Un site professionnel n’est pas seulement une vitrine. En France, il doit identifier son éditeur, expliquer ce qu’il fait des données de ses visiteurs et demander leur accord avant de déposer certains traceurs. Ces règles ne sont pas réservées aux grandes entreprises : elles s’appliquent dès la première page en ligne d’une boulangerie, d’un plombier ou d’un cabinet de conseil.
La bonne nouvelle, c’est qu’un site sobre est facile à mettre en conformité. Voici les points à vérifier, dans l’ordre où ils posent le plus souvent problème. Ce guide est une synthèse pratique ; pour un cas particulier, l’avis d’un juriste reste utile.
1. Les mentions légales : qui êtes-vous ?
Tout site édité à titre professionnel doit permettre d’identifier son éditeur. La page « Mentions légales », accessible depuis chaque page (généralement en pied de page), indique :
- le nom de l’entrepreneur ou la raison sociale de la société, et sa forme juridique ; un entrepreneur individuel ajoute la mention « EI » à son nom ;
- l’adresse de l’établissement ou du siège ;
- le numéro d’immatriculation : SIREN, RCS pour les commerçants, Registre national des entreprises pour les artisans ;
- le capital social pour une société, et le numéro de TVA intracommunautaire s’il existe ;
- une adresse e-mail et un numéro de téléphone ;
- le nom du directeur de la publication ;
- le nom, l’adresse et le téléphone de l’hébergeur du site.
Certaines professions ajoutent leurs propres informations : ordre professionnel, règles déontologiques, assurance professionnelle. Pour les artisans du bâtiment, l’assurance décennale doit figurer sur les devis et factures ; l’indiquer aussi sur le site rassure.
L’absence de ces mentions peut être sanctionnée jusqu’à un an d’emprisonnement et 75 000 € d’amende pour une personne physique. Dans la pratique, le premier risque est commercial : un site sans éditeur identifiable inspire moins confiance.
Astuce : un entrepreneur qui travaille depuis chez lui peut utiliser une adresse de domiciliation pour éviter de publier son adresse personnelle.
2. La politique de confidentialité : que faites-vous des données ?
Dès qu’un formulaire de contact, de devis ou de réservation recueille un nom ou un e-mail, le RGPD s’applique. Une page dédiée doit expliquer simplement :
- qui est responsable des données et comment le contacter ;
- quelles données sont collectées et pourquoi ;
- la base légale de chaque usage : réponse à une demande, contrat, obligation légale, intérêt légitime ou consentement ;
- qui y a accès : vous, votre hébergeur, votre outil d’e-mail ;
- les éventuels transferts hors de l’Union européenne et leur encadrement ;
- les durées de conservation ;
- les droits des personnes et la possibilité de saisir la CNIL.
Le formulaire lui-même doit rester minimal : demander un téléphone seulement s’il est utile, ne pas cocher à l’avance une inscription à la newsletter, renvoyer vers la politique de confidentialité.
3. Les cookies : l’erreur la plus fréquente
La règle est simple : pas de traceur non essentiel avant l’accord du visiteur. Les outils de mesure d’audience comme Google Analytics, les pixels publicitaires, les boutons de réseaux sociaux et de nombreux contenus intégrés sont concernés.
Selon les recommandations de la CNIL :
- refuser doit être aussi simple qu’accepter, dès le premier écran du bandeau ;
- aucun script de mesure ou de publicité ne doit se charger avant le choix ;
- le choix doit pouvoir être modifié à tout moment, par exemple depuis le pied de page ;
- la CNIL recommande de conserver ce choix pendant six mois avant de redemander.
Certains traceurs n’ont pas besoin de consentement : ceux qui sont strictement nécessaires au fonctionnement (panier, connexion, mémorisation du choix de cookies) et certaines mesures d’audience configurées selon les conditions d’exemption de la CNIL.
Trois pièges reviennent souvent :
- La carte Google Maps intégrée sur la page contact dépose des traceurs dès l’affichage. La solution : une image de la carte, chargée au clic, ou un simple lien « Itinéraire ».
- Les vidéos YouTube intégrées posent le même problème.
- Le « mode consentement » de Google chargé avant le choix : selon sa configuration, des requêtes partent vers Google alors que le visiteur n’a rien accepté. La version la plus sûre attend le consentement avant de charger le script.
Le plus simple reste de ne rien déposer : un site sans traceur n’a pas besoin de bandeau.
4. Vendre en ligne : des règles en plus
Si votre site permet d’acheter, de commander ou de payer en ligne auprès de particuliers, il faut aussi :
- des conditions générales de vente accessibles avant la commande ;
- l’information sur le droit de rétractation de quatorze jours, avec ses exceptions, par exemple pour les denrées périssables ou les produits personnalisés ;
- des prix toutes taxes comprises et les frais de livraison annoncés avant le paiement ;
- les coordonnées d’un médiateur de la consommation.
Le click and collect d’un commerce de proximité est concerné dès que la commande se passe en ligne.
5. L’accessibilité : une obligation qui s’élargit
Depuis le 28 juin 2025, la directive européenne sur l’accessibilité s’applique notamment au commerce en ligne. Les sites concernés doivent être utilisables par les personnes en situation de handicap : contrastes suffisants, navigation au clavier, textes alternatifs, formulaires compréhensibles. Les micro-entreprises (moins de dix salariés et moins de 2 millions d’euros de chiffre d’affaires) sont exemptées pour les services.
Même sans obligation, ces bonnes pratiques améliorent l’expérience de tous les visiteurs, et souvent le référencement.
6. L’hébergement : faut-il rester en France ?
Le RGPD n’impose pas d’héberger un site en France. Il encadre les transferts de données hors de l’Union européenne. Vers les États-Unis, les transferts reposent aujourd’hui sur le Data Privacy Framework et sur les clauses contractuelles types, ce que la politique de confidentialité doit mentionner. Ce cadre fait l’objet de recours devant la Cour de justice de l’Union européenne : garder les données d’un formulaire dans une base européenne est une précaution raisonnable.
Une exception importante : les données de santé d’autrui doivent être hébergées chez un prestataire certifié HDS (hébergeur de données de santé).
La liste de contrôle
- Page « Mentions légales » complète et accessible depuis chaque page.
- Politique de confidentialité à jour, liée depuis chaque formulaire.
- Aucun traceur avant consentement ; bouton « Refuser » visible ; choix modifiable.
- Cartes et vidéos intégrées chargées au clic.
- CGV, rétractation et médiateur si vous vendez en ligne.
- Contrastes, navigation au clavier et textes alternatifs vérifiés.
- Données des formulaires conservées le temps nécessaire, puis supprimées.
Vous voulez savoir où en est votre site ? Commencez par notre diagnostic express en six questions, ou présentez-nous votre site : nous vous dirons ce qu’il faut corriger en priorité.