Quelles données un site vitrine traite, sans y penser
Les champs d’un formulaire de contact — nom, courriel, téléphone, message. Les adresses IP dans les journaux du serveur. Les identifiants déposés par l’outil de mesure d’audience. Les cookies des balises publicitaires et des boutons de réseaux sociaux. Les données transmises à un service de cartographie intégré. Un site « sans base de données » traite tout de même des données personnelles, et chaque traitement a un responsable — l’entreprise — et souvent un sous-traitant.
Informer : la politique de confidentialité
Une page dédiée, accessible depuis toutes les pages, qui dit pour chaque traitement : quelles données, pourquoi, sur quelle base légale, combien de temps, qui y a accès — y compris les sous-traitants et leur pays —, et quels droits la personne a — accès, rectification, effacement, opposition — avec un contact pour les exercer. Elle est rédigée en français clair, pas copiée d’un modèle américain. Sous chaque formulaire, une mention courte renvoie à cette page et rappelle l’usage des données.
La base légale des formulaires
Un formulaire de contact ou de devis repose sur l’intérêt légitime ou sur les mesures précontractuelles — répondre à la demande — ; il n’exige pas de case à cocher de consentement, mais une information claire. Une inscription à une lettre d’information repose sur le consentement — une case non pré-cochée, distincte. Utiliser les coordonnées d’une demande de devis pour envoyer ensuite des offres commerciales est un autre traitement, qui demande une information spécifique et, pour un particulier, un consentement. Les champs collectés se limitent au nécessaire : un formulaire de contact n’a pas besoin de la date de naissance.
Les cookies et le consentement
Les cookies strictement nécessaires — session, panier, préférence de langue — ne demandent pas de consentement. Tout le reste — mesure d’audience non exemptée, publicité, réseaux sociaux, vidéos intégrées — ne se dépose qu’après un consentement libre, éclairé, spécifique, aussi facile à refuser qu’à accepter. Le bandeau propose donc « tout refuser » au même niveau que « tout accepter », ne dépose rien avant le choix, et permet de revenir sur le choix. Les sanctions de la CNIL sur ce point sont fréquentes et publiques. Un site sans cookie non essentiel — ce que l’agence livre par défaut, avec une mesure d’audience exemptée — n’a pas besoin de bandeau.
Les durées de conservation
Chaque donnée a une durée : les demandes de contact, le temps de traiter puis une durée raisonnable — souvent trois ans à compter du dernier contact pour un prospect ; les journaux du serveur, généralement un an au plus ; les données d’un client, la durée de la relation puis les délais légaux comptables. Ces durées sont écrites dans la politique et appliquées — une boîte de réception qui garde dix ans de formulaires n’est pas conforme. Sur un site statique, les formulaires transitent par un outil tiers dont la rétention doit être réglée.
Les sous-traitants : hébergeur, formulaire, mesure, cartes
L’hébergeur, l’outil de traitement des formulaires, l’outil de mesure d’audience, le service de cartographie, l’outil d’envoi de lettres d’information sont des sous-traitants. Chacun doit avoir un contrat ou des conditions qui couvrent le traitement, et être listé dans la politique avec son pays. Un sous-traitant hors Union européenne demande des garanties supplémentaires. Choisir des prestataires européens — hébergeur en France, mesure d’audience exemptée — simplifie tout ; c’est le choix par défaut de l’agence.
La sécurité et le registre
Le site est servi en HTTPS, les formulaires sont protégés contre les envois automatiques, les accès d’administration ont des mots de passe forts et une double authentification quand c’est possible, les mises à jour sont appliquées, les sauvegardes existent. Le registre des traitements — un document, souvent un tableur — liste chaque traitement avec sa finalité, ses données, sa base, sa durée, ses destinataires et ses mesures de sécurité ; il est obligatoire pour la plupart des entreprises et se remplit en une heure pour un site vitrine. En cas de violation de données, une notification à la CNIL sous soixante-douze heures peut être due.
Ce que l’agence livre, et ce qui reste à l’entreprise
L’agence livre un site sans cookie non essentiel par défaut, avec une mesure d’audience exemptée, un formulaire limité au nécessaire avec sa mention, une politique de confidentialité rédigée pour le site tel qu’il est, des prestataires européens, HTTPS et protection des formulaires. Elle fournit un modèle de registre pré-rempli pour les traitements du site. Restent à l’entreprise : compléter le registre pour ses autres traitements, appliquer les durées de conservation dans sa messagerie, répondre aux demandes de droits. Cet article n’est pas un conseil juridique ; pour une situation particulière — données de santé, prospection massive —, un avocat ou un délégué à la protection des données est le bon interlocuteur.