteur. Les contenus intégrés, comme une vidéo YouTube ou une carte Google Maps, peuvent aussi déposer des cookies : vérifiez-le avant de les ajouter.

La CNIL demande que refuser soit aussi simple qu'accepter. En pratique, cela suppose un bouton « Tout refuser » aussi visible que « Tout accepter », et aucun cookie soumis au consentement ne doit être déposé avant le choix. Le visiteur doit aussi pouvoir changer d'avis à tout moment, par exemple grâce à un lien en pied de page.

Mesure d'audience : une exemption possible

Savoir combien de personnes visitent votre site et quelles pages elles consultent est utile. La CNIL admet que certains outils de mesure d'audience soient dispensés de consentement, à des conditions précises.

• Les données servent uniquement à produire des statistiques anonymes pour votre propre site.
• Elles ne sont ni croisées avec d'autres traitements ni transmises à des tiers pour leur propre usage.
• Elles ne permettent pas de suivre la personne sur d'autres sites.
• La durée de vie des cookies et la durée de conservation des données sont limitées.
• Les visiteurs en sont informés et peuvent s'y opposer.

Certains outils peuvent être configurés pour respecter ces conditions, et la CNIL en publie une liste sur son site. Beaucoup d'outils courants, dans leur configuration par défaut, ne remplissent pas ces critères : il faut alors passer par le bandeau de consentement.

Formulaires : ne demander que l'utile

Un formulaire de contact ou de demande de devis collecte des données personnelles. Le principe de minimisation, qui consiste à ne collecter que ce qui est nécessaire, s'y applique directement.

• Limitez les champs obligatoires : un nom, un moyen de contact et un message suffisent souvent. Une date de naissance n'a rien à faire dans un formulaire de contact.
• Ajoutez une courte mention d'information sous le formulaire : l'usage des données, leur durée de conservation et un lien vers la politique de confidentialité.
• Séparez la newsletter : pour envoyer des offres, prévoyez une case à cocher distincte, non cochée par défaut.
• Pensez aux outils tiers : si votre formulaire passe par un service comme Formspree ou par un module de réservation, ce prestataire reçoit les données et doit figurer dans votre information.
• Faites le tri : supprimez les anciennes demandes sans suite, selon la durée que vous avez annoncée.

Pour concevoir le formulaire lui-même, l'article sur la demande de devis en ligne donne des exemples de champs utiles. Pour gérer une liste d'abonnés dans les règles, consultez aussi les conseils sur la newsletter d'un commerce de proximité.

La politique de confidentialité

Cette page explique aux visiteurs ce que vous faites de leurs données. Elle complète les mentions légales, qui identifient l'éditeur du site et son hébergeur, et dont le contenu est détaillé dans le guide des mentions légales d'un auto-entrepreneur.

Rédigez-la en langage simple, sans recopier un modèle juridique illisible. Elle doit au minimum préciser les éléments ci-dessous.

• qui est responsable des données et comment le contacter ;
• quelles données sont collectées, pourquoi, et sur quelle base (consentement, demande du client, obligation légale) ;
• qui les reçoit, y compris vos prestataires techniques ;
• combien de temps elles sont conservées ;
• les droits des personnes (accès, rectification, effacement, opposition), la façon de les exercer et la possibilité de saisir la CNIL ;
• les cookies utilisés et le moyen de modifier son choix.

Le site de la CNIL, cnil.fr, propose des fiches pratiques adaptées aux petites structures, ainsi que la liste des outils de mesure d'audience pouvant être exemptés. Si vous faites créer un nouveau site, vérifiez que ces éléments sont prévus dès le devis ; chez nous, HTTPS, bandeau cookies et mentions légales font partie de chaque site, et le configurateur de devis donne le montant exact de votre projet.

Vos vérifications en quatre étapes

1. Vérifiez que votre bandeau propose un bouton « Tout refuser » aussi visible que « Tout accepter ».
2. Faites la liste des outils intégrés à votre site (statistiques, vidéos, cartes, réservation, formulaires) et des données qu'ils recueillent.
3. Allégez vos formulaires et ajoutez la mention d'information.
4. Mettez à jour votre politique de confidentialité en vous aidant des ressources de cnil.fr.