Mentions légales, confidentialité et cookies : les obligations d’un site vitrine

Pourquoi un site vitrine doit encadrer ses pratiques

Un site vitrine présente une activité, des services, des réalisations ou des coordonnées. Même lorsqu’il ne vend rien en ligne, il peut publier des informations permettant d’identifier une personne, recueillir une demande de contact, mesurer l’audience ou déposer des traceurs sur le terminal d’un visiteur. Ces opérations déclenchent des obligations distinctes, issues notamment de la loi française pour la confiance dans l’économie numérique, du règlement général sur la protection des données et des règles relatives aux communications électroniques.

La conformité ne repose donc pas sur une page juridique unique. Elle implique au moins trois blocs à coordonner :

• les mentions légales, qui identifient l’éditeur du site et son hébergeur ;
• la politique de confidentialité, qui explique les traitements de données personnelles ;
• la gestion des cookies et autres traceurs, qui encadre leur dépôt et le consentement lorsqu’il est requis.

Un site peut aussi devoir prévoir des informations particulières selon son activité : formulaire de candidature, newsletter, espace réservé, prise de rendez-vous, contenu destiné aux mineurs ou collecte de données sensibles. Le contenu des pages doit correspondre aux fonctions réellement actives. Une politique générique, copiée sans vérification, crée souvent un décalage entre les déclarations et le fonctionnement technique.

Les mentions légales à afficher et à maintenir

En France, l’article 6 de la loi pour la confiance dans l’économie numérique impose des informations permettant d’identifier l’éditeur d’un service de communication au public en ligne. La page doit être accessible depuis le site, par exemple depuis le pied de page, et rester lisible sans démarche disproportionnée.

Pour une personne physique qui édite le site dans le cadre de son activité, les informations comprennent notamment l’identité, l’adresse et les coordonnées permettant un contact. Pour une personne morale, il faut généralement indiquer la dénomination, la forme juridique, le montant du capital social, l’adresse du siège et les informations d’immatriculation lorsqu’elles sont applicables. Le numéro individuel d’identification à la taxe sur la valeur ajoutée peut également devoir être mentionné dans les situations prévues par les textes fiscaux.

La page indique aussi l’identité et les coordonnées de l’hébergeur, ainsi que son nom ou sa raison sociale, son adresse et son numéro de téléphone. L’hébergeur ne doit pas être confondu avec le créateur du site, le registrar du nom de domaine ou le fournisseur d’accès à Internet.

Une vérification utile consiste à comparer la page avec les informations administratives actuelles :

1. identifier le statut réel de l’éditeur ;
2. contrôler l’adresse officielle et les coordonnées de contact ;
3. retrouver les références d’immatriculation ou fiscales pertinentes ;
4. confirmer les coordonnées de l’hébergeur dans le contrat ou l’espace d’administration ;
5. mettre à jour la page après un changement de siège, d’hébergeur ou de forme juridique.

Si le site publie des contenus éditoriaux, la responsabilité de la publication et le nom du directeur de la publication peuvent également devoir être précisés. L’identification de l’éditeur ne doit pas être remplacée par une adresse électronique générique dépourvue d’informations complémentaires.

Politique de confidentialité : expliquer les traitements réels

La politique de confidentialité informe les personnes sur l’usage de leurs données personnelles. Le RGPD, notamment ses articles 12 à 14, demande une information concise, transparente, compréhensible et aisément accessible. Cette page ne constitue pas une formalité décorative : elle doit décrire les traitements réellement opérés par le site et les outils qui lui sont associés.

Pour chaque traitement, la présentation peut suivre une grille constante :

• la finalité : répondre à une demande, gérer une inscription, mesurer l’audience ou sécuriser le service ;
• les données concernées : identité, coordonnées, message, adresse IP, données de connexion ou informations de navigation ;
• la base juridique : consentement, exécution d’un contrat, obligation légale, intérêt légitime ou autre fondement prévu par le RGPD ;
• les destinataires : personnes habilitées, prestataires techniques ou autorités légalement compétentes ;
• la durée de conservation ou les critères permettant de la déterminer ;
• les droits des personnes et la façon de les exercer ;
• le point de contact pour les demandes relatives aux données.

Le responsable du traitement doit être identifiable. Lorsqu’un délégué à la protection des données est désigné, ses coordonnées doivent être indiquées pour les sujets concernés. La politique peut aussi préciser l’existence d’un droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, autorité française de contrôle.

La page doit distinguer les données nécessaires des données facultatives. Un formulaire de contact peut demander un nom et une adresse électronique pour répondre, mais la collecte d’informations sans rapport avec cette finalité doit être justifiée. Les cases précochées, les formulations ambiguës et les demandes excessives fragilisent la validité du dispositif.

Construire un inventaire avant de rédiger

La rédaction doit commencer par un inventaire technique et fonctionnel. Les extensions, scripts et services intégrés peuvent traiter des données sans apparaître dans l’interface visible. Une carte du site permet de repérer les points de collecte : formulaire de contact, abonnement à une lettre d’information, module de réservation, téléchargement, commentaires, espace client et outils de mesure d’audience.

Pour chaque élément, consignez les informations suivantes dans un document interne :

Élément à examiner	Question à documenter	Conséquence pour le site
Formulaire	Quelles données sont demandées et pourquoi ?	Texte d’information, champs nécessaires et durée de conservation
Outil externe	Quel prestataire reçoit une donnée ou un identifiant ?	Destinataires, sous-traitance et éventuel transfert
Traceur	Est-il nécessaire ou sert-il à mesurer, personnaliser ou cibler ?	Bandeau, consentement ou exemption à vérifier
Stockage	Où les données sont-elles conservées et qui y accède ?	Mesures de sécurité et durée de conservation

Cette étape révèle souvent des services oubliés : police chargée depuis un serveur tiers, vidéo intégrée, carte interactive, outil anti-spam, statistiques ou bouton de partage. Chaque composant doit être évalué avant sa mise en production. Un changement de thème, d’extension ou de solution d’hébergement peut modifier le périmètre des données.

Formulaires de contact et preuves de consentement

Un formulaire doit informer la personne au moment où elle transmet ses données. Un lien vers la politique de confidentialité peut être placé à proximité du bouton d’envoi, avec un texte indiquant les finalités principales. Si plusieurs usages reposent sur des bases juridiques différentes, ils doivent être distingués.

La prospection commerciale par courrier électronique obéit à des règles spécifiques prévues par le Code des postes et des communications électroniques. L’inscription à une newsletter ne doit pas être déduite automatiquement d’une demande de contact. Lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé et univoque. Une case vide, une action affirmative et une possibilité de retrait aussi accessible que l’acceptation constituent des éléments importants du parcours.

Le responsable doit pouvoir démontrer le consentement lorsque celui-ci fonde le traitement. Il est donc pertinent de conserver la date, la version du texte présenté, la finalité acceptée et, selon le dispositif, les éléments techniques permettant d’établir l’action réalisée. La conservation de cette preuve doit elle-même rester proportionnée.

Pour sécuriser un formulaire :

• limitez les champs aux informations utiles ;
• indiquez les champs facultatifs ;
• évitez de demander des données sensibles sans nécessité et cadre approprié ;
• protégez la transmission avec HTTPS ;
• prévoyez une protection contre l’automatisation et les messages malveillants ;
• définissez qui traite les demandes et combien de temps elles restent accessibles ;
• testez le parcours sur ordinateur et mobile.

Cookies et traceurs : distinguer nécessité et consentement

Un cookie est un fichier ou un identifiant enregistré ou lu sur le terminal d’un visiteur. La notion de traceur est plus large : elle peut englober certaines techniques de stockage, d’accès à des informations ou de reconnaissance d’un terminal. Les règles françaises résultent notamment de l’article 82 de la loi Informatique et Libertés et des recommandations de la CNIL.

Les traceurs strictement nécessaires au fonctionnement demandé par l’utilisateur peuvent relever d’une exemption de consentement, sous réserve de respecter les conditions applicables. Cela peut concerner, selon leur usage précis, un mécanisme de session, un choix de langue ou un dispositif de sécurité. Un cookie utilisé pour analyser les parcours, personnaliser le contenu, suivre une campagne ou afficher de la publicité ne devient pas nécessaire au seul motif qu’il est installé par un outil courant.

Avant tout dépôt non exempté, le visiteur doit pouvoir accepter ou refuser. Le refus doit être proposé avec une visibilité comparable à l’acceptation. Le consentement doit porter sur des finalités compréhensibles, et non sur une catégorie vague regroupant des usages différents. Le retrait doit rester possible à tout moment, par un lien ou un bouton accessible depuis les pages du site.

Le registre des traceurs devrait préciser :

• le nom du cookie ou de l’identifiant ;
• son émetteur ;
• sa finalité ;
• sa durée ;
• la nature de sa collecte, avant ou après consentement ;
• les destinataires des informations ;
• la méthode de retrait du consentement.

Un bandeau qui masque le contenu mais charge déjà les scripts d’analyse ne respecte pas l’objectif du recueil préalable. La désactivation visuelle d’un bouton ne suffit pas si la technologie continue à transmettre des informations.

Mettre en place un bandeau de consentement cohérent

La mise en conformité d’un bandeau se vérifie dans le navigateur, et pas uniquement dans son apparence. Une procédure de contrôle peut suivre ces étapes :

1. ouvrir une fenêtre de navigation privée et supprimer les cookies existants ;
2. charger la page d’accueil avec les outils de développement du navigateur ;
3. repérer les requêtes et stockages créés avant toute interaction ;
4. refuser les traceurs non nécessaires ;
5. vérifier qu’aucun script concerné ne se déclenche après le refus ;
6. accepter une finalité, puis contrôler que seuls les services associés s’activent ;
7. ouvrir à nouveau le centre de préférences et retirer l’autorisation ;
8. contrôler que le retrait bloque les nouveaux dépôts et limite les transmissions prévues.

Le mécanisme doit fonctionner sur les pages d’atterrissage, et pas uniquement sur la page d’accueil. Les intégrations comme les vidéos, cartes ou polices externes peuvent être remplacées par un aperçu local tant que le visiteur n’a pas choisi la catégorie correspondante. Cette approche réduit les appels précoces vers des serveurs tiers.

La preuve du choix doit être conservée dans des conditions proportionnées. Il faut aussi prévoir une durée de validité et une nouvelle présentation lorsque les finalités ou les partenaires changent. Le recours à une solution de gestion du consentement ne dispense pas d’analyser les scripts effectivement installés.

Sécurité, sous-traitants et transferts de données

La confidentialité annoncée doit être accompagnée de mesures techniques et organisationnelles adaptées au risque. Le RGPD ne fournit pas une configuration universelle : le niveau de protection dépend de la nature des données, du volume, des accès et des conséquences possibles d’un incident.

Pour un site vitrine, les mesures de base comprennent notamment :

• un certificat TLS correctement configuré ;
• des mots de passe uniques et une authentification renforcée pour les comptes d’administration ;
• des mises à jour suivies du CMS, des extensions et du serveur ;
• des sauvegardes testées, séparées de l’interface d’administration ;
• des droits d’accès limités aux besoins réels ;
• une protection contre les envois automatisés et les tentatives répétées ;
• une journalisation raisonnable des événements de sécurité ;
• une procédure de traitement des demandes et des incidents.

Lorsqu’un prestataire traite des données pour le compte du responsable, la relation doit être encadrée par un contrat conforme à l’article 28 du RGPD. Il faut identifier les services qui hébergent les formulaires, envoient les messages, stockent les sauvegardes ou mesurent l’audience. La localisation des données et les éventuels transferts hors de l’Espace économique européen doivent être examinés selon les mécanismes juridiques en vigueur. Une mention vague affirmant que les données sont toujours en France est à éviter si le fonctionnement réel n’a pas été vérifié.

Durées de conservation et exercice des droits

Une politique crédible explique quand les données sont supprimées, anonymisées ou archivées. La durée dépend de la finalité et d’éventuelles obligations légales. Les messages d’un formulaire peuvent être conservés le temps nécessaire au traitement et au suivi de la demande, tandis que les données utilisées pour une relation commerciale ou une obligation comptable suivent d’autres règles. Il ne faut pas appliquer une durée unique à toutes les informations.

Les personnes disposent, selon les conditions prévues par le RGPD, de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Le droit applicable dépend du traitement et de sa base juridique. La politique doit expliquer comment adresser une demande et comment l’identité peut être vérifiée sans collecter davantage d’informations que nécessaire.

Une procédure interne peut prévoir :

1. la réception et l’enregistrement de la demande ;
2. la vérification raisonnable de l’identité ;
3. la recherche des données dans les outils concernés ;
4. la réponse dans le délai prévu par le RGPD ou l’explication motivée d’une prolongation ;
5. la conservation d’une trace de la réponse sans garder inutilement les justificatifs.

Un site vitrine ne doit pas promettre une suppression immédiate si certaines données doivent être conservées pour respecter une obligation légale ou établir une preuve. La réponse doit alors distinguer les données supprimées de celles dont la conservation reste nécessaire.

Les erreurs fréquentes à corriger avant la mise en ligne

Plusieurs défauts reviennent dans les audits de sites vitrines :

• une page de mentions légales qui reprend un ancien nom, une ancienne adresse ou un hébergeur inexact ;
• une politique de confidentialité qui ne cite pas les outils réellement utilisés ;
• un formulaire qui collecte une date de naissance ou un numéro de téléphone sans justification ;
• un consentement caché dans des conditions générales ;
• un bouton de refus moins visible que le bouton d’acceptation ;
• des scripts publicitaires ou statistiques chargés avant le choix ;
• l’absence de mécanisme de retrait ;
• des cases précochées pour recevoir des communications ;
• des sauvegardes ou exports accessibles depuis une adresse publique ;
• une politique qui annonce une durée de conservation inexistante dans la configuration.

La correction doit partir du fonctionnement observé, puis être reportée dans les pages d’information. Changer le texte sans corriger les scripts ne traite pas le problème. À l’inverse, bloquer un outil sans mettre à jour la politique laisse une information inexacte. Une revue périodique est recommandée après chaque évolution du formulaire, du CMS, de l’hébergeur ou des services intégrés.

Checklist opérationnelle avant publication

Avant la mise en ligne, cette liste permet de structurer une dernière vérification :

1. la page de mentions légales est accessible depuis toutes les pages et contient les informations d’identification à jour ;
2. l’hébergeur est identifié avec des coordonnées vérifiées ;
3. chaque formulaire possède une information visible sur la finalité, la base juridique et la conservation ;
4. les champs obligatoires sont justifiés et les champs facultatifs identifiés ;
5. la politique de confidentialité couvre les traitements présents, les destinataires, les droits et les durées ;
6. les scripts, extensions, intégrations et cookies ont été inventoriés ;
7. les traceurs non exemptés sont bloqués avant consentement ;
8. le refus et le retrait sont aussi accessibles que l’acceptation ;
9. les paramètres du bandeau ont été testés après suppression des cookies ;
10. les accès d’administration, les mises à jour et les sauvegardes sont encadrés ;
11. une personne est chargée de réviser les informations après chaque modification technique.

Cette checklist ne remplace pas une analyse juridique lorsque l’activité traite des données particulières ou présente des risques élevés. Elle fournit toutefois une base concrète pour éviter les incohérences les plus courantes d’un site vitrine.

FAQ : les questions courantes sur les obligations d’un site vitrine

Un site vitrine sans formulaire a-t-il besoin d’une politique de confidentialité ?

Il doit au minimum vérifier les traitements opérés par le serveur, les journaux, les outils de mesure, les vidéos, les polices ou les services intégrés. Si aucune donnée personnelle n’est traitée au-delà de ce qui est strictement nécessaire et qu’aucun outil supplémentaire n’est utilisé, l’information à fournir peut être limitée, mais cette conclusion doit reposer sur un inventaire réel.

Les mentions légales et la politique de confidentialité peuvent-elles être sur la même page ?

Oui, à condition que les deux ensembles d’informations restent clairement identifiables, complets et accessibles. Les mentions légales identifient l’éditeur et l’hébergeur, tandis que la politique décrit les traitements de données. Les regrouper ne dispense pas de traiter chaque obligation.

Un cookie de statistiques est-il toujours soumis au consentement ?

Non, la réponse dépend de la configuration, de la finalité, de la nature des données et des conditions d’exemption reconnues par la CNIL. Une solution présentée comme anonyme ou respectueuse de la vie privée doit tout de même être vérifiée dans sa configuration technique et dans les règles applicables.

Faut-il afficher un bandeau si le site utilise uniquement des cookies nécessaires ?

Un bandeau de consentement n’est pas nécessaire pour un traceur réellement exempté, mais l’information sur son usage peut rester utile. Il faut éviter de qualifier un traceur de nécessaire lorsqu’il sert aussi à une mesure d’audience, à une personnalisation ou à une transmission à un tiers.

Que faire lorsqu’un prestataire change ses outils ou ses serveurs ?

Il faut reprendre l’inventaire, vérifier les données transmises, les lieux de traitement, les durées, les contrats et les mécanismes de consentement. Les pages d’information doivent être actualisées avant ou au moment du changement, selon son impact sur les personnes.