Le RGPD s’applique dès qu’on collecte une donnée
Le règlement européen sur la protection des données, qu’on appelle le RGPD, fait peur à beaucoup de patrons de petites entreprises. On en entend parler par des démarcheurs qui promettent une mise en conformité clés en main, ou par un bandeau de cookies qu’on a vu partout sans comprendre à quoi il sert. Et l’on se demande, légitimement, ce que cela change pour un site vitrine de quelques pages qui présente une menuiserie ou un salon de coiffure.
La réponse tient en une phrase : le RGPD s’applique dès que votre site collecte une donnée personnelle. Un nom, une adresse mail, un numéro de téléphone saisis dans un formulaire de contact suffisent. L’adresse IP d’un visiteur enregistrée par un outil de mesure d’audience aussi. Il n’y a pas de seuil de taille : le site d’un auto-entrepreneur est concerné comme celui d’une grande enseigne, avec des moyens proportionnés.
La bonne nouvelle, c’est que pour un site vitrine, les obligations sont limitées et compréhensibles. Il ne s’agit pas de produire des dizaines de pages juridiques, mais de savoir ce que le site collecte, d’en informer les visiteurs, de demander leur accord quand c’est nécessaire, de ne garder que ce qui sert, et de protéger ce qu’on garde.
Tout commence par un geste simple, que la plupart des sites n’ont jamais fait : la conformité commence par l’inventaire de ce qu’on collecte. Sans cet inventaire, on pose un bandeau et une politique de confidentialité copiée ailleurs, et l’on croit être en règle alors qu’on ne sait pas ce que le site fait réellement.
Ce texte suit cet ordre : l’inventaire, puis le formulaire, les cookies, la politique de confidentialité, et enfin les demandes des visiteurs et la sécurité. Il ne remplace pas les guides de la CNIL, qui sont l’autorité de référence en France et publient des recommandations claires pour les petites structures. Il vous aide à savoir quoi vérifier, et quoi demander à votre prestataire.
Faire l’inventaire de ce que le site collecte
Prenez une feuille, ou un tableau simple, et notez tout ce par quoi une donnée personnelle peut entrer sur votre site ou en sortir. Vous serez probablement surpris par la longueur de la liste.
Les formulaires d’abord. Contact, demande de devis, prise de rendez-vous, inscription à une lettre d’information, dépôt d’une candidature. Pour chacun, notez les champs demandés et où arrivent les réponses : dans votre boîte mail, dans l’administration du site, dans un outil externe.
La mesure d’audience ensuite. Si un outil compte les visites de votre site, il collecte des informations sur les visiteurs, au minimum leur adresse IP et leur navigation. Notez lequel est installé, et qui l’a installé. Beaucoup de patrons découvrent à ce moment qu’un outil a été posé par leur prestataire sans qu’ils le sachent.
Les éléments intégrés, enfin, sont les plus souvent oubliés. Une vidéo hébergée sur une plateforme externe, une carte interactive, un bouton de partage vers un réseau social, un widget d’avis, un module de discussion en ligne. Chacun de ces éléments charge du contenu depuis un service tiers, et la plupart déposent des cookies ou transmettent des informations sur le visiteur, avant même qu’il ait cliqué sur quoi que ce soit.
Pour chaque ligne de votre inventaire, posez trois questions. À quoi sert cette donnée ? Qui la reçoit, votre entreprise seule ou aussi un prestataire ? Combien de temps la garde-t-on ? Les réponses forment la base de tout le reste, et une partie de votre registre des traitements, dont on reparle plus bas.
Si vous ne savez pas répondre, demandez à votre prestataire. Il doit pouvoir vous dire quels outils sont installés, quelles extensions collectent des données, et où sont hébergées les informations. C’est une question légitime, et sa réponse vous dira beaucoup sur la qualité de son travail.
Le formulaire de contact
Le formulaire de contact est souvent la seule vraie collecte d’un site vitrine. C’est aussi le plus simple à mettre en règle.
Ne demandez que ce qui sert à répondre. Un nom, un moyen de contact et un message suffisent pour la plupart des demandes. La date de naissance, l’adresse postale complète ou la situation familiale n’ont rien à faire dans un formulaire de contact, sauf besoin réel et expliqué. Moins vous collectez, moins vous avez à protéger.
Informez sous le formulaire, en quelques lignes lisibles. À quoi servent les données saisies, qui les reçoit, combien de temps vous les gardez, et comment le visiteur peut exercer ses droits. Ajoutez un lien vers votre politique de confidentialité pour le détail. Cette mention n’a pas besoin d’être longue, elle doit être juste.
Si vous souhaitez utiliser l’adresse saisie pour envoyer ensuite des offres ou une lettre d’information, demandez-le séparément, par une case que le visiteur coche lui-même. Une case précochée ne vaut pas consentement. Et une personne qui vous a écrit pour un devis n’a pas, de ce seul fait, accepté de recevoir votre prospection.
Pensez enfin à ce que deviennent les messages reçus. Ils s’accumulent dans une boîte mail ou dans l’administration du site, parfois depuis des années. Traitez-les, puis supprimez ceux qui ne servent plus : un échange avec un prospect qui n’a jamais donné suite n’a pas vocation à être conservé indéfiniment.
Les données du formulaire transitent aussi par votre hébergement, et parfois par un service d’envoi de mails. Le lieu où elles sont stockées, et la question de savoir si elles quittent l’Union européenne, font partie des critères à examiner dans le choix de l’hébergeur d’un site vitrine.
Les cookies et le bandeau
Les cookies sont de petits fichiers déposés sur l’appareil du visiteur. Certains sont nécessaires au fonctionnement du site, comme celui qui mémorise un panier ou une connexion. D’autres servent à mesurer l’audience, à afficher de la publicité, à suivre le visiteur d’un site à l’autre.
La règle est simple dans son principe. Les cookies strictement nécessaires peuvent être déposés sans demander l’accord du visiteur. Tous les autres demandent son consentement préalable, c’est-à-dire avant leur dépôt. C’est le rôle du bandeau.
Un bandeau conforme respecte quelques exigences. Le visiteur doit pouvoir refuser aussi facilement qu’accepter, avec un bouton de refus aussi visible que le bouton d’acceptation. Tant qu’il n’a pas choisi, aucun cookie soumis au consentement ne doit être déposé. Son choix doit être conservé, et il doit pouvoir le modifier à tout moment, par un lien accessible en bas de page.
La mesure d’audience mérite un mot à part. Certains outils, configurés de façon à ne servir qu’à produire des statistiques anonymes pour le seul éditeur du site, peuvent être dispensés de consentement. La CNIL précise les conditions de cette exemption. Les outils les plus répandus, dans leur réglage par défaut, ne les remplissent généralement pas. Si votre site n’a besoin que de compter ses visites, un outil sobre et bien configuré peut vous éviter une partie du bandeau.
Reste le piège des éléments intégrés. Une vidéo ou une carte externe dépose souvent ses propres cookies dès le chargement de la page. La solution consiste à ne charger ces éléments qu’après le consentement, en affichant à leur place une image et un bouton d’activation. La plupart des outils de gestion du consentement savent le faire.
Un dernier conseil : si votre site ne dépose aucun cookie soumis au consentement, vous n’avez pas besoin de bandeau. Un site vitrine sobre, sans publicité, sans réseau social intégré et avec une mesure d’audience exemptée peut s’en passer. C’est souvent la solution la plus élégante.
Ce que vous faites, ce que fait le prestataire
Une partie de la mise en conformité relève de vous, une autre de votre prestataire. Les distinguer évite d’attendre que l’autre agisse.
Ce qui relève de vous : décider ce que le site collecte et pourquoi, rédiger ou valider la politique de confidentialité, répondre aux demandes des visiteurs, supprimer les messages qui ne servent plus, tenir le registre. Personne ne peut le faire à votre place, parce que vous seul savez ce que vous faites des données.
Ce qui relève du prestataire : installer un bandeau qui fonctionne vraiment, bloquer les éléments intégrés avant consentement, configurer la mesure d’audience, tenir le site à jour, servir le site en HTTPS. Demandez-lui de vous décrire par écrit ce qu’il a mis en place. Un prestataire qui répond « c’est conforme » sans pouvoir détailler n’a probablement rien vérifié.
La politique de confidentialité
La politique de confidentialité est la page qui explique aux visiteurs ce que le site fait de leurs données. Elle complète l’information courte placée sous le formulaire.
Elle doit reprendre votre inventaire, dans un langage clair. Qui est responsable du traitement, c’est-à-dire votre entreprise, avec ses coordonnées. Quelles données sont collectées, par quel moyen, et pour quoi faire. Qui les reçoit : vous, votre hébergeur, votre outil de mail. Combien de temps elles sont gardées. Si elles quittent l’Union européenne, et avec quelles garanties. Comment le visiteur peut exercer ses droits, et son droit de saisir la CNIL.
Le défaut le plus courant est la politique copiée. Un texte générique, récupéré sur un autre site ou produit par un générateur, qui décrit des traitements que votre site ne fait pas et oublie ceux qu’il fait. Il ne vous protège pas et peut même se retourner contre vous, puisqu’il affirme des choses fausses.
Liez cette page depuis le pied de page de chaque page du site, et depuis chaque formulaire. Ne la confondez pas avec les mentions légales, qui identifient l’éditeur du site : ce sont deux pages distinctes, même si elles se trouvent côte à côte en bas de page.
Répondre à une demande et sécuriser
Les visiteurs ont des droits sur leurs données : obtenir une copie de ce que vous détenez sur eux, les faire corriger, les faire effacer, s’opposer à certains usages comme la prospection. Pour une petite entreprise, ces demandes sont rares. Il faut pourtant savoir qui y répond, et comment.
Désignez une personne, souvent vous-même, et une adresse où ces demandes arrivent. Quand une demande arrive, vérifiez l’identité de la personne, cherchez ses données dans vos outils (boîte mail, administration du site, fichier clients, outil de lettre d’information), puis répondez dans un délai raisonnable. Notez la demande et la réponse.
La sécurité est l’autre versant. Un site à jour, servi en HTTPS, avec des mots de passe solides et des accès limités aux seules personnes qui en ont besoin, protège déjà l’essentiel. Retirez les accès des anciens salariés et des anciens prestataires. Mettez à jour le logiciel du site et ses extensions : une extension abandonnée est une porte ouverte sur les données de vos formulaires.
Vos prestataires, enfin, sont des sous-traitants au sens du règlement. Hébergeur, outil d’envoi de mails, service de prise de rendez-vous : ils traitent des données pour votre compte. Leur contrat ou leurs conditions doivent prévoir la protection de ces données. Pour les grands services, c’est généralement le cas ; vérifiez-le pour les petits.
Tenez aussi un registre des traitements. Le mot impressionne, mais pour un site vitrine il tient souvent sur une page : votre inventaire, avec pour chaque collecte sa finalité, les données concernées, les destinataires et la durée de conservation. La CNIL propose un modèle simplifié pour les petites structures. Ce document vous servira le jour où quelqu’un vous pose une question, et il vous oblige à garder l’inventaire à jour.
Le RGPD n’est pas un chantier à part : il fait partie des choses à mettre en place au moment de la mise en ligne, comme les mentions légales ou le HTTPS. C’est l’esprit de notre dossier mise en ligne, et de la façon dont Web Motion aborde le site d’une petite entreprise : ce qui est en ligne doit être maîtrisé par celui qui l’édite.
Questions fréquentes
Un site vitrine sans formulaire est-il concerné par le RGPD ?
Souvent oui, même sans formulaire. Un outil de mesure d’audience, une vidéo ou une carte intégrée, un bouton de réseau social collectent des informations sur les visiteurs. Si votre site n’a vraiment aucune collecte, ni formulaire, ni outil tiers, ni cookie non nécessaire, vos obligations se réduisent à presque rien. Faites l’inventaire pour en être sûr.
Faut-il un bandeau cookies sur tous les sites ?
Non. Le bandeau n’est nécessaire que si le site dépose des cookies soumis au consentement : publicité, réseaux sociaux, certains outils de mesure d’audience, contenus externes intégrés. Un site qui n’utilise que des cookies strictement nécessaires, et une mesure d’audience configurée pour être exemptée, peut s’en passer.
Combien de temps garder les messages reçus ?
Le temps nécessaire à l’usage pour lequel vous les avez reçus. Un message de demande de devis sert à établir le devis et à suivre la relation commerciale. Si la personne devient cliente, les règles de conservation de vos documents commerciaux s’appliquent. Si elle ne donne pas suite, il n’y a pas de raison de garder ses coordonnées indéfiniment. Fixez une règle, écrivez-la dans votre politique, et appliquez-la.
Qui est responsable, l’entreprise ou son prestataire ?
L’entreprise qui édite le site est responsable du traitement des données, même si c’est le prestataire qui a construit le site et installé les outils. Le prestataire a ses propres obligations en tant que sous-traitant, mais c’est vous qui répondez des données collectées sur votre site. D’où l’intérêt de lui demander ce qu’il a installé, et de l’écrire dans le contrat.