RGPD, mentions légales, cookies : le minimum légal pour votre site

Un mardi matin, un gérant de Puget-sur-Argens m’appelle, la voix tendue. Il vient de recevoir un e-mail au ton officiel : « votre site n’est pas conforme au RGPD, régularisez sous 48 h ou vous risquez une amende ». En pièce jointe, un devis de « mise en conformité » à quatre chiffres. Il panique. Je lui demande de m’envoyer l’adresse de son site, je jette un œil, et je le rassure en trois minutes : ce mail est un démarchage abusif, pas une mise en demeure de la CNIL. Son site avait deux ou trois choses à corriger, oui. Rien qui justifie de sortir la carte bleue dans l’urgence.

Ce genre d’appel, j’en reçois plusieurs par an. La peur du RGPD est devenue un fonds de commerce pour certains. Résultat : beaucoup de dirigeants varois croient que la conformité légale d’un site, c’est une usine à gaz réservée aux grands groupes. C’est faux. Pour la grande majorité des petites entreprises, le minimum légal tient en trois blocs, et une fois posés, on n’y touche presque plus. Voyons lesquels, concrètement.

Les mentions légales : la carte d’identité obligatoire de votre site

C’est la brique la plus simple, et pourtant celle qui manque le plus souvent. La loi française impose que tout site professionnel identifie clairement qui se cache derrière. Concrètement, une page « Mentions légales » accessible depuis le pied de page, avec le nom de l’entreprise ou de l’entrepreneur, la forme juridique, l’adresse, le numéro SIRET, le nom du responsable de publication, et les coordonnées de l’hébergeur du site.

Rien de sorcier. Le hic, c’est que ces mentions sont oubliées ou incomplètes sur une bonne partie des sites de TPE que j’audite dans le Var. Or leur absence est sanctionnable, indépendamment du RGPD, et c’est aussi un signal de sérieux pour vos visiteurs. Une page mentions légales bien remplie, c’est un artisan de Fréjus qui montre qu’il n’a rien à cacher. Une adresse fantôme et un pied de page vide, c’est le contraire.

Si vous vendez en ligne, il faut ajouter des conditions générales de vente. Pour un simple site vitrine qui présente votre activité, les mentions légales suffisent sur ce plan. C’est le socle, on commence toujours par là.

Le RGPD : ce que ça veut vraiment dire pour un petit site

Le RGPD encadre la façon dont vous collectez et utilisez les données personnelles des gens. Dès qu’un visiteur remplit votre formulaire de contact, vous parle par mail, ou s’inscrit à une newsletter, vous collectez des données : nom, e-mail, parfois téléphone. À partir de là, vous avez trois obligations de bon sens.

D’abord, expliquer ce que vous faites de ces données. C’est le rôle d’une page « Politique de confidentialité » : vous dites quelles infos vous récoltez, pourquoi, combien de temps vous les gardez, et à qui elles servent. Ensuite, ne collecter que le nécessaire. Un formulaire de devis n’a pas besoin de la date de naissance de votre prospect. Enfin, permettre à la personne de vous demander l’accès à ses données ou leur suppression, via un simple e-mail de contact.

Pour un plombier, un thérapeute ou un restaurateur varois, c’est là que s’arrête l’essentiel. Vous n’avez pas besoin d’un délégué à la protection des données ni de registres à rallonge. Vous avez besoin d’une page claire, d’un formulaire sobre, et d’une case à cocher qui confirme que la personne accepte d’être recontactée. Ce niveau de rigueur se cale d’ailleurs bien mieux dès la conception : sur un projet de site internet monté proprement dans le Var, ces pages sont intégrées d’entrée, pas rajoutées à la va-vite un an plus tard.

Les cookies : le vrai sujet du fameux bandeau

Le bandeau cookies, tout le monde le voit, peu de gens savent quand il est vraiment obligatoire. La règle est plus simple qu’on ne le croit : le consentement n’est requis que si votre site dépose des traceurs qui ne sont pas strictement nécessaires à son fonctionnement. En clair, les outils de mesure d’audience comme Google Analytics, les pixels de publicité Facebook, les vidéos YouTube intégrées ou les cartes Google Maps.

Si votre site vitrine se contente d’afficher vos pages, sans aucun de ces mouchards, vous n’avez pas besoin de bandeau du tout. C’est le cas de nombreux sites que je conçois volontairement légers. À l’inverse, dès que vous branchez un outil de statistiques ou de la publicité, la CNIL demande un vrai choix : l’internaute doit pouvoir refuser aussi facilement qu’accepter. Le bandeau piège, avec un gros bouton « Accepter » et un refus caché en tout petit, n’est pas conforme.

Voici, pour y voir clair, ce qui déclenche l’obligation d’un bandeau de consentement :

• Une mesure d’audience non exemptée (Google Analytics dans sa version classique).
• Des pixels ou traceurs publicitaires (Meta, Google Ads, TikTok).
• Des contenus tiers embarqués qui posent des cookies : vidéos YouTube, cartes interactives, widgets d’avis.

Le vrai risque, et comment on le gère sereinement

Soyons honnêtes sur le niveau de risque réel. La CNIL n’envoie pas des contrôleurs frapper à la porte d’un paysagiste de Roquebrune-sur-Argens pour un bandeau mal réglé. Ses sanctions lourdes visent des acteurs qui traitent des données à grande échelle. Pour une TPE, le danger est double, et plus terre à terre : d’un côté les démarchages agressifs qui jouent sur la peur, de l’autre une plainte d’un client mécontent qui, elle, peut déclencher un courrier officiel.

La bonne nouvelle, c’est que se mettre en règle coûte peu et se fait une fois pour toutes. Trois pages à créer ou compléter, un formulaire à assainir, un bandeau à configurer correctement si des traceurs sont présents. Rien qui justifie l’urgence ni les tarifs gonflés de certains prestataires. C’est un travail d’artisan du web, pas une opération à cœur ouvert. Et une fois en place, ça tient dans le temps, avec une simple relecture quand vous ajoutez un nouvel outil au site.

Questions fréquentes

J’ai reçu un mail qui menace d’une amende si je ne paie pas. C’est sérieux ?
Dans l’immense majorité des cas, non. La CNIL ne facture pas de mise en conformité et ne réclame pas de paiement par e-mail sous 48 h. Ces messages sont du démarchage qui exploite la peur. Avant de réagir, faites vérifier votre site par quelqu’un de confiance : souvent, deux ou trois réglages suffisent, sans le montant annoncé.

Mon petit site vitrine est-il vraiment concerné par le RGPD ?
Dès que vous avez un formulaire de contact ou que vous recevez des mails via le site, vous traitez des données personnelles, donc oui. Mais votre niveau d’obligation est léger : une page de politique de confidentialité claire, un formulaire qui ne demande que l’utile, et la possibilité pour la personne de vous joindre pour ses données. Rien d’insurmontable.

Faut-il un bandeau cookies même sans Google Analytics ?
Non. Si votre site ne dépose aucun traceur non essentiel, le bandeau n’est pas requis, et l’ajouter inutilement alourdit l’expérience. Le besoin apparaît le jour où vous branchez des statistiques, de la publicité ou des contenus tiers. C’est une raison de plus de savoir précisément ce qui tourne sur votre site.

Un site propre, c’est aussi un site en règle

La conformité légale n’est pas une contrainte à part, c’est un signe de sérieux qui rassure vos visiteurs autant qu’elle vous protège. Un dirigeant qui affiche des mentions légales complètes, une politique de confidentialité honnête et des cookies gérés proprement envoie le même message qu’une devanture soignée : ici, on travaille sérieusement. C’est du même bois que la confiance qui pousse un prospect à décrocher son téléphone.

Chez Ambra, on accompagne des entreprises varoises depuis 2008, et ces trois blocs font partie de notre standard, pas d’une option facturée en plus. Si vous avez un doute sur votre propre site, ou si un mail alarmant vous a mis la pression cette semaine, ne payez rien dans la précipitation : écrivez-nous, on regarde votre site ensemble et vous saurez en quelques minutes où vous en êtes vraiment.