Guide · Créer & refondre son site
RGPD, cookies et mentions légales : mettre en règle le site d'une TPE
RGPD sur le site internet d'une TPE : mentions légales, cookies, formulaire. Ce qu'il faut vraiment afficher, et ce dont vous n'avez pas besoin.
Trois obligations distinctes se cumulent sur le site d'une TPE : les mentions légales, qui identifient l'éditeur et l'hébergeur ; une information claire sur les données collectées par le formulaire de contact et leur durée de conservation ; et un bandeau cookies, obligatoire uniquement si le site dépose ou lit des traceurs non essentiels sur l'appareil du visiteur.
Le RGPD sur le site d’une TPE tient en trois obligations distinctes, que presque tout le monde confond en une seule : les mentions légales disent qui édite le site, la politique de confidentialité dit ce que deviennent les données du formulaire, le bandeau cookies demande une autorisation pour des traceurs que votre site n’a peut-être même pas. Une limite d’emblée : nous sommes développeurs, pas juristes. Chaque affirmation renvoie au texte qui la porte, pour que vous puissiez la vérifier ailleurs que chez nous.
Les trois documents à ne pas mélanger
Les mentions légales répondent à « qui parle ? » : elles identifient l’éditeur et son hébergeur. La politique de confidentialité répond à « que faites-vous de mes données ? » : finalité, durée, destinataires, droits. Le bandeau cookies répond à « puis-je écrire sur votre appareil ? », et n’existe que si des traceurs non essentiels sont en jeu.
Les mentions légales : qui édite le site, et chez qui il est rangé
C’est la plus simple des trois obligations, et la plus souvent bâclée : un visiteur doit pouvoir savoir à qui il a affaire et où le site est hébergé, sans enquêter.
Le texte a changé de place en 2024, et presque personne ne l’a suivi
Pendant vingt ans, les mentions légales reposaient sur l’article 6 de la loi pour la confiance dans l’économie numérique. Ce n’est plus le cas : depuis la loi du 21 mai 2024, l’identification de l’éditeur, du directeur de la publication et de l’hébergeur figure à l’article 1-1 de cette même loi, l’article 6 ne traitant plus que des intermédiaires techniques. Si un modèle trouvé en ligne vous annonce encore « conformément à l’article 6-III », il n’a pas été relu depuis deux ans, et c’est un bon indice sur le reste de son contenu.
- L'éditeur : pour une société, dénomination, siège, téléphone, capital et immatriculation. Pour une personne physique exerçant à titre professionnel, nom, prénoms, domicile et téléphone.
- L'immatriculation au registre du commerce et des sociétés, ou au registre national des entreprises pour les métiers et l'artisanat.
- Le directeur de la publication, et l'hébergeur : nom ou dénomination, adresse et téléphone.
Le bloc hébergeur, et le second texte que la vitrine oublie
Le bloc hébergeur est la ligne la plus oubliée, et la seule que vous ne pouvez pas deviner : demandez-la à votre prestataire. Si vous ignorez qui héberge votre site, notre guide pour choisir son hébergement explique ce qui se cache derrière ce nom.
Reste une chose que la plupart des modèles mélangent sans le dire : l’article 1-1 ne réclame ni adresse électronique, ni numéro de TVA, ni mention de votre profession. Ces informations viennent d’un autre texte, l’article 19 de la même loi, qui vise l’activité de commerce électronique et impose alors un accès facile, direct et permanent à l’adresse d’établissement, à l’adresse électronique, au téléphone, au numéro de TVA, et, pour une profession réglementée, aux règles applicables et à l’organisme d’inscription. Deux textes, deux périmètres.
Le bandeau cookies : la vraie question est de savoir si vous en avez besoin
La plupart des sites de TPE affichent une fenêtre de consentement par imitation, sans avoir vérifié ce qu’ils déposent.
Ce que dit l’article 82, et ce qu’il ne dit pas
L’article 82 de la loi Informatique et Libertés ne parle ni de bandeau, ni de cookies, ni de site web. Il vise une opération précise : accéder à des informations déjà stockées dans l’appareil du visiteur, ou y inscrire des informations. C’est elle qui exige une information claire et un consentement préalable. Le texte prévoit lui-même deux exceptions : les opérations ayant pour finalité exclusive de permettre ou faciliter la communication électronique, et celles strictement nécessaires à un service expressément demandé. Un panier qui reste rempli, une session qui reste ouverte : rien à faire accepter.
Trois conséquences. Si votre site n’écrit rien de non essentiel, il n’y a rien à faire consentir, donc pas de bandeau. Si sa seule écriture est une mesure d’audience, la CNIL en exempte les traceurs à conditions strictes : finalité limitée à votre site, pour votre compte exclusif, statistiques anonymes, aucun recoupement, aucune transmission à des tiers, aucun suivi d’un site à l’autre, treize mois pour le traceur et vingt-cinq mois pour les données. Enfin, un outil qui ne lit ni n’écrit rien sur l’appareil sort du champ de l’article 82 : il n’y a pas d’exemption à revendiquer, il n’y a pas d’opération. Les données qu’il traite restent soumises au RGPD.
Pourquoi ce site n’affiche pas de bandeau
Vous venez de lire quatre paragraphes sur le consentement, et vous n’avez rien eu à accepter en arrivant ici. Ce n’est pas un oubli, c’est le résultat de la démarche décrite plus haut.
Ce choix a un coût : nous mesurons moins finement qu’une plateforme publicitaire. Nous le préférons parce qu’il supprime un problème au lieu de l’administrer.
Le conseil Dixionline
Avant d’installer un gestionnaire de consentement, faites la liste de ce que votre site charge vraiment. Neuf fois sur dix, la fenêtre existe à cause de deux ou trois éléments dont vous pouvez vous passer : la carte interactive remplacée par une image cliquable qui ouvre l’itinéraire, la vidéo par une vignette qui ne charge le lecteur qu’au clic.
Quand il est bien nécessaire, quatre règles ne se négocient pas, et la FAQ de la CNIL les détaille : rien ne se dépose avant le choix du visiteur ; refuser doit être aussi facile qu’accepter, au même écran et au même niveau ; le retrait doit être aussi simple que l’accord ; et six mois de conservation des choix constituent une bonne pratique. Elles viennent des lignes directrices du 17 septembre 2020 : c’est la source à lire, pas un article de blog, le nôtre compris.
Le RGPD sur le site internet d’une TPE, c’est d’abord votre formulaire
Le reste du règlement, pour une entreprise de quelques personnes, se concentre sur un objet minuscule : le formulaire par lequel arrivent les demandes.
Quatre gestes qui mettent un formulaire au clair
Ne demandez que ce qui vous sert : le téléphone n’a pas sa place si vous répondez toujours par e-mail. Dites à quoi servent ces données au moment où vous les demandez, en une phrase lisible à côté du bouton, pas dans une page que personne n’ouvre. Séparez les consentements : une case pour le projet, une autre pour une lettre d’information, et aucune cochée d’avance, parce qu’une case pré-cochée n’est pas un choix. Rappelez enfin comment vous écrire pour accéder à ces données, les corriger ou les faire effacer.
Les deux informations que personne n’anticipe
La durée de conservation d’abord. Le RGPD ne donne aucun chiffre : il exige une durée déterminée, justifiée, et écrite. La CNIL publie des durées de référence dans son référentiel sur la gestion des activités commerciales, dont trois ans à compter du dernier contact pour un prospect. Ces référentiels ne sont pas contraignants : vous pouvez retenir autre chose, à condition de savoir pourquoi.
Les destinataires ensuite. Votre hébergeur, votre messagerie, votre outil de devis ou votre logiciel de suivi voient passer ces informations. Ce sont vos sous-traitants au sens du règlement, et la liste honnête de vos outils est le vrai contenu de votre politique de confidentialité.
Ne confondez pas ce chantier avec celui de la sécurité, traitée à part dans notre guide pour sécuriser un site WordPress. La sécurité protège votre site contre l’extérieur ; la conformité protège le visiteur contre vous.
La politique de confidentialité, le registre, et ce que la loi ne demande pas
Ce que votre page de confidentialité doit réellement contenir
Elle répond à des questions précises, dans un français ordinaire : quelles données vous collectez, pour quelle finalité, sur quelle base légale, combien de temps vous les gardez, qui d’autre les voit, et comment la personne exerce ses droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Une adresse pour vous écrire, un délai de réponse d’un mois, et la possibilité de saisir la CNIL. Deux écrans honnêtes valent mieux qu’un document recopié.
Le registre, le DPO, et l’allègement qui ne s’applique presque jamais
Le registre recense ce que vous faites des données personnelles, une fiche par traitement : clients, fournisseurs, paie, demandes reçues par le site. L’article 30 du RGPD prévoit un allègement sous 250 salariés, mais il ne couvre que les traitements occasionnels, ce que votre fichier clients n’est pas. La CNIL met à disposition un modèle de registre pour les petites structures.
Quant au délégué à la protection des données, sa désignation n’est obligatoire que dans trois cas : organisme public, suivi régulier et systématique de personnes à grande échelle, traitement à grande échelle de données sensibles ou d’infractions. Une TPE qui reçoit des demandes par formulaire n’entre dans aucun des trois.
Comment savoir ce que mon site dépose réellement sur l'appareil du visiteur ?
Ouvrez votre site en navigation privée, puis les outils de développement de votre navigateur, généralement avec la touche F12. L’onglet « Application » ou « Stockage » liste ce qui a été écrit sur l’appareil, l’onglet « Réseau » liste les domaines appelés. Un domaine que vous ne reconnaissez pas est presque toujours une vidéo, une carte ou un outil de mesure ajouté un jour et jamais retiré.
Un générateur de mentions légales suffit-il ?
Il vous emmène assez loin, et nous en utilisons. Vérifiez trois choses derrière lui : qu’il cite le texte en vigueur et non l’ancien article 6, qu’il vous a demandé les coordonnées de votre hébergeur, et qu’il distingue le site vitrine de la vente en ligne. Un générateur qui produit la même page pour un menuisier et pour une boutique n’a pas posé les bonnes questions.
Que répondre à quelqu'un qui demande la suppression de ses données ?
Répondez, et dans le mois. Cherchez son adresse dans votre messagerie, votre outil de devis et votre fichier clients, supprimez ce qui peut l’être, et expliquez ce que vous conservez et pourquoi, par exemple une facture soumise à une obligation comptable. Une réponse motivée, même partielle, vaut mieux qu’un silence.
Vos textes arrivent avec le site, pas après
Tout ce qui précède se fait sans nous, et une TPE méthodique s’en sort en une journée. Sur chaque site que nous livrons depuis Vendargues, ces documents font partie du chantier et non d’une option à cocher après coup : mentions légales renseignées avec vos vraies informations et les nôtres comme hébergeur, page de confidentialité qui nomme les outils réellement utilisés, formulaire dont la case de consentement pointe vers cette page, et un bandeau uniquement si le site en a l’usage. C’est l’une des étapes de notre guide de la création d’un site pour une PME.
Un doute sur ce que votre site affiche aujourd'hui ?
Donnez-nous l'adresse de votre site : nous regardons vos mentions légales, ce que votre formulaire collecte et ce que vos pages chargent, et nous vous disons ce qui manque.
Questions fréquentes
Les mentions légales sont-elles obligatoires pour un simple site vitrine ?
Oui. Depuis la loi du 21 mai 2024, l'obligation d'identification figure à l'article 1-1 de la loi pour la confiance dans l'économie numérique, et elle vise tout éditeur professionnel, quel que soit le nombre de pages. Une société y indique sa dénomination, son siège, son téléphone, son numéro d'immatriculation, son capital, le nom du directeur de la publication, ainsi que le nom, l'adresse et le téléphone de son hébergeur. Un site de trois pages n'y coupe pas.
Faut-il un bandeau cookies si le site n'a ni publicité ni statistiques ?
Non. L'article 82 de la loi Informatique et Libertés soumet au consentement les opérations de lecture ou d'écriture dans l'appareil du visiteur. Un site vitrine sans outil de mesure, sans pixel publicitaire, sans vidéo ni carte chargée depuis un service tiers n'écrit rien qui appelle un consentement, donc il n'a rien à faire accepter. Vérifiez ce que votre site charge réellement avant d'installer une fenêtre dont vous n'avez pas l'usage.
Une mesure d'audience oblige-t-elle toujours à poser un bandeau ?
Non, et c'est la nuance la plus mal connue du sujet. La CNIL exempte de consentement les traceurs de mesure d'audience à conditions strictes : finalité limitée à la mesure du site, pour le compte exclusif de l'éditeur, statistiques anonymes, aucun recoupement avec d'autres traitements, aucune transmission à des tiers, aucun suivi de la personne d'un site à l'autre. Elle recommande alors treize mois pour le traceur et vingt-cinq mois pour les données. Un outil qui ne lit ni n'écrit rien sur l'appareil sort même du champ de l'article 82, mais les données qu'il traite restent soumises au RGPD.
Un artisan en entreprise individuelle doit-il écrire la même chose qu'une société ?
Les informations changent, l'obligation non. Une personne physique éditant à titre professionnel indique ses nom et prénoms, son domicile et son téléphone, ainsi que son numéro d'immatriculation au registre du commerce et des sociétés ou au registre national des entreprises, qui a remplacé le répertoire des métiers début 2023. La dénomination, le capital et le siège social sont propres aux personnes morales et ne la concernent pas. Le bloc hébergeur, lui, reste identique pour tout le monde.
Par quoi commencer si le site est déjà en ligne et que rien n'a été fait ?
Par le plus court et le plus visible. Vérifiez que les mentions légales existent et portent bien le bloc hébergeur : c'est une heure de travail. Ajoutez ensuite à côté du bouton de votre formulaire la phrase qui dit à quoi servent les données demandées. Le registre et la politique de confidentialité viennent après, parce qu'ils supposent de lister honnêtement les outils qui voient ces données, et que cet inventaire demande une vraie discussion en interne plutôt qu'un modèle recopié.
Faut-il tenir un registre des traitements quand l'entreprise compte trois personnes ?
En pratique, oui. L'article 30 du RGPD prévoit bien un allègement sous 250 salariés, mais il ne vaut que pour les traitements réellement occasionnels : un fichier clients, une paie ou les demandes reçues par un formulaire sont réguliers, et doivent donc figurer au registre. La CNIL publie un modèle de registre destiné aux petites structures, et pour une TPE il tient souvent sur deux pages. Le vrai travail consiste à lister honnêtement les outils qui voient ces données, pas à rédiger un document long.
Une TPE doit-elle désigner un délégué à la protection des données ?
Presque jamais. La désignation n'est obligatoire que dans trois cas : les autorités et organismes publics, les organismes dont l'activité de base implique un suivi régulier et systématique de personnes à grande échelle, et ceux qui traitent à grande échelle des données sensibles ou relatives à des condamnations. Une entreprise de quelques personnes qui reçoit des demandes par un formulaire n'entre dans aucun des trois. Désigner quelqu'un reste possible et encouragé, mais c'est un choix, pas une contrainte.
Combien de temps garder une demande reçue par le formulaire ?
Le RGPD ne donne pas de chiffre : il demande une durée déterminée, justifiée par la finalité, et écrite. La CNIL publie des durées de référence, dont trois ans à compter du dernier contact pour un prospect, dans son référentiel sur la gestion des activités commerciales. Ces référentiels ne sont pas contraignants, et vous pouvez retenir une autre durée à condition de pouvoir la justifier. Le vrai défaut n'est pas de choisir six mois plutôt que trois ans, c'est de ne rien choisir du tout.
Création de site
Vous préférez déléguer plutôt que tout faire vous-même ?
C'est notre métier : création de site internet pour les TPE, PME et commerces de la région, avec un devis clair, tout inclus, et une réponse sous 24 h ouvrées.