Ce que votre site doit obligatoirement afficher

C'est le sujet que tout le monde repousse. On se dit qu'on verra plus tard, que personne ne regarde ces pages, que c'est bon pour les grosses entreprises. Trois mois après la mise en ligne, elles ne sont toujours pas là.

Le problème, c'est que ces obligations ne dépendent ni de votre taille ni de votre chiffre d'affaires. Un site professionnel d'une seule page y est soumis comme un site de mille pages. Voici ce qui s'applique, dans l'ordre où ça vous concerne.

Les mentions légales : pour tout le monde

C'est la seule page véritablement universelle. Dès qu'un site a une activité professionnelle — même sans rien vendre en ligne — il doit permettre d'identifier qui est derrière. L'idée est simple : on doit savoir à qui on a affaire, et comment le joindre.

• Le nom et le statut de l'entreprise, ou le nom de la personne pour un entrepreneur individuel.
• L'adresse du siège, ou celle de l'établissement.
• Un moyen de contact direct : adresse électronique, et souvent un numéro.
• Le numéro d'identification de l'entreprise, et le numéro de TVA si vous y êtes assujetti.
• Le nom du responsable de la publication.
• Le nom et l'adresse de l'hébergeur du site.

C'est la ligne « adresse » qui bloque le plus souvent, et c'est compréhensible : beaucoup d'indépendants travaillent de chez eux et n'ont aucune envie de publier leur domicile. Il existe des solutions — domiciliation commerciale, adresse d'une société spécialisée — mais elles ont un coût mensuel. À défaut, on peut demander à ce que l'adresse ne soit pas diffusée dans les bases publiques d'entreprises, ce qui limite la diffusion sans régler entièrement la question du site.

Ce qu'il ne faut pas faire : inventer une adresse, ou n'en mettre aucune en espérant que personne ne remarque. Une mention fausse est pire qu'une mention gênante.

La politique de confidentialité : dès qu'il y a un formulaire

Dès que votre site collecte la moindre donnée personnelle — un formulaire de contact suffit — vous devez expliquer ce que vous en faites. Un nom et une adresse électronique sont des données personnelles.

Cette page doit dire quoi, pourquoi, combien de temps, et vers qui. Quelles données vous récoltez, à quoi elles servent, combien de temps vous les gardez, quels prestataires y ont accès — l'hébergeur, l'outil d'envoi des emails, la base de données — et comment on peut demander leur suppression.

Le piège de cette page, c'est qu'elle est souvent copiée ailleurs. Une politique qui annonce des traitements que vous ne faites pas est aussi fautive qu'une politique absente : vous déclarez des choses fausses sur votre propre activité. Et une durée de conservation annoncée doit correspondre à ce qui se passe réellement dans votre base.

Les conditions de vente : selon à qui vous vendez

Contrairement aux deux premières, celle-ci dépend de votre activité. Si vous vendez en ligne à des particuliers, des conditions générales de vente sont obligatoires et doivent couvrir le prix, les délais, les modalités de paiement, la livraison, le droit de rétractation et les garanties légales.

Si vous vendez entre professionnels, les règles diffèrent : les CGV doivent être communiquées à qui les demande, et le droit de rétractation du consommateur ne s'applique pas de la même façon. Et si votre site ne vend rien directement — un site de présentation qui mène à un devis — elles ne sont pas exigées au même titre, même si en avoir clarifie votre relation commerciale.

Les cookies : seulement si vous en déposez

Le bandeau cookies n'est pas une obligation universelle, contrairement à ce que laisse croire le fait qu'ils soient partout. Il devient obligatoire dès que votre site dépose quelque chose qui n'est pas strictement nécessaire à son fonctionnement : statistiques de fréquentation, publicité, boutons de réseaux sociaux, cartes intégrées.

Un site sans aucun de ces outils n'a besoin d'aucun bandeau — et il en va mieux. Si vous en avez, trois règles : rien ne se charge avant l'accord, refuser doit être aussi simple qu'accepter, et on doit pouvoir changer d'avis à tout moment. Un bandeau où « Accepter » est un gros bouton coloré et « Refuser » un lien gris est une non-conformité caractérisée, et c'est le cas le plus sanctionné.

Ce qu'on risque, concrètement

Les sanctions prévues pour l'absence de mentions légales et pour les manquements à la protection des données existent, et elles ne sont pas symboliques. En pratique, pour une petite structure, le risque immédiat est rarement l'amende : c'est le signalement d'un concurrent, la plainte d'un visiteur mécontent, ou le contrôle déclenché par une réclamation.

Il y a aussi un coût invisible et plus quotidien : un prospect qui cherche vos mentions légales et n'en trouve aucune hésite. Ces pages ne servent pas qu'à se protéger, elles prouvent qu'il y a une vraie entreprise derrière le site.

Ces pages ne sont pas une formalité administrative : elles sont la seule chose, sur un site, qui dise qui vous êtes et ce que vous faites des données qu'on vous confie.

Où les mettre

Dans le pied de page, accessibles depuis toutes les pages. Elles doivent rester publiques — c'est le principe même — mais rien n'oblige à les faire remonter dans les moteurs de recherche. On peut demander aux robots de ne pas les indexer : elles restent lisibles par qui les cherche, sans apparaître dans les résultats. C'est un réglage simple, et il limite la récolte automatique de vos coordonnées.