RGPD et site internet de PME : la checklist pour ne rien oublier

Le RGPD est entré en application en 2018, et beaucoup de sites de PME ne sont toujours pas en ordre. Pas par mauvaise volonté : parce que le sujet paraît flou, juridique, et qu'on ne sait pas par où commencer. Résultat, on trouve encore des formulaires qui envoient des données sans la moindre explication, des bannières cookies décoratives et des politiques de confidentialité copiées sur un autre site.

Bonne nouvelle : pour un site vitrine ou une petite boutique, l'essentiel repose sur quelques principes simples. Voici la checklist que nous parcourons avec nos clients. Une précision d'emblée : nous sommes une agence web, pas un cabinet d'avocats. Ce qui suit est un guide pratique, pas un avis juridique. Si votre activité traite des données sensibles (santé, enfants, données financières), faites valider votre situation par un professionnel du droit.

1. Savoir quelles données votre site collecte

Avant de parler de bannière ou de politique, faites l'inventaire. Un site collecte des données personnelles bien plus souvent qu'on ne le croit :

• le formulaire de contact (nom, e-mail, téléphone, message) ;
• l'inscription à une newsletter ;
• les comptes clients et les commandes d'une boutique en ligne ;
• les outils de mesure d'audience, qui enregistrent des informations sur les visiteurs ;
• les contenus intégrés : vidéo YouTube, carte Google Maps, boutons de réseaux sociaux, qui peuvent déposer leurs propres cookies.

Pour chaque élément, posez-vous trois questions : pourquoi je collecte cette donnée, où elle est stockée, et combien de temps je la garde. Si vous ne savez pas répondre, c'est par là qu'il faut commencer, souvent avec la personne qui a réalisé le site.

2. Un formulaire de contact sobre et transparent

Le principe de base du RGPD, c'est la minimisation : ne demandez que ce dont vous avez réellement besoin. Pour répondre à une demande de devis, un nom, un e-mail et un message suffisent souvent. Le numéro de téléphone peut être facultatif, la date de naissance n'a généralement rien à faire là.

Sous le formulaire, une phrase courte indique à quoi serviront les données et renvoie vers votre politique de confidentialité. Par exemple : « Vos données servent uniquement à répondre à votre demande. Elles ne sont ni revendues ni utilisées à d'autres fins. » Si vous voulez aussi envoyer une newsletter, prévoyez une case séparée, non cochée par défaut.

Côté technique, vérifiez que le site est en HTTPS (le petit cadenas dans la barre d'adresse) et que les messages ne s'accumulent pas indéfiniment dans une base de données que personne ne consulte. Faites aussi le tri dans votre boîte mail de temps en temps : les demandes vieilles de plusieurs années n'ont en général plus de raison d'être conservées.

3. Les cookies : le point qui pose le plus de questions

Les règles sur les cookies distinguent, en gros, deux familles. Les cookies strictement nécessaires au fonctionnement du site (panier d'achat, session de connexion, mémorisation du choix de cookies) peuvent être utilisés sans consentement. Les autres, notamment ceux de mesure d'audience détaillée, de publicité ou de réseaux sociaux, demandent en principe l'accord préalable du visiteur.

Concrètement, une bannière cookies correcte :

• apparaît avant que les cookies non essentiels ne soient déposés, pas après ;
• permet de refuser aussi facilement que d'accepter, sans devoir fouiller dans des réglages ;
• n'utilise pas de cases précochées ;
• permet de changer d'avis plus tard, via un lien en pied de page par exemple.

Il existe une autre piste, que nous privilégions souvent : réduire le nombre de cookies. Un outil de statistiques respectueux de la vie privée, une carte affichée seulement au clic, une vidéo chargée à la demande : moins votre site dépose de traceurs, plus la bannière est simple, et parfois elle devient inutile. C'est aussi bénéfique pour la vitesse du site, comme nous l'expliquons dans notre article sur les sites lents.

4. Les mentions légales, à ne pas confondre

Les mentions légales ne relèvent pas directement du RGPD, mais elles vont souvent de pair. En Belgique, une entreprise qui a un site doit en général permettre au visiteur de l'identifier facilement. On y retrouve habituellement :

• le nom ou la dénomination de l'entreprise et sa forme juridique ;
• l'adresse du siège ;
• une adresse e-mail et, idéalement, un numéro de téléphone ;
• le numéro d'entreprise (BCE) et le numéro de TVA ;
• selon la profession, l'ordre ou la fédération professionnelle et les règles qui s'y appliquent.

Une page « Mentions légales » accessible depuis le pied de page de chaque page fait parfaitement l'affaire.

5. Une politique de confidentialité qui vous ressemble

C'est le document que tout le monde copie, et c'est une erreur. Une politique de confidentialité doit décrire ce que fait votre site, pas celui d'une multinationale. Elle répond, en langage clair, à quelques questions :

1. Qui est responsable des données (votre entreprise, avec ses coordonnées) ?
2. Quelles données sont collectées, et pourquoi ?
3. Sur quelle base (exécution d'une commande, réponse à une demande, consentement, obligation légale…) ?
4. Qui y a accès : vous, votre hébergeur, votre outil d'e-mailing, votre prestataire de paiement ?
5. Combien de temps sont-elles conservées ?
6. Comment la personne peut-elle consulter, corriger ou supprimer ses données, et à qui s'adresser ?

Mentionnez aussi la possibilité d'introduire une plainte auprès de l'Autorité de protection des données, l'autorité de contrôle belge. Deux pages claires valent mieux que quinze pages de jargon que personne ne lit.

6. Vos prestataires font partie du tableau

Votre site ne vit pas seul. L'hébergeur, l'outil d'envoi de newsletters, la solution de paiement, le logiciel de réservation traitent eux aussi des données pour votre compte. Vérifiez qu'ils proposent un contrat de traitement des données (souvent appelé DPA) et, si possible, qu'ils hébergent les données dans l'Union européenne ou offrent des garanties équivalentes.

Pensez aussi aux accès : qui peut se connecter à l'administration du site ? Un ancien stagiaire a-t-il toujours son compte ? Un mot de passe partagé circule-t-il par e-mail ? La sécurité fait partie intégrante du RGPD, et c'est souvent là que se trouvent les vraies failles.

7. Et si quelqu'un vous demande ses données ?

Toute personne peut vous demander quelles données vous détenez sur elle, les faire corriger ou supprimer. Cela arrive rarement dans une petite structure, mais il faut savoir répondre. Le délai de réponse est en principe d'un mois. Ayez une adresse e-mail identifiée pour ces demandes, et sachez où chercher : formulaires reçus, liste de newsletter, comptes clients, logiciel de facturation.

La checklist en résumé

• Inventaire des données collectées par le site.
• Formulaires limités à l'essentiel, avec une phrase d'information.
• Site en HTTPS.
• Bannière cookies honnête, ou mieux, le moins de cookies possible.
• Page de mentions légales complète.
• Politique de confidentialité rédigée pour votre site.
• Contrats et accès des prestataires vérifiés.
• Une procédure simple pour répondre aux demandes des personnes.

Quand nous réalisons un site, ces éléments font partie du travail de base : formulaires sobres, cookies limités, pages légales prévues dès la maquette. Si vous avez un doute sur votre site actuel, nous pouvons y jeter un œil lors d'un premier rendez-vous gratuit, à Visé ou ailleurs dans la région liégeoise. Voyez notre service de création de site, nos tarifs, ou écrivez-nous via la page contact. On prend un café ?