Ce que la loi exige vraiment
Le RGPD est entré en application en mai 2018. Depuis, beaucoup de prestataires web ont vendu de la peur plutôt que de la conformité. Résultat : des TPE qui croulent sous des bannières cookies inutiles et des CGU copiées-collées de 40 pages, mais qui n'ont pas les fondamentaux en place.
Voici ce qui est réellement obligatoire pour un site web de TPE/PME française.
Les mentions légales : obligatoires, toujours
La loi LCEN (Loi pour la Confiance dans l'Économie Numérique) exige des mentions légales sur tout site web accessible au public. Ces mentions doivent inclure : le nom ou la raison sociale de l'éditeur, son adresse, son numéro SIRET, les coordonnées de l'hébergeur.
C'est non-négociable, même pour un site d'une page. La CNIL peut sanctionner l'absence de mentions légales. En pratique, c'est surtout un justiciable concurrent ou un client mécontent qui pourrait s'en saisir.
La politique de confidentialité : obligatoire dès qu'il y a collecte
Dès que votre site collecte des données personnelles, même juste un formulaire de contact avec une adresse e-mail, vous êtes soumis au RGPD. Une politique de confidentialité est obligatoire. Elle doit expliquer : quelles données sont collectées, pourquoi (finalité), combien de temps elles sont conservées, qui y a accès, comment exercer ses droits.
Pour une TPE sans DPO désigné, c'est Marc-Antoine Pavadé ou le gérant de l'entreprise qui est le point de contact RGPD.
La bannière cookies : uniquement si vous traitez des traceurs
C'est là que beaucoup de sites se trompent. Une bannière cookies n'est obligatoire que si vous utilisez des cookies qui nécessitent un consentement : Google Analytics, Facebook Pixel, publicité ciblée, etc.
Si votre site utilise uniquement des cookies techniques (session, panier) et aucun outil de tracking tiers, vous n'avez pas besoin de bannière de consentement. Un simple bandeau informatif peut suffire.
Le registre des traitements : souvent oublié
Le RGPD exige de tenir un registre des activités de traitement. Pour une TPE, c'est un document interne (pas public) qui liste chaque type de traitement de données personnelles : clients, prospects, employés, fournisseurs. En cas de contrôle CNIL, c'est la première chose demandée.
Ce qui est du folklore
- Les CGU de 50 pages copiées-collées que personne ne lit : une CGU doit être proportionnée à votre activité réelle.
- La case à cocher "j'accepte les conditions" sur un formulaire de contact basique : inutile si vous ne traitez pas de données sensibles.
- Le pop-up RGPD qui s'affiche même en l'absence de tout traceur : source de friction inutile pour l'utilisateur.
La bonne approche pour une TPE
Commencez par les fondamentaux : mentions légales complètes, politique de confidentialité claire et lisible, registre des traitements tenu à jour. Ajoutez une bannière cookies uniquement si vous utilisez Google Analytics ou tout autre outil de tracking. Le reste vient ensuite, si votre activité le justifie.
Chaque site livré par Nine Technologies inclut les mentions légales et la politique de confidentialité adaptées à l'activité du client. Pas du copier-coller, pas du sur-zèle : ce qui est nécessaire et rien de plus.