Un site en règle. Les bases à connaître.
Cette rubrique présente, de façon simplifiée, les points à examiner avant la mise en ligne. Elle ne remplace ni des mentions légales, ni une politique de confidentialité, ni un dispositif de consentement, ni un avis juridique : les règles précises dépendent du pays d’établissement de l’éditeur et de l’activité du site.
Données personnelles et RGPD
Dès qu’un site collecte des données qui identifient une personne (nom, e-mail, téléphone, message…), le RGPD s’applique en principe. Il faut savoir quelles données sont collectées, pourquoi et sur quelle base, en informer clairement les personnes et ne collecter que ce qui est nécessaire.
Cookies et autres traceurs
Les cookies et traceurs strictement nécessaires à un service demandé par le visiteur (par exemple le fonctionnement technique du site) ne demandent en principe pas de consentement. Ceux qui servent à la mesure d’audience, à la publicité ou à des services tiers y sont en général soumis, après une information claire. Selon les outils réellement utilisés, un site peut n’avoir besoin d’aucune bannière : tout dépend de ce qu’il enregistre ou lit sur l’appareil du visiteur.
Informations légales
Un site professionnel doit en principe indiquer qui l’édite et comment le joindre, ainsi que les informations propres à son activité (par exemple un numéro d’entreprise ou les mentions d’une profession réglementée). Le contenu exact dépend du pays et de l’activité : il se rédige pour chaque site, il ne se copie pas.
Risques et sanctions possibles
En cas de manquement, une autorité de protection des données peut notamment adresser un avertissement, ordonner une mise en conformité ou infliger une amende administrative. Pour le RGPD (art. 83), les plafonds possibles sont de 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour certains manquements (par exemple les obligations du responsable de traitement), et de 20 M€ ou 4 % pour d’autres (principes de base, consentement, droits des personnes, transferts hors UE), le montant le plus élevé étant retenu pour une entreprise. Ce sont des maximums : l’autorité tient compte de la gravité, de la durée, du caractère intentionnel, des mesures prises et de la coopération. L’absence d’un texte n’entraîne pas, à elle seule, une amende automatique.
Selon les fonctionnalités du site
- Formulaires : indiquer quelles données sont demandées, pourquoi, qui les reçoit et comment exercer ses droits.
- Mesure d’audience : vérifier si l’outil dépose des traceurs et si un consentement est requis, selon l’outil et l’autorité compétente.
- Vidéos intégrées et services tiers (cartes, polices, réseaux sociaux) : ils peuvent transmettre des données du visiteur au fournisseur ; à choisir et à configurer avec soin.
- Droits des personnes : accès, rectification, effacement, opposition… prévoir un moyen simple de les exercer et d’y répondre.