Mentions obligatoires sur un site internet : la check-list complète

Tout site professionnel doit permettre d’identifier facilement l’entreprise qui l’édite et son hébergeur. Les informations à afficher dépendent de votre statut.

Dans tous les cas : nom ou dénomination sociale de l’hébergeur, son adresse et son numéro de téléphone.

D’autres mentions peuvent s’ajouter :

• le nom du directeur de la publication ;
• l’autorité qui a délivré l’autorisation pour une activité réglementée (la Dreal pour le transport routier de marchandises, par exemple) ;
• le titre professionnel et l’ordre d’inscription pour une profession réglementée (architecte, expert-comptable…).

Ne négligez pas non plus les droits d’auteur : photos, vidéos, logos et textes doivent être utilisés avec l’autorisation de leur auteur ou sous une licence adaptée.

Attention : l’absence de ces mentions est punie de 375 000 € d’amende pour une société et de 75 000 € pour une entreprise individuelle.

Formulaire de contact, newsletter, prise de rendez-vous, commande en ligne : dès que votre site collecte des données, vous réalisez un traitement de données personnelles. Vous devez :

1. Recenser les données collectées, en ne gardant que celles qui sont nécessaires.
2. Définir pourquoi, par qui et combien de temps elles sont utilisées.
3. Informer l’internaute au moment de la collecte : identité du responsable, finalité, base légale, destinataires, durée de conservation, droits et possibilité de saisir la Cnil.
4. Recueillir le consentement quand il est nécessaire.

Ces informations se rassemblent dans une politique de confidentialité, distincte des CGV, accessible depuis chaque page du site.

Sanctions : 1 500 € d’amende en cas d’information manquante, et jusqu’à 300 000 € d’amende et 5 ans d’emprisonnement pour des données traitées sans le consentement requis.

Quand faut-il demander le consentement ?

Le consentement n’est pas systématique. Il n’est pas requis quand le traitement est nécessaire à l’exécution d’un contrat (livrer une commande, par exemple) ou à une obligation légale. Il l’est, par exemple, pour envoyer une newsletter, sauf si l’internaute a déjà acheté un produit similaire chez vous ou s’il s’agit d’un professionnel.

Il l’est aussi, en principe, pour les cookies et traceurs publicitaires, alors que certains traceurs strictement nécessaires au fonctionnement du site en sont dispensés.

À quoi ressemble un consentement valable ?

Lorsqu’il est requis, le consentement doit être libre, spécifique, éclairé et univoque. Concrètement :

• l’internaute doit pouvoir accepter ou refuser aussi facilement ;
• il doit pouvoir retirer son consentement à tout moment, par exemple avec un lien « Gérer mes cookies » accessible depuis toutes les pages ;
• vous devez pouvoir prouver que vous l’avez recueilli ;
• un consentement donné pour un usage ne vaut pas pour un autre : l’adresse e-mail laissée pour obtenir une réponse ne peut pas servir à envoyer une newsletter.

Avant tout dépôt de cookie publicitaire, le bandeau doit proposer au minimum « Tout accepter », « Tout refuser » et l’accès au paramétrage des finalités.

Pixels de suivi : des traceurs comme les autres

Un pixel de suivi est une image minuscule (1 pixel sur 1 pixel), invisible, intégrée à un site web ou à un e-mail. Son chargement permet de savoir qu’un utilisateur identifié a visité une page ou lu un message. Il relève de la même réglementation que les cookies (article 82 de la loi Informatique et Libertés).

Sur votre site, un pixel publicitaire ou de mesure d’audience suit les mêmes règles que les cookies : il ne doit pas se déclencher avant le choix de l’internaute dans votre bandeau.

Dans vos e-mails et newsletters, la Cnil a publié une recommandation dédiée. Le principe : le consentement est requis avant d’utiliser un pixel, sauf exceptions.

• Exemption pour la délivrabilité : mesurer, destinataire par destinataire, si vos messages sont bien reçus, afin de retirer de vos listes les contacts devenus inactifs. Elle ne vaut que pour les e-mails liés à un service demandé par le destinataire, avec des données limitées au strict nécessaire, uniquement pour cette mesure.
• Courriels rattachés à un service demandé : les e-mails transactionnels (confirmation de commande, facture, expédition d’un colis, réinitialisation de mot de passe, alerte de sécurité…) et ceux pour lesquels le destinataire a donné son consentement.
• Contacts déjà dans vos fichiers : pour les adresses collectées avant la recommandation, la Cnil demande d’informer clairement les destinataires de l’utilisation de pixels, dans un délai de trois mois, et de leur permettre de s’y opposer facilement.

• Clients particuliers : les CGV sont obligatoires sur le site (15 000 € d’amende en cas de manquement). Elles précisent notamment prix TTC, livraison, paiement, droit de rétractation, garanties et règlement des litiges.
• Clients professionnels : les CGV sont facultatives, mais doivent être communiquées sur demande (75 000 € d’amende en cas de refus).

Si vous proposez un abonnement à des consommateurs, vous devez leur offrir une fonctionnalité gratuite de résiliation en ligne, facile d’accès, avec une page récapitulative, un bouton « notification de la résiliation » et une confirmation de réception.

Sanction : 75 000 € d’amende pour une personne physique, 375 000 € pour une société.