Trois documents, trois textes différents, et une confusion permanente entre les trois. Les mentions légales disent qui vous êtes. La politique de confidentialité dit ce que vous faites des données. Le bandeau cookies demande une permission, et seulement quand il y a quelque chose à permettre. Voici ce qui est obligatoire, et ce qui vous est surtout vendu.
Les mentions légales : article 6-III de la LCEN
La loi pour la confiance dans l'économie numérique impose à tout éditeur professionnel de site de se rendre identifiable. Doivent y figurer :
- Votre identité : nom et prénom si vous êtes en entreprise individuelle ou micro-entreprise ; dénomination sociale, forme juridique et montant du capital social si vous êtes en société.
- L'adresse du siège, un numéro de téléphone et une adresse électronique.
- Votre numéro d'identification : SIREN ou SIRET, et le numéro d'inscription au registre du commerce et des sociétés avec la ville du greffe, ou au registre national des entreprises selon votre activité.
- Le numéro de TVA intracommunautaire si vous êtes assujetti. Si vous êtes en franchise en base, vous n'en avez pas, et il ne faut donc rien inventer.
- Le nom du directeur de la publication : dans une petite structure, c'est le dirigeant.
- Les coordonnées de l'hébergeur : nom, adresse et téléphone. C'est la ligne que tout le monde oublie.
- Pour les professions réglementées (avocat, médecin, expert-comptable, architecte, agent immobilier) : l'ordre ou l'autorité de tutelle, le titre professionnel et l'État qui l'a délivré, et la référence aux règles professionnelles applicables.
- Si vous vendez à des consommateurs : les coordonnées de votre médiateur de la consommation, en plus des conditions générales de vente.
La LCEN prévoit des sanctions théoriquement lourdes pour un défaut d'identification. En pratique, un site vitrine incomplet ne finit pas au tribunal, mais l'absence de mentions légales est le premier signal de sérieux qui manque quand un client hésite entre vous et un concurrent, et la première chose qu'on vous reprochera en cas de litige.
Point de forme, sous-estimé : les mentions doivent être accessibles depuis toutes les pages, en général par un lien en bas de page.
La politique de confidentialité : article 13 du RGPD
Elle est due dès que vous traitez des données personnelles, ce qui arrive plus vite qu'on ne croit : journaux du serveur avec adresses IP, formulaire de contact, newsletter, prise de rendez-vous, boutique.
Elle doit indiquer qui est responsable du traitement, quelles données sont collectées et pourquoi, sur quelle base légale (article 6 du RGPD : contrat, obligation légale, intérêt légitime ou consentement), qui d'autre y a accès (hébergeur, prestataire de paiement, logiciel de réservation), combien de temps les données sont conservées, si elles quittent l'Union européenne, et quels sont les droits de la personne : accès, rectification, effacement, opposition, portabilité, et réclamation auprès de la CNIL.
Une politique de confidentialité copiée sur un autre site est pire qu'une politique absente : elle décrit des traitements que vous ne faites pas, et elle oublie ceux que vous faites.
Le bandeau cookies : seulement si vous en avez besoin
C'est ici qu'on vend le plus de peur. Le texte applicable est l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy : lire ou écrire une information sur le terminal d'un visiteur suppose son consentement, sauf si c'est strictement nécessaire à la fourniture du service. Le panier, la session, le choix de langue et la mémorisation du choix cookies lui-même sont exemptés.
Concrètement :
- Si vous utilisez Google Analytics, un pixel publicitaire ou une vidéo YouTube intégrée, il vous faut un bandeau. Et selon la doctrine de la CNIL, refuser doit être aussi simple qu'accepter : un bouton "Tout refuser" au même niveau que "Tout accepter", pas de cases pré-cochées, pas de bandeau qui bloque la lecture sans possibilité de refus.
- Si vous n'utilisez rien de tout cela, vous n'avez pas besoin de bandeau. La CNIL prévoit d'ailleurs une exemption pour les mesures d'audience strictement limitées à la statistique du site, sans recoupement ni transmission à des tiers.
Autrement dit, la façon la plus simple d'être en règle sur les cookies, c'est de ne pas en poser.
Comment nous générons ces pages
Chez 1h1app, vous remplissez un formulaire : identité, forme juridique, adresse, SIREN, TVA, ce que fait le site, quels prestataires y accèdent. Le site génère ensuite les mentions légales, la politique de confidentialité et la politique cookies en français, reliées en bas de chaque page. Le bandeau n'apparaît que si vos réponses le rendent nécessaire : la mesure d'audience intégrée fonctionne sans cookies, et les cartes s'appuient sur des tuiles hébergées chez nous plutôt que sur un script tiers.
Deux réserves, dites franchement. Ce n'est pas un conseil juridique. Et les textes générés s'appuient sur les fondements européens (directive 2000/31/CE, RGPD) et sur vos informations : ils ne récitent pas article par article le droit français, et l'autorité de contrôle apparaît sous la forme d'un espace à compléter, à remplacer par la CNIL. Pour une profession réglementée ou une boutique avec droit de rétractation, faites relire par quelqu'un dont c'est le métier.
La liste à cocher avant de publier
- Le lien "Mentions légales" est présent en bas de toutes les pages.
- Le nom, l'adresse et le téléphone de l'hébergeur y figurent.
- Le SIREN ou SIRET est le bon, et le numéro de TVA n'apparaît que si vous êtes assujetti.
- La politique de confidentialité décrit vos vrais traitements, pas ceux d'un autre site.
- Le bandeau cookies, s'il existe, propose "Tout refuser" aussi visible que "Tout accepter".
- Si vous vendez à des particuliers : conditions générales de vente, droit de rétractation et médiateur de la consommation.
Pour le reste du site, c'est-à-dire ce qui fait qu'on vous appelle, voyez ce qu'il faut mettre sur un site d'indépendant.
Questions fréquentes
Les mentions légales sont-elles obligatoires sur un site vitrine ?
Oui. L'article 6-III de la LCEN vise tout éditeur professionnel de service de communication au public en ligne, qu'il vende quelque chose ou non. Un simple site de présentation d'activité doit donc comporter des mentions légales complètes, accessibles depuis toutes les pages.
Que doit contenir les mentions légales d'un auto-entrepreneur ?
Nom et prénom, adresse, téléphone, adresse électronique, numéro SIREN ou SIRET et registre d'inscription, numéro de TVA intracommunautaire si vous êtes assujetti, nom du directeur de la publication, et les coordonnées complètes de l'hébergeur du site.
Faut-il un bandeau cookies si je n'utilise pas Google Analytics ?
En principe non. Le consentement n'est exigé que pour les traceurs qui ne sont pas strictement nécessaires au service. Un site avec un formulaire, une carte sans traceur et une mesure d'audience sans cookie peut se passer de bandeau, et la CNIL prévoit une exemption pour les mesures d'audience strictement limitées.
Quelle différence entre mentions légales et politique de confidentialité ?
Les mentions légales viennent de la LCEN et disent qui édite le site et qui l'héberge. La politique de confidentialité vient du RGPD et explique quelles données personnelles sont traitées, pourquoi, pendant combien de temps et quels sont vos droits. Ce sont deux pages distinctes avec deux fondements différents.
Puis-je copier les mentions légales d'un autre site ?
C'est la plus mauvaise idée possible. Vous reprenez les informations d'une autre entreprise, donc des données fausses vous concernant, et vous héritez de ses erreurs. Un générateur alimenté par vos propres informations prend cinq minutes et donne un texte qui correspond réellement à votre situation.