Mettre un site en ligne, c'est aussi endosser des obligations légales. Dès qu'un site collecte la moindre donnée personnelle, un nom dans un formulaire, une adresse email, un cookie de mesure d'audience, il entre dans le champ du RGPD. La conformité RGPD d'un site web n'est pas réservée aux grandes entreprises. Un site vitrine d'artisan y est soumis au même titre qu'une plateforme internationale. Voici ce qu'un site professionnel doit afficher pour rester dans les clous.
Le RGPD, en bref
Le Règlement général sur la protection des données encadre la façon dont les sites collectent, stockent et utilisent les données personnelles des visiteurs européens. Son principe tient en quelques idées : transparence sur ce que vous collectez, consentement quand il est requis, et respect des droits des personnes sur leurs données. En France, la CNIL veille à son application et peut sanctionner les manquements. Au-delà du risque, la conformité envoie un signal de sérieux. Un visiteur rassuré sur le traitement de ses données accorde plus facilement sa confiance, et donc ses coordonnées.
Les mentions légales : obligatoires, RGPD ou pas ?
Indépendamment du RGPD, tout site professionnel doit afficher des mentions légales. La loi pour la confiance dans l'économie numérique impose d'identifier clairement l'éditeur du site. Y figurent votre identité ou raison sociale, vos coordonnées, votre numéro SIRET pour un professionnel, ainsi que l'hébergeur du site et ses coordonnées. Cette page n'a rien d'accessoire : son absence constitue une infraction, et elle rassure le visiteur sur l'existence réelle derrière le site. Pour un indépendant, c'est aussi une marque de professionnalisme.
La politique de confidentialité : le cœur de la conformité
C'est la page qui explique au visiteur ce que vous faites de ses données. Elle doit décrire en termes clairs quelles données vous collectez, dans quel but, combien de temps vous les conservez et avec qui vous les partagez le cas échéant. Elle informe également les visiteurs de leurs droits : accès à leurs données, rectification, suppression, opposition. Vous devez indiquer comment les exercer, généralement via une adresse de contact dédiée. Cette page se rédige à partir de la réalité de votre site. Recopier celle d'un autre, sans l'adapter à vos propres traitements, vide l'exercice de son sens et vous expose.
Les cookies : le consentement avant le dépôt
Le sujet le plus visible, et le plus souvent mal géré. Tout cookie non strictement nécessaire au fonctionnement du site, mesure d'audience, publicité, réseaux sociaux, exige le consentement préalable du visiteur. Concrètement, ces cookies ne doivent pas se déposer tant que la personne n'a pas accepté. Un bandeau cookies conforme propose un choix réel : accepter, refuser, et idéalement paramétrer. Le refus doit être aussi simple que l'acceptation, un point sur lequel la CNIL insiste fermement. Les bandeaux qui rendent le refus laborieux, ou qui déposent les cookies avant tout choix, ne sont pas conformes. Plusieurs extensions WordPress gèrent ce consentement correctement, à condition de les configurer sérieusement et de les relier à vos outils de suivi.
Les formulaires : collecter juste et bien
Chaque formulaire de contact ou d'inscription collecte des données personnelles. Quelques règles s'appliquent. Ne demandez que les informations réellement nécessaires : un formulaire de contact n'a pas besoin de la date de naissance du visiteur. Une case de consentement, non précochée, doit accompagner toute collecte servant un autre usage que la simple réponse à la demande, une inscription à une newsletter par exemple. Indiquez à proximité du formulaire la finalité de la collecte et renvoyez vers votre politique de confidentialité. Le consentement se recueille de façon active et éclairée, jamais par défaut.
Le HTTPS : une exigence devenue incontournable
Un site qui collecte des données doit les transmettre de façon sécurisée. Le certificat SSL, qui fait passer votre site en HTTPS, chiffre les échanges entre le visiteur et le serveur. Gratuit chez la plupart des hébergeurs via Let's Encrypt, il est aujourd'hui indispensable. Il sert autant la conformité que la confiance et le référencement, les navigateurs signalant les sites non sécurisés.
Une conformité RGPD qui se construit dès la conception
Le RGPD n'est pas une couche que l'on ajoute une fois le site terminé. Il se pense en amont : quelles données collecter, par quels moyens, dans quel but. Un site conçu dès le départ avec ces questions en tête évite les rattrapages laborieux et les zones de risque. Vous n'êtes pas certain que votre site respecte ses obligations légales, ou vous lancez un projet et voulez partir sur des bases conformes ? Contactez-moi pour faire le point : mentions légales, cookies, formulaires et politique de confidentialité, je vous aide à mettre votre site en règle.
À voir également
La sécurité d'un site va de pair avec sa conformité, notamment sur la protection des données. Pour aller plus loin :