RGPD, mentions légales, cookies : votre site d'entreprise est-il en règle ?

La conformité d'un site d'entreprise — RGPD, mentions légales, cookies — est le sujet que tout le monde remet à plus tard, jusqu'au contrôle, à la plainte d'un concurrent ou au client grand compte qui audite ses fournisseurs. La bonne nouvelle : pour un site vitrine de PME, la mise en règle est simple et rapide. Encore faut-il savoir ce qui est réellement obligatoire.

Avertissement honnête : nous sommes une agence web, pas un cabinet d'avocats. Ce guide couvre les obligations courantes d'un site vitrine ; les cas particuliers (santé, mineurs, données sensibles) méritent un conseil juridique.

Les mentions légales : obligatoires pour tous, tout le temps

Tout site professionnel français doit afficher, accessible depuis chaque page (le lien en pied de page suffit) :

• L'identité de l'éditeur : dénomination sociale, forme juridique, capital, siège, SIRET, et un moyen de contact direct (email + téléphone).
• Le directeur de la publication (généralement le dirigeant).
• L'hébergeur : nom, raison sociale, adresse, téléphone.
• Selon l'activité : numéro de TVA intracommunautaire, inscription au RCS ou au répertoire des métiers, ordre professionnel et règles applicables pour les professions réglementées.

L'absence de mentions légales est une infraction en soi (le texte prévoit jusqu'à un an d'emprisonnement et 75 000 € d'amende pour un dirigeant — rarement appliqué à ce niveau, mais l'argument suffit en cas de litige). C'est aussi le premier réflexe de vérification d'un acheteur B2B sérieux.

Le RGPD appliqué à un site vitrine : moins effrayant qu'on ne le dit

Le RGPD s'applique dès que votre site collecte des données personnelles — et un simple formulaire de contact en collecte. Pour un site vitrine de PME, les obligations pratiques tiennent en quatre points :

1. Une politique de confidentialité : quelles données vous collectez (formulaire, statistiques), pourquoi, combien de temps vous les gardez, qui y accède, et comment exercer ses droits (accès, rectification, effacement). Une page claire suffit — pas un roman juridique illisible.
2. La minimisation : ne demandez dans vos formulaires que le nécessaire. Un formulaire de contact n'a pas besoin de la date de naissance — c'est aussi meilleur pour la conversion.
3. La sécurité : le HTTPS n'est pas optionnel dès qu'un formulaire transmet des données.
4. Le registre des traitements : obligation générale de l'entreprise (pas seulement du site) — pour une PME, un document simple listant les traitements (prospects du site, clients, paie…) tenu à jour.

Les cookies : là où presque tout le monde est en faute

La règle française (CNIL) est précise : les cookies non essentiels — mesure d'audience détaillée, publicité, réseaux sociaux — exigent un consentement préalable, libre et aussi facile à refuser qu'à accepter. Concrètement :

• Le bandeau doit offrir « Refuser » au même niveau que « Accepter » — le bouton de refus caché derrière trois clics est précisément ce que la CNIL sanctionne.
• Rien ne se dépose avant le choix de l'utilisateur (sauf cookies strictement techniques).
• Le choix doit être mémorisé et modifiable.

Deux simplifications utiles pour une PME : certains outils de mesure d'audience configurés en mode exempté (données anonymisées, finalité limitée) peuvent se passer de consentement — c'est l'approche des alternatives légères à Google Analytics (nos 5 chiffres à suivre fonctionnent très bien ainsi). Et un site vitrine sans publicité ni traceurs tiers peut souvent se contenter d'un bandeau minimal, voire s'en passer — moins de gadgets, moins d'obligations.

Les risques réels (au-delà des amendes maximales)

Les amendes RGPD spectaculaires visent les grands groupes, mais la CNIL sanctionne aussi des PME (contrôles sur plainte, campagnes thématiques — les cookies en font partie). Les risques les plus probables pour une PME sont ailleurs : la plainte d'un concurrent (arme banale), la perte d'un marché face à un acheteur qui audite la conformité de ses fournisseurs, et l'image — un bandeau cookies voyou ou des mentions absentes signalent le même laisser-aller qu'une vitrine sale.

La mise en conformité en pratique

Pour un site vitrine standard, comptez une demi-journée de travail : rédaction des trois pages (mentions, confidentialité, cookies), configuration du bandeau si nécessaire, vérification des formulaires et du HTTPS. Le bon moment pour le faire : à la création du site — c'est inclus dans tout projet sérieux (notre checklist du dirigeant le prévoit), et régulariser après coup coûte toujours plus cher que faire bien d'emblée.

Questions fréquentes

Quelles mentions légales sont obligatoires sur un site d'entreprise ?

Identité complète de l'éditeur (dénomination, forme, siège, SIRET, contact), directeur de la publication, hébergeur, et selon l'activité TVA intracommunautaire, RCS ou répertoire des métiers. Accessibles depuis chaque page.

Le RGPD s'applique-t-il à un simple site vitrine ?

Oui, dès qu'il collecte des données (un formulaire de contact suffit) : politique de confidentialité, minimisation des données demandées, HTTPS, et inscription du traitement au registre de l'entreprise.

Mon bandeau cookies est-il conforme ?

Test rapide : « Refuser » est-il aussi visible et rapide que « Accepter », et rien ne se dépose avant le choix ? Si non, il est non conforme — c'est le manquement le plus sanctionné par la CNIL.

Peut-on se passer de bandeau cookies ?

Oui, si le site ne dépose que des cookies strictement nécessaires — par exemple avec une mesure d'audience exemptée de consentement et sans traceurs publicitaires ou tiers. Moins de gadgets, moins d'obligations.

Ali Ben Nejma — fondateur d'AxioneWeb. Nos sites sont livrés avec les trois pages de conformité et une mesure d'audience respectueuse. Pour les situations particulières, faites valider par votre conseil juridique.