fiche 10·Site web··7 min
Mentions légales, RGPD, cookies : le minimum légal quand tu collectes des adresses email
Dès que ton site a un formulaire d'inscription, tu as des obligations. Elles tiennent en une page et une après-midi. Voici la liste exacte, sans le jargon des cabinets d'avocats.
#légal#rgpd#newsletter
Pourquoi c'est plus simple que ce qu'on te fait croire
Le RGPD a un mérite : il demande peu de choses, et il les demande clairement. Ce qui l'a rendu effrayant, ce sont les bandeaux à quatorze boutons et les politiques de confidentialité de vingt pages copiées entre sites. Pour une indépendante qui collecte des adresses email, l'essentiel tient en cinq points, et aucun ne demande un avocat.
La suite est gratuite
une adresse, c'est toutEntre ton adresse email et tu récupères cet article en entier, plus tous les autres. Pas de mot de passe à retenir, pas de carte bancaire.
Ton adresse rejoint ma liste : nouveaux conseils et offres. Désinscription en un clic. Confidentialité.
Ce qui suit est valable à la date où j'écris et pour une activité en France. Je ne suis pas juriste : je te donne ce que je mets en place sur les sites que je livre, et ce que la CNIL demande dans ses guides pour les petites structures. Quand un point dépend de ta situation, je le dis.
1. Les mentions légales, une page que tout site doit avoir
Elles sont obligatoires pour n'importe quel site, formulaire ou pas. Pour une entreprise individuelle ou une micro-entreprise, il faut :
- ton nom et ton prénom ;
- ton adresse (celle de ton entreprise, qui est souvent ton domicile ; c'est une obligation, pas une option) ;
- une adresse email et, au choix, un numéro de téléphone ;
- ton numéro SIRET, et ton numéro d'inscription au registre si tu es immatriculée (RCS pour le commerce, RM pour l'artisanat) ;
- ton numéro de TVA intracommunautaire si tu en as un ;
- si tu exerces une profession réglementée, le titre et l'ordre ;
- le nom, l'adresse et le numéro de téléphone de ton hébergeur.
Le nom de l'hébergeur, c'est celui de la société qui fait tourner le site (Hostinger, OVH, o2switch, Vercel...), pas le nom de ton prestataire. Il se trouve dans sa page « mentions légales » à lui.
Une page « Mentions légales » accessible depuis le pied de page, sur toutes les pages, et c'est réglé.
2. Le formulaire : ce que tu écris juste à côté du champ
C'est là que la plupart des sites sont en tort, et c'est le point le plus simple à corriger. Au moment où une personne tape son adresse, elle doit savoir quatre choses, en une ou deux phrases sous le champ :
- qui collecte (toi) ;
- pour quoi faire (recevoir tes conseils, tes offres, tes nouveautés) ;
- qu'elle peut se désinscrire à tout moment ;
- où lire le détail (un lien vers ta politique de confidentialité).
Une formulation qui fait le travail : « Ton adresse sert à t'envoyer ma newsletter, environ deux fois par mois. Tu te désinscris en un clic, dans chaque email. Comment je traite tes données. » Le dernier morceau est le lien.
Deux règles sur la case à cocher. Si ton formulaire ne sert qu'à s'inscrire à la newsletter, pas besoin de case : le fait de taper son adresse et de cliquer sur le bouton vaut consentement, à condition que la phrase juste au-dessus dise clairement ce qui va se passer. En revanche, si l'adresse est collectée pour autre chose (une commande, un formulaire de contact, un devis) et que tu veux aussi l'ajouter à ta liste, il faut une case dédiée, décochée par défaut. Jamais de case pré-cochée.
Le double opt-in (un email de confirmation à cliquer) n'est pas obligatoire en France, mais je le recommande : il te protège des fausses adresses et prouve le consentement si on te le demande un jour. Tous les outils d'emailing le proposent en une case.
3. La politique de confidentialité, une page et pas vingt
C'est la page vers laquelle pointe le lien du formulaire. Elle doit répondre, avec des mots simples, à ces questions :
| Question | Ce que tu écris |
|---|---|
| Qui est responsable ? | Ton nom, ton adresse, ton email |
| Quelles données ? | L'adresse email, le prénom si tu le demandes |
| Pour quoi ? | Envoyer la newsletter, répondre aux demandes |
| Sur quelle base ? | Le consentement, retirable à tout moment |
| Combien de temps ? | Jusqu'à la désinscription, ou 3 ans sans aucune ouverture |
| Qui d'autre y a accès ? | Le nom de ton outil d'emailing, et où il héberge |
| Quels droits ? | Accès, rectification, suppression, opposition, et comment les exercer (ton email) |
| Où se plaindre ? | La CNIL, avec le lien vers son site |
La durée de trois ans après le dernier contact, c'est la recommandation habituelle pour des contacts qui ne sont pas encore clients. Elle demande un geste de ta part : une fois par an, supprime les adresses qui n'ont rien ouvert depuis trois ans. Ton outil sait les filtrer.
Le point sur l'outil d'emailing compte plus qu'il n'y paraît : c'est un sous-traitant au sens du RGPD. Vérifie où il stocke les données. Un outil hébergé dans l'Union européenne (Brevo, MailerLite pour ses serveurs européens, Mailjet) simplifie tout. Un outil américain n'est pas interdit, mais il te faut alors t'appuyer sur son cadre de transfert, et la page doit le mentionner.
4. La désinscription, dans chaque email, en un clic
Chaque email que tu envoies doit contenir un lien de désinscription visible, qui fonctionne sans mot de passe et sans justification. Les outils d'emailing l'ajoutent automatiquement ; ne le retire pas pour faire joli. Et quand quelqu'un demande par simple retour d'email à ne plus rien recevoir, fais-le à la main, sans discuter.
Même règle pour une demande de suppression de données : tu as un mois pour répondre, et dans les faits ça prend deux minutes.
5. Les cookies : le bandeau n'est obligatoire que dans un cas
Voilà le point le plus mal compris. Le bandeau cookies n'est pas obligatoire parce que tu as un site. Il l'est parce que tu poses des cookies qui ne sont pas nécessaires au fonctionnement du site : Google Analytics, un pixel Meta, une vidéo YouTube intégrée, un bouton de partage.
Ce qui n'a pas besoin de bandeau : les cookies techniques (panier, session de connexion, choix de langue), le formulaire d'inscription lui-même, et une mesure d'audience qui respecte les conditions d'exemption de la CNIL. Concrètement, un outil comme Plausible, ou Matomo dans sa configuration exemptée, te donne tes visites sans demander la permission à personne.
Si tu utilises Google Analytics ou un pixel publicitaire, il te faut un vrai bandeau : rien ne se charge avant le clic, « refuser » aussi visible que « accepter », et un moyen de changer d'avis plus tard. Un bandeau qui dit « en continuant, vous acceptez » ne vaut rien.
Mon conseil, pour une indépendante : remplace Google Analytics par un outil exempté, et tu n'as plus de bandeau à gérer. Tu y gagnes en respect des visiteuses et en beauté du site.
Le registre, la dernière chose que personne ne fait
Le RGPD demande de tenir un registre des traitements, même pour une entreprise d'une personne. Pour toi, c'est un document d'une page : « Newsletter : adresses email, collectées sur le formulaire du site, avec consentement, conservées jusqu'à désinscription ou 3 ans sans ouverture, stockées chez tel outil, accessibles par moi seule. » Une ligne de plus pour le formulaire de contact, une pour tes clientes. La CNIL propose un modèle de registre simplifié sur son site, il est gratuit et prend une demi-heure.
Personne ne te le demandera sans doute jamais. Mais il existe, et le jour où on te le demande, il est là.
Ce que ça change
Une après-midi. Une page de mentions légales, une page de confidentialité, deux phrases sous le formulaire, un lien de désinscription qui reste, un outil de statistiques sans bandeau, un registre d'une page. Après ça, tu collectes des adresses l'esprit tranquille, et tu inspires plus confiance qu'un site qui cache tout derrière un bandeau infranchissable.
Si tu ne fais qu'une chose cette semaine, écris les deux phrases sous ton formulaire et vérifie que le lien de désinscription est bien dans ton dernier email. C'est là que tout se joue.
Entre ton adresse pour réagir.