Mentions légales, cookies et RGPD : ce que votre site doit afficher

Trois obligations qu’on confond souvent

Les mentions légales, la politique de confidentialité et le bandeau cookies ne répondent pas aux mêmes textes et ne disent pas la même chose. Les mettre sur une seule page fourre-tout n’est pas interdit, mais c’est souvent là qu’un élément manque sans que personne ne le remarque.

Les mentions légales : qui publie le site

La loi pour la confiance dans l’économie numérique impose à tout éditeur professionnel d’un site de mettre à disposition du public son identité, le nom du directeur de la publication et les coordonnées de son hébergeur³. Le contenu exact dépend de votre statut.

Pour une société, l’absence de ces mentions est punie jusqu’à 375 000 € d’amende¹. Pour un entrepreneur individuel, jusqu’à un an de prison et 75 000 € d’amende². Au-delà du risque, un site qui ne dit pas qui le publie inspire moins confiance à un client qui ne vous connaît pas encore.

La politique de confidentialité : ce que vous faites des données

Un formulaire de contact, une demande de devis, une inscription à une lettre d’information : dès que votre site recueille des données personnelles, vous devez informer les personnes concernées, dans un langage clair et facile d’accès⁷. C’est le rôle de la politique de confidentialité, distincte des conditions générales de vente¹.

La CNIL recommande une information en deux niveaux : l’essentiel directement sous le formulaire (qui recueille les données, pourquoi, et comment exercer ses droits), puis un lien vers la page complète⁷. Inutile de recopier un modèle de dix pages : décrivez ce que votre site fait vraiment.

• Qui vous êtes, et comment vous contacter
• Pourquoi vous recueillez ces données, et sur quelle base légale
• Qui les reçoit : vous, votre messagerie, un sous-traitant
• Combien de temps vous les gardez
• Les droits de la personne (accès, rectification, effacement, opposition) et comment les exercer
• Le droit de réclamer auprès de la CNIL

Cookies : quand le bandeau est obligatoire

Le principe posé par la loi est simple : un traceur déposé sur l’appareil du visiteur exige son accord préalable, sauf s’il est strictement nécessaire au service qu’il demande⁴. Sont dispensés, par exemple, les cookies qui gardent un panier, maintiennent une connexion, retiennent un choix de langue, ou répartissent la charge entre serveurs⁴.

Demandent en revanche un consentement les cookies de publicité personnalisée et ceux des réseaux sociaux, notamment derrière les boutons de partage⁴. Une vidéo ou une carte intégrée depuis un service tiers peut aussi en déposer : c’est souvent là que naît un bandeau dont on ne soupçonnait pas la nécessité.

La mesure d’audience sans bandeau

Savoir combien de personnes visitent vos pages n’impose pas forcément de bandeau. La CNIL dispense de consentement l’outil de mesure d’audience qui sert uniquement à mesurer l’audience de votre site, ne produit que des statistiques anonymes et ne travaille que pour vous⁶. Il ne doit ni recouper ces données avec d’autres traitements, ni suivre le visiteur sur d’autres sites⁶.

La CNIL recommande en outre de limiter la durée de vie de ces cookies à treize mois, sans prolongation automatique, de ne pas conserver les données plus de vingt-cinq mois, et d’en informer les visiteurs dans la politique de confidentialité⁶. Un outil qui ne remplit pas toutes ces conditions repasse sous le régime du consentement, donc du bandeau.

Une question distincte est celle du lieu où partent les données. Depuis le 10 juillet 2023, les transferts vers les entreprises américaines certifiées au titre du cadre UE–États-Unis sont permis ; la CNIL précise que la dispense de consentement ne règle pas cette question, et inversement⁸.

Un bandeau conforme, s’il en faut un

Pour la CNIL, le refus doit se manifester par une action aussi simple que l’acceptation⁵. En pratique, un bouton « Tout refuser » aussi visible que « Tout accepter ». Poursuivre sa navigation sans répondre doit s’interpréter comme un refus : aucun traceur soumis au consentement ne peut alors être déposé⁵.

Le visiteur doit pouvoir changer d’avis à tout moment, aussi simplement qu’il a donné son accord⁵. Et une fois son choix fait, inutile de le lui redemander à chaque page : conserver ce choix six mois est, selon la CNIL, une bonne pratique⁵.

Le plus simple : un site qui n’a pas besoin de bandeau

Un bandeau cookies n’est pas un passage obligé, c’est la conséquence des outils posés sur le site. Sans publicité, sans bouton de réseau social, avec des vidéos et des cartes intégrées sans traceur, et une mesure d’audience qui reste chez vous, il n’a plus de raison d’être. Le visiteur arrive directement sur votre contenu.

C’est le choix que nous avons fait pour notre propre site : il ne dépose aucun cookie, et notre serveur compte les pages vues de façon anonyme, agrégée par jour, sans adresse IP ni identifiant. Notre page de confidentialité dit exactement ce que le site fait, rien de plus. Pour vérifier ce que le vôtre laisse voir, notre guide des erreurs qui font fuir les visiteurs détaille les autres points à contrôler.

Questions fréquentes