RGPD site web : les obligations pour cookies, formulaires et mentions légales

RGPD site web : quelles obligations respecter en priorité ?

Un site web qui traite des données personnelles doit informer les visiteurs, recueillir leur consentement avant tout traceur non essentiel, limiter la collecte au nécessaire, publier des mentions légales et une politique de confidentialité, et permettre l'exercice des droits. C'est la base de la conformité RGPD d'un site web.

En pratique, le travail se répartit en trois chantiers :

• Cookies : trier les traceurs, bloquer ceux qui exigent un accord et recueillir un choix valide.
• Formulaires : ne demander que les champs utiles, afficher la finalité et définir une durée de conservation.
• Pages légales : rédiger des mentions légales et une politique de confidentialité claires, tenues à jour.

Pour un site professionnel, le RGPD change surtout la méthode. La conformité devient une exigence de conception, pas un habillage de dernière minute. Elle touche le code, les outils tiers et les processus internes.

Elle se traite par étapes, en commençant par les risques les plus visibles.

Cookies : consentement, traceurs exemptés et traceurs soumis

Tous les cookies ne se traitent pas de la même façon. Le tri se fait selon leur finalité.

Exemptés de consentement

Les traceurs strictement nécessaires au service n'exigent pas d'accord préalable : session de connexion, panier e-commerce, sécurité, mémorisation du choix de consentement. Ils restent à mentionner dans la politique de confidentialité.

Soumis au consentement

Exigent un accord avant tout dépôt :

• les cookies publicitaires ;
• les traceurs de réseaux sociaux (boutons de partage, pixels) ;
• la mesure d'audience, sauf configuration exemptée par la CNIL, à vérifier outil par outil.

Un consentement valable

Le consentement doit être libre, éclairé et univoque. Pas de case précochée, pas de refus caché. L'utilisateur sait ce qu'il accepte et pourquoi. Il peut aussi retirer son choix aussi simplement qu'il l'a donné.

Mettre en place un bandeau cookies maintenable

Un bandeau cookies fiable repose sur quatre règles d'exécution :

• Blocage préalable : aucun script de mesure, publicitaire ou de réseau social ne se charge avant l'accord.
• Refus équivalent : « Tout refuser » aussi visible que « Tout accepter ».
• Preuve : on conserve le choix, sa date et la version du bandeau.
• Accès permanent : un lien dans le pied de page permet de modifier le choix.

Côté arbitrage, une plateforme de gestion du consentement se déploie vite et suit les évolutions. Le sur-mesure s'adapte mieux à un produit spécifique, mais demande de la maintenance.

Attention : sans accord, la mesure d'audience devient partielle.

Formulaires : ne collecter que les données utiles

Un formulaire de contact n'a pas besoin de connaître votre visiteur. Appliquez la minimisation des données : chaque champ doit servir une action précise.

À supprimer en priorité :

• téléphone, si vous répondez par e-mail ;
• civilité, société ou fonction, si elles ne changent pas la réponse ;
• « Comment nous avez-vous connus ? », à remplacer par de la mesure d'audience.

Un formulaire plus court se remplit plus vite. Testez la conversion avant et après, pour mesurer l'effet.

Autour du bouton :

• affichez la finalité : « Ces données servent uniquement à répondre à votre demande » ;
• ajoutez une case non précochée seulement si vous poursuivez une autre finalité, comme une newsletter ;
• définissez une durée de conservation et purgez-la automatiquement ;
• envoyez les données en HTTPS, avec un accès limité aux messages reçus.

Mentions légales et politique de confidentialité : que doivent-elles contenir ?

Ces deux pages n'ont pas le même rôle. Rédigez-les séparément.

Mentions légales

Elles identifient qui est derrière le site :

• l'éditeur : raison sociale ou nom, adresse, contact, forme juridique, capital, numéro d'immatriculation ;
• le directeur de la publication ;
• l'hébergeur : nom, adresse et téléphone.

Politique de confidentialité

Elle explique ce que devient la donnée :

• le responsable du traitement et son contact ;
• les finalités, chacune avec sa base légale ;
• les destinataires, dont les sous-traitants ;
• les durées de conservation ;
• les droits des personnes et la manière de les exercer.

Écrivez en phrases simples, sans jargon juridique inutile. Mettez les deux pages à jour à chaque nouvel outil, formulaire ou prestataire.

Droits des personnes, sous-traitants et sécurité : les points souvent oubliés

Un site conforme en façade peut rester fragile si l'organisation derrière ne suit pas.

• Droits des personnes : définissez qui reçoit une demande d'accès, de rectification ou de suppression, où chercher les données et dans quel délai répondre.
• Sous-traitants : listez hébergeur, outil d'emailing et analytics, puis vérifiez le contrat de sous-traitance de chacun.
• Sécurité : HTTPS, accès limités, sauvegardes.

Un site ne fait pas tout. Les processus internes et le conseil juridique restent nécessaires.

Par où commencer : audit et priorisation des chantiers

Commencez par un audit de conformité, en quatre étapes courtes.

1. Cartographier : listez les données collectées, leur origine, leur destination et les outils tiers concernés.
2. Auditer : testez les cookies déposés avant tout choix, puis relisez chaque formulaire.
3. Corriger : traitez d'abord les risques visibles, comme les traceurs sans consentement.
4. Documenter : consignez les décisions et les mises à jour.

Certains points exigent un avis juridique, notamment les bases légales. Le partenaire technique met en œuvre, sans remplacer un juriste.