Registre des traitements, mentions légales, bandeau cookies, information des personnes et durées de conservation : les quatre documents d'un site conforme.
Un site professionnel doit publier l’identité de son éditeur, informer les personnes dont il collecte les données, recueillir un consentement valable avant de déposer des traceurs et documenter ses traitements dans un registre. La conformité RGPD d’un site web tient dans quatre documents distincts, issus de textes différents, reliés par une seule condition commune : des durées de conservation écrites et tenables.
Quatre textes, quatre obligations à ne pas mélanger
La confusion la plus répandue consiste à ranger tout ce qui touche au juridique dans une page unique intitulée « mentions légales », en espérant que le lot couvre l’ensemble. Les fondements diffèrent, les destinataires aussi, et les sanctions ne relèvent pas des mêmes autorités.
| Texte | Ce qu’il impose | Où cela se voit sur le site |
|---|---|---|
| Loi pour la confiance dans l’économie numérique, article 6-III | Identifier l’éditeur et l’hébergeur | Page de mentions légales |
| Code de la consommation et code de commerce | Conditions de vente ou d’usage | Page de conditions générales |
| Loi Informatique et Libertés du 6 janvier 1978, article 82 | Consentement avant dépôt de traceurs | Bandeau cookies et panneau de réglage |
| Règlement général sur la protection des données, articles 13, 14 et 30 | Information des personnes et registre interne | Politique de confidentialité et document interne |
Trois de ces obligations sont publiques, une seule reste interne. Le registre des traitements ne se publie pas, mais il alimente tout le reste : la politique de confidentialité n’en est que la version lisible par le public.
Le registre, inventaire qui commande les trois autres documents
L’article 30 du règlement général sur la protection des données impose de recenser les activités de traitement de données personnelles. Une ligne par finalité, pas une ligne par logiciel : le même outil de messagerie sert souvent la relation client, la prospection et le recrutement, qui sont trois traitements aux durées différentes.
Chaque ligne porte huit informations : la finalité poursuivie, la base légale invoquée, les catégories de personnes concernées, les catégories de données collectées, les destinataires internes et externes, les éventuels transferts hors Union européenne, la durée de conservation, et les mesures de sécurité appliquées.
Pour un site vitrine avec formulaire, l’inventaire tient en six à huit lignes : demandes de contact, inscriptions à la lettre d’information, comptes clients, commandes et facturation, candidatures spontanées, journaux de connexion du serveur, mesure d’audience, gestion des commentaires. La dispense prévue pour les structures de moins de 250 salariés se referme dès qu’un traitement devient régulier, ce qui est le cas de tous ceux qui viennent d’être cités. La CNIL propose un modèle simplifié et recommande la tenue d’un registre à toute organisation.
Un registre sert deux moments précis : la rédaction de la politique de confidentialité, et la réponse à une demande d’accès. Sans lui, chaque question d’un visiteur déclenche une enquête interne de plusieurs jours. Ce document croise directement le travail de gouvernance des données, qui couvre un périmètre plus large que les seules données personnelles.
Mentions légales : la liste minimale, ligne par ligne
L’article 6-III de la loi du 21 juin 2004 exige que l’éditeur d’un service de communication au public en ligne soit identifiable. Pour une société, cela signifie la dénomination sociale, la forme juridique, l’adresse du siège, le montant du capital social, le numéro d’inscription au registre du commerce et des sociétés, le numéro de taxe sur la valeur ajoutée intracommunautaire, un moyen de contact direct, et le nom du directeur de publication.
S’ajoutent les coordonnées de l’hébergeur : dénomination, adresse et numéro de téléphone. Une profession réglementée mentionne en plus son ordre professionnel, son titre et l’État qui l’a délivré. Un entrepreneur individuel indique ses nom et prénom plutôt qu’une dénomination.
Ces mentions légales doivent être accessibles depuis n’importe quelle page, ce qui se traduit en pratique par un lien permanent en pied de page vers une adresse stable du type https://exemple.fr/mentions-legales. L’article 6-VI-2 du même texte prévoit jusqu’à 75 000 euros d’amende pour une personne physique et 375 000 euros pour une personne morale en cas de manquement.
Conditions générales : deux régimes selon le public visé
Un site qui vend à des particuliers doit communiquer ses conditions générales de vente avant la conclusion du contrat, en vertu des articles L111-1 et L221-5 du code de la consommation. Elles couvrent le prix, les modalités de livraison, les garanties légales, le droit de rétractation de quatorze jours et ses exceptions, ainsi que les coordonnées du médiateur de la consommation prévu à l’article L616-1.
Entre professionnels, le régime s’allège : l’article L441-1 du code de commerce impose de communiquer les conditions générales de vente à tout acheteur professionnel qui en fait la demande, sans obligation de publication.
Un site sans transaction relève des conditions générales d’utilisation, dont aucun texte n’impose le contenu, mais qui deviennent utiles dès qu’un espace de contribution existe. Elles fixent alors les règles applicables aux contenus déposés, sujet traité en détail dans la modération des commentaires.
Un réflexe compte plus que la rédaction elle-même : versionner. La version opposable est celle qui était en ligne au moment de la commande. Conserver chaque version datée dans un dossier d’archives évite d’avoir à reconstituer, deux ans plus tard, ce que le client avait accepté. La même logique s’applique à l’ensemble des pièces contractuelles, comme le décrit la méthode de dématérialisation des documents.
Le bandeau cookies : une mécanique, pas un décor
L’article 82 de la loi Informatique et Libertés soumet à consentement préalable toute lecture ou écriture d’information sur le terminal du visiteur, sauf pour les traceurs strictement nécessaires au fonctionnement du service, comme un panier ou un jeton de session.
Trois règles rendent le dispositif valable. Aucun traceur soumis à consentement ne se dépose avant le choix. Refuser doit être aussi simple qu’accepter, soit un clic dans les deux cas, ce que la CNIL a explicité dans ses lignes directrices et sa recommandation sur les cookies. Le retrait du consentement doit rester accessible en permanence, généralement par un lien de pied de page rouvrant le panneau de réglage.
La CNIL considère que le choix exprimé se conserve pour éviter de solliciter la personne à chaque visite, et cite six mois comme bonne pratique. Les traceurs de mesure d’audience peuvent échapper au consentement à condition de servir uniquement à produire des statistiques anonymes pour l’éditeur, sans recoupement avec d’autres traitements ; la CNIL recommande alors une durée de vie du traceur limitée à treize mois et une conservation des données collectées de vingt-cinq mois au maximum.
La vérification tient en trois minutes : ouvrir le site dans une fenêtre de navigation privée, lancer l’inspecteur du navigateur, et lister ce qui a été déposé avant le moindre clic. Les extensions de partage social et les lecteurs vidéo intégrés sont les deux sources les plus fréquentes de dépôt prématuré.
Informer les personnes au moment où elles donnent leurs données
Les articles 13 et 14 du règlement général sur la protection des données imposent une information au moment de la collecte, pas seulement dans une page enfouie. La pratique qui fonctionne repose sur deux niveaux : une phrase courte sous le formulaire, qui indique la finalité, la durée et le lien vers le détail ; puis une politique de confidentialité complète.
Cette page reprend l’identité du responsable de traitement, les finalités et leurs bases légales, les destinataires y compris les sous-traitants techniques, les transferts éventuels hors Union européenne, les durées de conservation, les droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, ainsi que la possibilité de saisir la CNIL. Le nom du délégué à la protection des données s’y ajoute lorsqu’il en existe un.
Deux délais méritent d’être affichés en interne. Une demande d’exercice de droits appelle une réponse dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes, selon l’article 12. Une violation de données personnelles se notifie à la CNIL dans les soixante-douze heures après en avoir pris connaissance, en application de l’article 33, ce qui suppose de savoir qui détecte, qui décide et qui rédige. Cette chaîne recoupe les mesures décrites dans le guide de cybersécurité pour les PME.
Durées de conservation : trois âges pour chaque donnée
La limitation de la conservation figure à l’article 5.1.e du règlement. La CNIL structure la réponse en trois temps : la base active, où la donnée reste consultable par les équipes opérationnelles ; l’archivage intermédiaire, où elle sort des écrans courants mais reste accessible en cas de contentieux ou de contrôle ; puis la suppression, ou l’archivage définitif pour les rares cas d’intérêt public.
Quelques repères stables aident à remplir la colonne du registre. Les données d’un prospect qui n’a jamais commandé se conservent trois ans après le dernier contact, selon la doctrine de la CNIL en matière de prospection commerciale. Les pièces comptables relèvent des dix ans de l’article L123-22 du code de commerce. Les contrats commerciaux se calent sur la prescription quinquennale de l’article L110-4 du même code. Les candidatures non retenues se conservent deux ans après le dernier échange, durée recommandée par la CNIL.
Ces durées de conservation ne valent que si quelqu’un les applique. Une purge trimestrielle inscrite au calendrier, avec un responsable nommé, produit plus d’effet qu’une politique de dix pages jamais exécutée. Le même raisonnement vaut pour les accès aux fichiers concernés, dont la revue périodique relève de la matrice d’habilitations.
Faire vivre les documents par déclencheurs plutôt que par audit annuel
Un audit annuel révèle des écarts vieux de onze mois. Une liste de déclencheurs les évite. Six événements imposent de rouvrir les documents : l’ajout d’un formulaire, le changement d’hébergeur, l’installation d’un nouvel outil de statistiques ou de chat, le recours à un nouveau sous-traitant, le déménagement du siège, et l’ouverture d’un moyen de paiement supplémentaire.
Chacun de ces événements se traite en trois gestes : ajouter ou modifier la ligne de registre, répercuter la modification dans la politique de confidentialité, vérifier le comportement du bandeau. Comptez vingt minutes. La même opération conduite deux ans plus tard, sur un site dont personne ne se souvient des choix, demande une journée entière et laisse toujours une zone grise.
Reste un contrôle simple à programmer chaque trimestre : ouvrir le pied de page et cliquer sur chacun des liens juridiques. Une page de mentions légales renvoyant vers une erreur 404 après une refonte reste la défaillance la plus banale, et la plus facile à corriger.
