Quatre textes, quatre obligations qui ne se traitent pas ensemble
La confusion la plus fréquente sur ce sujet consiste à parler de « conformité RGPD » pour désigner l'ensemble. C'est faux, et c'est coûteux : cela pousse à traiter en un seul chantier quatre obligations qui viennent de quatre textes distincts, avec des périmètres, des sanctions et des degrés d'urgence différents.
| Obligation | D'où elle vient | Qui est concerné |
|---|---|---|
| Mentions légales | LCEN de 2004, article 6 | Tout éditeur de site, sans exception |
| Information sur les données | RGPD, articles 13 et 14 | Dès qu'une donnée personnelle est collectée |
| Consentement aux traceurs | Loi Informatique et Libertés, article 82 | Dès qu'un traceur non nécessaire est déposé |
| Accessibilité | Loi de 2005 et directive européenne de 2019 | Secteur public, grandes entreprises, et depuis juin 2025 certains services aux particuliers |
Deux conséquences pratiques. D'abord, un site sans formulaire ni traceur doit quand même des mentions légales : l'obligation ne dépend d'aucune collecte. Ensuite, l'obligation de consentement aux traceurs n'est pas une obligation du RGPD : elle vient de la directive dite ePrivacy, transposée à l'article 82. C'est pourquoi elle s'applique même à un traceur qui ne contient aucune donnée personnelle.
Chantier 1 : les mentions légales, une après-midi
C'est l'obligation la plus simple et la plus souvent manquée. Elle demande d'identifier publiquement qui édite le site et qui l'héberge, pour qu'un visiteur ou un juge sache à qui s'adresser. Pour une société, cela couvre la dénomination, la forme juridique, le capital, l'adresse du siège, le numéro d'immatriculation au registre du commerce, le numéro de TVA intracommunautaire s'il existe, un moyen de contact direct, le nom du directeur de la publication, et les coordonnées complètes de l'hébergeur.
Deux erreurs reviennent tout le temps. La première est l'adresse de siège périmée, restée celle d'un ancien domicile ou d'une domiciliation résiliée : c'est une information fausse publiée sous votre nom, et elle est vérifiable en trente secondes par n'importe qui. La seconde est l'oubli pur et simple de l'hébergeur, alors que c'est précisément la partie que la loi détaille le plus.
Le détail de ce qu'il faut écrire, avec les cas de l'auto-entrepreneur et de l'association, est dans notre article sur les mentions légales obligatoires.
Chantier 2 : dire ce que vous faites des données
Dès qu'un visiteur vous laisse une adresse email dans un formulaire, vous traitez une donnée personnelle, et vous lui devez une information claire : ce que vous collectez, pourquoi, sur quelle base légale, combien de temps vous le gardez, à qui vous le transmettez, et comment il peut demander l'effacement. C'est l'objet de la politique de confidentialité.
Le piège n'est pas d'écrire ce document, c'est de le rendre vrai. Un modèle recopié qui annonce une conservation de trois ans alors que votre outil d'emailing garde tout indéfiniment vous met dans une situation pire que l'absence de page : vous avez publié un engagement que vous ne tenez pas. La bonne méthode est de partir de la liste réelle de vos outils, un par un, et de décrire ce qu'ils font.
Notre modèle de politique de confidentialité est construit dans cet ordre : les outils d'abord, le texte ensuite.
Chantier 3 : les traceurs, là où ça touche au code
La règle est simple à énoncer et difficile à appliquer : aucun traceur non strictement nécessaire ne doit être déposé avant le consentement. Pas au chargement de la page, pas en tâche de fond, pas « le temps que le visiteur lise le bandeau ». Un bandeau qui s'affiche pendant que la balise a déjà écrit son cookie ne sert à rien, et c'est le cas de figure le plus répandu.
Cela veut dire que le script de mesure ne peut pas vivre dans le <head> : il doit être injecté au clic sur « accepter ». C'est un changement de code, pas un changement de texte, et c'est ce qui rend ce chantier plus long que les deux premiers.
Bonne nouvelle en sens inverse : certaines mesures d'audience sont exemptées de consentement si elles restent strictement limitées à la mesure, sans recoupement entre sites et sans identifiant persistant. Faire consentir un traceur exempté est une erreur symétrique, qui coûte des données pour rien. Le détail, avec la liste des conditions, est dans notre article sur les cookies et les traceurs.
Chantier 4 : l'accessibilité, le seul vrai chantier
Les trois premiers points se règlent avec du texte et un peu de code. L'accessibilité est d'une autre nature : elle touche la structure des pages, le contraste, les libellés de formulaire, la navigation au clavier, les alternatives textuelles. On ne la rattrape pas la veille d'une échéance.
Son périmètre s'est élargi le 28 juin 2025 avec l'entrée en application de la directive européenne sur l'accessibilité, qui vise notamment le commerce en ligne destiné aux particuliers, en laissant hors champ les microentreprises sous seuils. Beaucoup de TPE n'y sont donc pas soumises. Cela ne rend pas le sujet théorique pour autant : les mêmes corrections qui rendent un site utilisable au clavier le rendent aussi plus lisible pour un moteur de recherche, et un formulaire sans libellé associé perd des conversions bien avant de poser un problème juridique.
Notre article sur l'accessibilité web détaille les points qui se corrigent vite et ceux qui demandent un vrai travail.
Par où commencer, concrètement
L'ordre ci-dessous suit le rapport entre le risque évité et le temps passé, pas l'ordre des textes de loi.
- Publier des mentions légales exactes, avec l'hébergeur. Une après-midi, aucune dépendance technique, et c'est le manquement le plus visible.
- Lister vos outils, un tableau à trois colonnes : l'outil, la donnée qu'il voit, la durée de conservation. Ce tableau est la matière de la politique de confidentialité, et il sert aussi au registre des traitements.
- Regarder ce qui est déposé avant tout clic. Ouvrez votre site en navigation privée, ouvrez l'onglet des cookies dans les outils de développement, et comptez. Si quelque chose est déjà là, le bandeau est décoratif.
- Traiter l'accessibilité en continu, sur les nouvelles pages d'abord. Reprendre un site entier d'un coup ne fonctionne jamais.
Un mot sur le calendrier : les trois premiers points tiennent dans une semaine de travail pour un site de TPE. Le quatrième se compte en mois, et c'est la raison pour laquelle il faut l'ouvrir tôt même quand il n'est pas obligatoire.
Ce que notre audit mesure
Trois catégories du rapport touchent à ce silo, pour 15 vérifications au total. La catégorie conformité légale en compte 2 : la présence d'une page de mentions légales et celle d'une politique de confidentialité, atteignables depuis le site. La catégorie vie privée et traceurs en compte 6, dont les cookies déposés avant toute interaction et la présence de scripts tiers de suivi. La catégorie accessibilité en compte 7 : alternatives textuelles des images, libellés de formulaire, attribut de langue, hiérarchie des titres, entre autres.
Ce que l'audit ne fait pas, et c'est important : il ne lit pas le contenu de vos pages légales. Il constate qu'une page existe et qu'un lien y mène. Il ne peut pas savoir si votre adresse de siège est à jour, si votre durée de conservation est exacte, ni si votre hébergeur est bien celui que vous nommez. Sur l'accessibilité, sept vérifications automatiques ne délivrent aucune conformité : la majorité des critères du référentiel exigent un test humain. Un audit vous dit où regarder, il ne signe rien.
Romain Ben