Entreprises

Un site internet professionnel doit permettre d’identifier facilement l’entreprise qui l’édite ainsi que son hébergeur. Certaines informations doivent donc y figurer : elles constituent ce qu’on appelle les mentions légales.

D’autres mentions obligatoires peuvent s’ajouter selon les cas :

• Pour un site éditant un service de communication au public en ligne, il convient d’indiquer le nom du directeur de la publication, le nom du responsable de la rédaction le cas échéant ainsi que les coordonnées de l’hébergeur du site.

• Les photographies, illustrations, textes, vidéos, logos et autres contenus utilisés sur le site peuvent être protégés par des droits de propriété intellectuelle. L’entreprise doit donc s’assurer qu’elle dispose des droits nécessaires pour les utiliser, par exemple en obtenant l’autorisation de leur auteur ou en utilisant des contenus dont la licence permet cet usage.

• S’il s’agit d’une activité réglementée, le site internet doit indiquer le nom et l’adresse de l’autorité ayant délivré l’autorisation. Par exemple, une entreprise de sécurité privée doit mentionner le Conseil national des activités privées de sécurité (CNAPS), tandis qu’une entreprise de transport routier de marchandises doit indiquer le nom et l’adresse de la  Dreal  compétente, si celle-ci est l’autorité ayant délivré son autorisation d’exercer.

• Si l’entreprise exerce une profession réglementée, elle doit afficher le titre professionnel, les règles professionnelles applicables, l’État membre où le titre a été octroyé ainsi que le nom de l’ordre ou de l’organisme professionnel auprès duquel elle est inscrite. Par exemple, un cabinet d’architecte doit mentionner son titre professionnel et les informations relatives à son inscription à l’Ordre des architectes.

Référence : Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique : article 1-1

 https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049568614 

Référence : Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique : article 1-2

 https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049568616/ 

Référence : Loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique : article 6

 https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049577522 

Référence : Loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique : article 19

 https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000032236011/ 

Créer un site internet professionnel implique le respect des obligations liées à la protection des données personnelles.

Une donnée personnelle fait référence à toute information se rapportant à une personne physique identifiée ou identifiable, directement ou non, grâce à un identifiant ou à un ou plusieurs éléments propres à son identité (nom, prénom, adresse e-mail, localisation adresse IP, numéro de carte d’identité, photo, etc.).

L’identification d’une personne physique peut être réalisée à partir d’une seule donnée (un nom par exemple) ou à partir d’un croisement de données (un homme vivant à telle adresse, né telle date et membre dans telle association, par exemple).

Dès lors qu’une entreprise collecte, consulte, utilise, enregistre, modifie, conserve ou supprime les données personnelles d’un internaute, elle réalise un « ».

Exemple

Remplir un formulaire de contact, conserver les coordonnées d’un client, utiliser son adresse e-mail pour lui envoyer une newsletter ou supprimer ses données constituent des traitements de données personnelles.

L’entreprise doit donc identifier les données qu’elle utilise, déterminer pourquoi et comment elle les utilise, informer les personnes concernées et, lorsque cela est nécessaire, recueillir leur accord.

L’entreprise doit commencer par recenser les données personnelles que son site permet de collecter ou d’utiliser.

Elle doit notamment vérifier les différentes fonctionnalités du site :

• Formulaire de contact : nom, adresse e-mail, numéro de téléphone, contenu du message

• Création d’un compte client : identité, adresse e-mail, mot de passe, adresse de livraison

• Commande en ligne : coordonnées nécessaires à la commande, à la livraison et à la facturation

• Inscription à une newsletter : adresse e-mail

• Prise de rendez-vous en ligne : identité, coordonnées et informations nécessaires au rendez-vous

• Espace personnel : informations associées au compte et à son utilisation

Cette vérification permet également de distinguer les données personnelles des informations qui ne permettent pas d’identifier une personne physique. Les coordonnées générales d’une entreprise, telles qu’une adresse e-mail générique ou le numéro de téléphone du standard, ne constituent ainsi pas, en elles-mêmes, des données personnelles.

L’entreprise doit également veiller à ne collecter que les données nécessaires à l’objectif poursuivi. Par exemple, un formulaire permettant simplement de demander un renseignement n’a, en principe, pas besoin de demander la date de naissance de l’internaute.

Pour chaque donnée collectée, l’entreprise doit déterminer pourquoi elle est collectée et ce qu’elle va en faire.

Elle doit notamment se demander :

• Pourquoi cette donnée est-elle collectée ? : Par exemple, l’adresse e-mail est collectée pour répondre à une demande envoyée depuis le formulaire de contact.

• Est-elle nécessaire pour cet objectif ? : Par exemple, le numéro de téléphone n’est pas nécessaire si l’entreprise répond uniquement par e-mail.

• Qui pourra accéder aux données ? : Par exemple, le service commercial ou un prestataire chargé de gérer les rendez-vous.

• Combien de temps seront-elles conservées ? : Par exemple, les données d’une demande de contact peuvent être conservées pendant le temps nécessaire à son traitement, puis supprimées selon les règles de conservation applicables.

• Les données seront-elles utilisées pour une autre finalité ? : Par exemple, une adresse e-mail communiquée pour recevoir une réponse ne peut pas être automatiquement utilisée pour envoyer une newsletter si les conditions permettant cette prospection ne sont pas réunies.

L’entreprise doit également déterminer, pour chaque traitement, ce qui l’autorise légalement à utiliser les données : exécution d’un contrat, respect d’une obligation légale, intérêt légitime ou le consentement. Le consentement n’est donc pas systématiquement nécessaire.

Au moment de la collecte des données personnelles, l’internaute doit être informé (lorsqu’il remplit un formulaire de contact, par exemple). Il doit également être informé en cas de modification ultérieure de leur utilisation.

Lorsque le site collecte des données personnelles, l’entreprise doit informer les personnes concernées de la manière dont leurs données seront utilisées.

Cette information doit être claire, compréhensible et facilement accessible. Elle doit notamment préciser :

• Identité et coordonnées de l’entreprise responsable du traitement informatique des données : nom ou dénomination sociale, adresse, coordonnées de contact et, lorsqu’il a été désigné, coordonnées du délégué à la protection des données (DPO).

• Données personnelles collectées : les catégories de données recueillies, par exemple le nom, l’adresse e-mail, le numéro de téléphone ou les données de connexion.

• Finalité poursuivie par le traitement : l’utilisation qui sera faite des données personnelles, par exemple pour traiter une commande, répondre à une demande de contact ou envoyer une newsletter.

• Base légale justifiant le traitement : la raison qui permet à l’entreprise de traiter les données, par exemple le consentement de l’internaute, l’exécution d’un contrat ou le respect d’une obligation légale.

• Caractère obligatoire ou facultatif du recueil de données personnelles : les données qui doivent obligatoirement être fournies et les conséquences de leur non-fourniture, par exemple l’impossibilité de traiter une commande.

• Destinataires des données personnelles : les personnes ou organismes susceptibles d’y avoir accès ou de les recevoir, par exemple les salariés de l’entreprise, un prestataire informatique ou un transporteur.

• Durée de conservation des données personnelles : la durée pendant laquelle les données sont conservées ou, lorsque cette durée ne peut pas être précisée, les critères permettant de la déterminer.

• Droits de l’internaute sur ses données: notamment le droit d’accéder à leurs données, de les rectifier, de demander leur effacement ou, dans certains cas, de s’opposer à leur traitement ou d’en demander la limitation.

• Modalités d’exercice de ces droits : les moyens permettant d’exercer ses droits, par exemple une adresse e-mail, une adresse postale ou un formulaire en ligne.

• Droit de l’internaute d’introduire une réclamation auprès de la  Cnil  : la possibilité de saisir la Cnil si l’internaute estime que ses données personnelles ne sont pas traitées conformément aux règles applicables.

• Transfert des données vers un pays situé en dehors de l’Union européenne, lorsque cela est nécessaire : par exemple, lorsque les données sont hébergées ou accessibles depuis un pays situé en dehors de l’Union européenne, les informations relatives à ce transfert et aux garanties mises en place.

• Possibilité de retirer son consentement, lorsque le traitement repose sur celui-ci : par exemple, la possibilité de se désinscrire d’une newsletter ou de retirer son consentement à l’utilisation de certaines données.

La Cnil met à disposition différents exemples de mentions d’information :

Sur le site internet, il est possible d’utiliser un lien renvoyant directement vers la politique de protection des données, clairement visible sur chaque page du site, intitulé de manière claire (« Données personnelles » ou « Confidentialité » par exemple).

Cette politique de confidentialité doit être distincte des conditions générales de vente (CGV) ou des conditions générales d’utilisation (CGU) du site internet.

L’entreprise doit déterminer, pour chaque utilisation des données personnelles, si l’accord de l’internaute est nécessaire.

Le consentement n’est pas systématiquement requis : les données peuvent notamment être utilisées sans cet accord lorsqu’elles sont nécessaires à l’exécution d’un contrat (commande, livraison ou création d’un compte client) ou imposées par une obligation légale (conservation de certaines données pour respecter une obligation comptable, par exemple). D’autres situations peuvent relever de l’intérêt légitime de l’entreprise ou d’une mission d’intérêt public.

Exemple

Les coordonnées nécessaires à la livraison d’une commande peuvent être utilisées sans recueillir de consentement, car cette utilisation est nécessaire à l’exécution du contrat. En revanche, utiliser l’adresse e-mail pour une newsletter nécessite l’accord explicite de l’internaute à moins que ce dernier ait déjà acheté un produit similaire dans l’entreprise ou qu’il s’agisse d’un professionnel.

Pour déterminer si le consentement est nécessaire ou si une autre possibilité permet d’utiliser les données (contrat, obligation légale, intérêt légitime, etc.), consulter les fiches pratiques de la Cnil sur les bases légales :

Lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé et univoque. L’internaute doit pouvoir accepter ou refuser le traitement et retirer son consentement à tout moment. L’entreprise doit également pouvoir prouver qu’elle a recueilli ce consentement.

Pour en savoir plus sur le recueil du consentement des internautes :

Les informations recueillies au cours de ces différentes étapes peuvent notamment être regroupées dans le registre des activités de traitement (RAT). Ce registre permet notamment de recenser les données personnelles utilisées, leurs finalités, la base légale du traitement, les destinataires ou encore les durées de conservation.

Pour en savoir plus sur le registre des activités de traitement :

EvalRGPD permet de mesurer en ligne le niveau de conformité RGPD de l’entreprise :

Référence : Code pénal : articles 226-16 à 226-24

 https://www.legifrance.gouv.fr/codes/id/LEGISCTA000006165313 

Référence : Code pénal : articles R625-10 à R625-13

 https://www.legifrance.gouv.fr/codes/id/LEGISCTA000006165426/ 

Les sites internet peuvent utiliser des pour assurer leur fonctionnement, mesurer leur fréquentation ou afficher des publicités ciblées. L’entreprise doit informer les internautes sur l’utilisation de ces dispositifs et, lorsque cela est nécessaire, recueillir leur consentement.

Pour cela, elle doit recenser les cookies et autres traceurs utilisés sur son site et identifier leur finalité. Elle doit ensuite déterminer lesquels nécessitent un consentement : par exemple, les traceurs publicitaires nécessitent en principe un accord préalable, contrairement à certains traceurs strictement nécessaires au fonctionnement du site.

Pour déterminer si un consentement est nécessaire, la  Cnil  met à disposition de l’internaute la liste des cookies et autres traceurs permettant d’identifier leur finalité et de savoir dans quelles conditions ils peuvent être utilisés sans consentement :

Lorsque le consentement est requis, un bandeau de consentement doit permettre à l’internaute d’accepter ou de refuser les traceurs aussi facilement, et de choisir ceux qu’il autorise.

Exemple

Un site internet utilise des cookies pour afficher des publicités personnalisées. Ces cookies ne doivent pas être déposés avant que l’internaute ait accepté leur utilisation. Le bandeau peut proposer « Tout accepter », « Tout refuser » et un accès au paramétrage des finalités.

L’entreprise doit également permettre à l’internaute de modifier ou de retirer son consentement à tout moment, par exemple grâce à un lien « Gérer mes cookies » accessible depuis toutes les pages du site.

Exemple

Un internaute ayant accepté les cookies publicitaires lors de sa première visite doit pouvoir revenir sur ce choix sans avoir à rechercher les paramètres du navigateur ou contacter l’entreprise.

Pour connaître toutes les règles applicables à l’usage de cookies et autres traceurs :

Lorsqu’un site internet vend des produits ou des services en ligne, l’entreprise doit fournir certaines informations au client et respecter des règles spécifiques lors de la conclusion et de l’exécution du contrat.

Les conditions générales de vente (CGV) encadrent les relations commerciales.

Elles informent les clients, de manière lisible et compréhensible, de leurs droits et obligations lors de la vente de produits et/ou de services.

Cette obligation de transparence permet de réduire considérablement le risque de litige entre les clients et l’entreprise.

Le caractère obligatoire et le contenu des conditions générales de vente varient selon que l’offre de biens ou de services est adressée à des particuliers ou à des professionnels :

Par ailleurs, toute entreprise soumise à responsabilité élargie du producteur (REP) doit mentionner son numéro d’identification unique (IDU) ainsi que les caractéristiques environnementales de ses produits.

Référence : Code de la consommation : article L111-1

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032227352 

Référence : Code de commerce : article L441-1

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414469 

Depuis le 1^er juin 2023, une fonctionnalité gratuite doit être mise à la disposition du consommateur pour lui permettre de résilier son contrat d’abonnement en ligne. Cette obligation s’applique même lorsque le contrat initial n’a pas été conclu par voie électronique.

Pour respecter cette obligation, les étapes suivantes doivent être mises en place :

La fonctionnalité permettant de résilier un abonnement doit être directement et facilement accessible depuis le site internet ou l’application mobile sur lequel le contrat peut être conclu.

Elle doit être clairement identifiable, avec la mention « résilier votre contrat » ou une formule équivalente qui ne laisse aucune ambiguïté et affichée en caractères lisibles. Elle doit également présenter, de manière lisible et compréhensible, les conditions de résiliation applicables au contrat, notamment l’existence éventuelle d’un délai de préavis, d’une indemnité de rupture ou les conséquences de la résiliation.

La fonctionnalité de résiliation doit comporter des rubriques permettant au consommateur de fournir ou de confirmer les informations nécessaires à l’identification du contrat.

Elle doit ainsi permettre de renseigner ou de confirmer :

• les nom et prénom du consommateur ou, lorsque le contrat a été conclu avec une personne morale, sa raison ou dénomination sociale

• une adresse e-mail ou, à défaut, une adresse postale permettant au professionnel de confirmer la réception de la notification

• toute référence préalablement communiquée par le professionnel permettant d’identifier le titulaire et le contrat concerné, par exemple un numéro de client ou de contrat

• la date de résiliation souhaitée, sous réserve des dispositions légales ou contractuelles applicables

• pour les services de communications électroniques, le numéro de téléphone correspondant à la ou aux lignes concernées

Exemple

Le consommateur peut résilier par anticipation son contrat d’abonnement internet s’il fait l’objet d’une procédure de surendettement. La fonctionnalité doit ainsi lui permettre de vous transmettre la décision du juge accueillant sa demande de traitement de situation de surendettement.

Après avoir renseigné ou confirmé les informations nécessaires, le consommateur doit accéder à une page récapitulative lui permettant de vérifier les informations fournies et, si nécessaire, de les modifier.

Cette page doit permettre au consommateur de notifier sa résiliation en activant une fonction directement accessible depuis la page récapitulative. Cette fonction doit être présentée sous la mention « notification de la résiliation » ou sous une formule analogue, sans ambiguïté et affichée en caractères lisibles.

Après réception de la demande, l’entreprise doit confirmer au consommateur qu’elle a bien reçu sa notification de résiliation.

Elle doit ensuite l’informer, sur un support durable et dans un délai raisonnable, des effets de la résiliation et de la date à laquelle le contrat prendra fin.

Pour en savoir plus sur la résiliation dite « en 3 clics » :

Référence : Code de la consommation : article D215-1

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000047614999 

Référence : Code de la consommation : article D215-2

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000047615001/2026-05-29 

Référence : Code de la consommation : article D215-3

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000047615003/2026-05-29 

Référence : Code de la consommation : article L215-1-1

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000046190107/2023-03-09 

Référence : Code de la consommation : article L242-16

 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155954