RGPD : ce qu'un site vitrine doit vraiment faire

Un site vitrine qui se contente de présenter une activité et de proposer un formulaire de contact a des obligations réelles mais limitées. Le problème, c'est qu'on voit partout des sites qui empilent des dispositifs inutiles tout en passant à côté de l'essentiel.

Ce qui suit concerne ce cas précis : un site sans boutique, sans espace client, sans publicité.

Le bandeau cookies n'est pas toujours nécessaire

C'est le contresens le plus répandu. Le bandeau de consentement est requis pour les traceurs non essentiels : mesure d'audience détaillée, publicité, réseaux sociaux intégrés.

Un site qui ne dépose aucun de ces traceurs n'a pas à demander de consentement, et afficher un bandeau inutile n'est pas un excès de prudence — c'est une gêne pour le visiteur et un aveu de confusion.

La question à se poser n'est donc pas « ai-je un bandeau ? » mais « qu'est-ce que mon site dépose réellement chez le visiteur ? ». Une police chargée depuis un service extérieur, une vidéo intégrée, une carte, un module d'avis : chacun de ces éléments peut déposer quelque chose sans que vous l'ayez décidé.

Ce qui est obligatoire dans tous les cas

Les mentions légales. Pour un professionnel, elles doivent permettre d'identifier l'éditeur : nom, coordonnées, numéro d'immatriculation le cas échéant, et l'identité de l'hébergeur. Ce n'est pas facultatif, et l'absence est sanctionnée.

Une information sur le traitement des données. Dès qu'un formulaire collecte un nom et une adresse e-mail, il faut dire qui traite ces données, pour quelle finalité, combien de temps elles sont conservées, et comment exercer ses droits.

Le consentement au formulaire. Une case à cocher non pré-cochée, avec un lien vers la politique de confidentialité. Et surtout : ce consentement doit être vérifié côté serveur, pas seulement dans le navigateur. Une case obligatoire uniquement en HTML se contourne en trente secondes.

Une durée de conservation définie. « Nous conservons les données du formulaire trois ans après le dernier contact » est une phrase qui doit exister, et être vraie.

Les oublis les plus fréquents

Les sous-traitants ne sont pas listés. Votre hébergeur, votre service d'envoi d'e-mails, votre outil de formulaire traitent des données pour vous. Ils doivent être mentionnés, au moins par catégorie.

La politique décrit un site qui n'existe pas. Des textes recopiés qui parlent de cookies analytiques absents, de comptes clients inexistants, ou d'un stockage jamais utilisé. Un document inexact vous dessert : il montre qu'il n'a pas été lu.

Les données vivent éternellement dans une boîte mail. La durée de conservation annoncée ne vaut que si quelqu'un l'applique.

Le cas des polices et des contenus intégrés

C'est le piège technique le plus courant. Une police chargée depuis un service extérieur transmet l'adresse IP du visiteur à ce service, à chaque page. Une vidéo intégrée depuis une plateforme dépose souvent des traceurs avant même qu'on ait cliqué.

La parade est simple et améliore au passage les performances : héberger les polices sur son propre domaine, et ne charger les contenus intégrés qu'après une action du visiteur.

Le contrôle en dix minutes

Ouvrez votre site dans une fenêtre privée, puis l'inspecteur du navigateur, onglet réseau. Rechargez et regardez vers quels domaines extérieurs des requêtes partent.

Cette liste est la réalité de votre site. Si elle ne contient que votre propre domaine, votre situation est simple. Chaque domaine tiers est une question à traiter — et parfois un élément à retirer, ce qui règle le sujet définitivement.

Notre page Outils digitaux sur-mesure décrit la façon dont on traite ces points à la construction.