RGPD et cookies : le minimum à respecter pour un site vitrine

Le RGPD fait peur à beaucoup de petites entreprises. Pour un site vitrine, pourtant, les règles sont assez simples à respecter, surtout si le site est conçu sobrement dès le départ. Voici l'essentiel, sans jargon.

Ce que le RGPD vous demande, en résumé

Dès que votre site recueille des informations permettant d'identifier une personne (nom, e-mail, téléphone, adresse IP…), vous devez :

1. n'en collecter que ce qui est nécessaire ;
2. informer clairement les personnes ;
3. protéger ces données ;
4. ne pas les garder indéfiniment ;
5. permettre aux personnes de les consulter, les corriger ou les faire supprimer.

Le formulaire de contact

C'est la collecte la plus courante sur un site vitrine.

• Ne demandez que l'utile : un nom, un moyen de vous répondre et le message suffisent. La date de naissance ou l'adresse postale n'ont rien à faire dans un formulaire de contact.
• Informez près du formulaire : une phrase courte suffit, avec un lien vers votre politique de confidentialité. Par exemple : « Ces informations servent uniquement à répondre à votre demande. Elles ne sont jamais transmises à des tiers. »
• Ne cochez rien par défaut : si vous proposez une lettre d'information, l'inscription doit être un choix actif.
• Ne conservez pas les demandes indéfiniment : triez régulièrement votre boîte de réception et votre fichier de prospects.

Les cookies et traceurs

Ce qui demande un consentement

La plupart des cookies publicitaires, les boutons de partage des réseaux sociaux qui pistent les visiteurs, les vidéos intégrées depuis certaines plateformes et beaucoup d'outils de statistiques déposent des traceurs qui nécessitent le consentement préalable du visiteur. D'où le fameux bandeau.

Selon la CNIL, ce bandeau doit permettre de refuser aussi facilement que d'accepter, et le site ne doit rien déposer avant la réponse.

Ce qui n'en demande pas

• Les cookies strictement nécessaires au fonctionnement du site (panier, préférence de langue, session de connexion).
• Certains outils de mesure d'audience configurés pour respecter les conditions de la CNIL : usage limité aux statistiques du site, données anonymisées, pas de croisement avec d'autres traitements. La CNIL publie la liste des solutions qu'elle a évaluées et la façon de les configurer.

La solution la plus simple : ne pas en mettre

Beaucoup de sites vitrines n'ont besoin d'aucun traceur. Pas de cookie publicitaire, des statistiques respectueuses ou pas de statistiques du tout, des polices hébergées avec le site plutôt que chez un tiers, une carte sous forme d'image cliquable plutôt qu'intégrée : pas de traceur, pas de bandeau. Le site est plus rapide, plus agréable, et plus simple à mettre en conformité.

La politique de confidentialité

Elle explique, en langage clair :

• qui est responsable des données (votre entreprise) ;
• quelles données sont collectées et pourquoi ;
• combien de temps elles sont conservées ;
• avec qui elles sont éventuellement partagées (hébergeur, outil d'envoi d'e-mails…) ;
• comment exercer ses droits, et la possibilité de saisir la CNIL.

Pour un petit site, elle peut tenir en une section de votre page de mentions légales.

La sécurité

• Votre site doit être en HTTPS (le cadenas dans la barre d'adresse), surtout s'il comporte un formulaire.
• Les accès d'administration doivent être protégés par des mots de passe solides, différents pour chaque service.
• Le site et ses composants doivent être tenus à jour.
• Choisissez un hébergeur sérieux, de préférence en Europe, et vérifiez qu'il réalise des sauvegardes.

Les erreurs fréquentes

• Un bandeau cookies avec un seul bouton « J'accepte ».
• Des outils ajoutés « pour voir » puis oubliés, qui continuent de collecter.
• Un formulaire qui demande beaucoup trop d'informations.
• Une politique de confidentialité copiée d'un autre site, qui décrit des traitements que vous ne faites pas.

Cet article présente les grands principes et ne remplace pas un conseil juridique adapté à votre situation. Les informations de référence sont publiées par la CNIL sur son site.