Le site internet d’une entreprise (qu’il s’agisse d’une société ou d’une entreprise individuelle) doit afficher plusieurs mentions obligatoires. L'absence de ces informations sur le site est sanctionnée.
Un site internet professionnel doit notamment :
Présenter l'entreprise et le site
Un site internet professionnel doit permettre d’identifier facilement l’entreprise qui l’édite ainsi que son hébergeur. Certaines informations doivent donc y figurer : elles constituent ce qu’on appelle les mentions légales.
| Pour une personne morale (sociétés telles qu’une SAS, SARL, SA, etc.) | Pour une personne physique (entreprise individuelle ou micro-entreprise) | |
| Identité de l’entreprise | Dénomination sociale, forme juridique et montant du capital social. | Nom et prénom, accompagnés de la mention « entrepreneur individuel » ou des initiales « EI » pour un entrepreneur individuel. |
| Coordonnées de l’entreprise | Adresse du siège socialde l’entreprise, adresse mail et numéro de téléphone pour contacter l’entreprise. | Adresse de domiciliation de l’entreprise, adresse mail et numéro de téléphone pour contacter l’entreprise. |
| Identification de l’entreprise | Selon le type d’activité :
| Selon le type d’activité :
|
| TVA | Numéro individuel d'identification à la TVA, lorsqu'il est applicable. | Numéro individuel d'identification à la TVA, lorsqu'il est applicable. |
| Hébergeur du site internet | Nom ou dénomination sociale de l’hébergeur, adresse et numéro de téléphone. | Nom ou dénomination sociale de l’hébergeur, adresse et numéro de téléphone. |
D’autres mentions obligatoires peuvent s’ajouter selon les cas :
- Pour un site éditant un service de communication au public en ligne, il convient d’indiquer le nom du directeur de la publication, le nom du responsable de la rédaction le cas échéant ainsi que les coordonnées de l’hébergeur du site.
- Les photographies, illustrations, textes, vidéos, logos et autres contenus utilisés sur le site peuvent être protégés par des droits de propriété intellectuelle. L’entreprise doit donc s’assurer qu’elle dispose des droits nécessaires pour les utiliser, par exemple en obtenant l’autorisation de leur auteur ou en utilisant des contenus dont la licence permet cet usage.
- S’il s’agit d’une activité réglementée, le site internet doit indiquer le nom et l’adresse de l’autorité ayant délivré l’autorisation. Par exemple, une entreprise de sécurité privée doit mentionner le Conseil national des activités privées de sécurité (CNAPS), tandis qu’une entreprise de transport routier de marchandises doit indiquer le nom et l’adresse de la Dreal compétente, si celle-ci est l’autorité ayant délivré son autorisation d’exercer.
- Si l’entreprise exerce une profession réglementée, elle doit afficher le titre professionnel, les règles professionnelles applicables, l’État membre où le titre a été octroyé ainsi que le nom de l’ordre ou de l’organisme professionnel auprès duquel elle est inscrite. Par exemple, un cabinet d’architecte doit mentionner son titre professionnel et les informations relatives à son inscription à l’Ordre des architectes.
Informer les internautes de l’utilisation de leurs données personnelles
Créer un site internet professionnel implique le respect des obligations liées à la protection des données personnelles.
Une donnée personnelle fait référence à toute information se rapportant à une personne physique identifiée ou identifiable, directement ou non, grâce à un identifiant ou à un ou plusieurs éléments propres à son identité (nom, prénom, adresse e-mail, localisation adresse IP, numéro de carte d’identité, photo, etc.).
L’identification d’une personne physique peut être réalisée à partir d’une seule donnée (un nom par exemple) ou à partir d’un croisement de données (un homme vivant à telle adresse, né telle date et membre dans telle association, par exemple).
Dès lors qu’une entreprise collecte, consulte, utilise, enregistre, modifie, conserve ou supprime les données personnelles d’un internaute, elle réalise un « traitement de données personnelles ».
Exemple
Remplir un formulaire de contact, conserver les coordonnées d’un client, utiliser son adresse e-mail pour lui envoyer une newsletter ou supprimer ses données constituent des traitements de données personnelles.
L’entreprise doit donc identifier les données qu’elle utilise, déterminer pourquoi et comment elle les utilise, informer les personnes concernées et, lorsque cela est nécessaire, recueillir leur accord.
Identifier les données personnelles collectées
L’entreprise doit commencer par recenser les données personnelles que son site permet de collecter ou d'utiliser.
Elle doit notamment vérifier les différentes fonctionnalités du site :
- Formulaire de contact : nom, adresse e-mail, numéro de téléphone, contenu du message
- Création d’un compte client : identité, adresse e-mail, mot de passe, adresse de livraison
- Commande en ligne : coordonnées nécessaires à la commande, à la livraison et à la facturation
- Inscription à une newsletter : adresse e-mail
- Prise de rendez-vous en ligne : identité, coordonnées et informations nécessaires au rendez-vous
- Espace personnel : informations associées au compte et à son utilisation
Cette vérification permet également de distinguer les données personnelles des informations qui ne permettent pas d’identifier une personne physique. Les coordonnées générales d’une entreprise, telles qu’une adresse e-mail générique ou le numéro de téléphone du standard, ne constituent ainsi pas, en elles-mêmes, des données personnelles.
L’entreprise doit également veiller à ne collecter que les données nécessaires à l’objectif poursuivi. Par exemple, un formulaire permettant simplement de demander un renseignement n’a, en principe, pas besoin de demander la date de naissance de l’internaute.
Déterminer comment les données sont utilisées
Pour chaque donnée collectée, l’entreprise doit déterminer pourquoi elle est collectée et ce qu’elle va en faire.
Elle doit notamment se demander :
- Pourquoi cette donnée est-elle collectée ? : Par exemple, l’adresse e-mail est collectée pour répondre à une demande envoyée depuis le formulaire de contact.
- Est-elle nécessaire pour cet objectif ? : Par exemple, le numéro de téléphone n’est pas nécessaire si l’entreprise répond uniquement par e-mail.
- Qui pourra accéder aux données ? : Par exemple, le service commercial ou un prestataire chargé de gérer les rendez-vous.
- Combien de temps seront-elles conservées ? : Par exemple, les données d’une demande de contact peuvent être conservées pendant le temps nécessaire à son traitement, puis supprimées selon les règles de conservation applicables.
- Les données seront-elles utilisées pour une autre finalité ? : Par exemple, une adresse e-mail communiquée pour recevoir une réponse ne peut pas être automatiquement utilisée pour envoyer une newsletter si les conditions permettant cette prospection ne sont pas réunies.
L’entreprise doit également déterminer, pour chaque traitement, ce qui l’autorise légalement à utiliser les données : exécution d’un contrat, respect d’une obligation légale, intérêt légitime ou le consentement. Le consentement n’est donc pas systématiquement nécessaire.
Informer les personnes de l'utilisation de leurs données
Au moment de la collecte des données personnelles, l’internaute doit être informé (lorsqu'il remplit un formulaire de contact, par exemple). Il doit également être informé en cas de modification ultérieure de leur utilisation.
Lorsque le site collecte des données personnelles, l’entreprise doit informer les personnes concernées de la manière dont leurs données seront utilisées.
Cette information doit être claire, compréhensible et facilement accessible. Elle doit notamment préciser :
- Identité et coordonnées de l’entreprise responsable du traitement informatique des données : nom ou dénomination sociale, adresse, coordonnées de contact et, lorsqu’il a été désigné, coordonnées du délégué à la protection des données (DPO).
- Données personnelles collectées : les catégories de données recueillies, par exemple le nom, l’adresse e-mail, le numéro de téléphone ou les données de connexion.
- Finalité poursuivie par le traitement : l’utilisation qui sera faite des données personnelles, par exemple pour traiter une commande, répondre à une demande de contact ou envoyer une newsletter.
- Base légale justifiant le traitement : la raison qui permet à l’entreprise de traiter les données, par exemple le consentement de l’internaute, l’exécution d’un contrat ou le respect d’une obligation légale.
- Caractère obligatoire ou facultatif du recueil de données personnelles : les données qui doivent obligatoirement être fournies et les conséquences de leur non-fourniture, par exemple l'impossibilité de traiter une commande.
- Destinataires des données personnelles : les personnes ou organismes susceptibles d’y avoir accès ou de les recevoir, par exemple les salariés de l’entreprise, un prestataire informatique ou un transporteur.
- Durée de conservation des données personnelles : la durée pendant laquelle les données sont conservées ou, lorsque cette durée ne peut pas être précisée, les critères permettant de la déterminer.
- Droits de l'internaute sur ses données: notamment le droit d’accéder à leurs données, de les rectifier, de demander leur effacement ou, dans certains cas, de s’opposer à leur traitement ou d’en demander la limitation.
- Modalités d’exercice de ces droits : les moyens permettant d’exercer ses droits, par exemple une adresse e-mail, une adresse postale ou un formulaire en ligne.
- Droit de l'internaute d'introduire une réclamation auprès de la Cnil : la possibilité de saisir la Cnil si l’internaute estime que ses données personnelles ne sont pas traitées conformément aux règles applicables.
- Transfert des données vers un pays situé en dehors de l’Union européenne, lorsque cela est nécessaire : par exemple, lorsque les données sont hébergées ou accessibles depuis un pays situé en dehors de l’Union européenne, les informations relatives à ce transfert et aux garanties mises en place.
- Possibilité de retirer son consentement, lorsque le traitement repose sur celui-ci : par exemple, la possibilité de se désinscrire d’une newsletter ou de retirer son consentement à l’utilisation de certaines données.
La Cnil met à disposition différents exemples de mentions d’information :
RGPD : exemples de mentions d'information
Sur le site internet, il est possible d’utiliser un lien renvoyant directement vers la politique de protection des données, clairement visible sur chaque page du site, intitulé de manière claire (« Données personnelles » ou « Confidentialité » par exemple).
Cette politique de confidentialité doit être distincte des conditions générales de vente (CGV) ou des conditions générales d'utilisation (CGU) du site internet.
Recueillir le consentement lorsque nécessaire
L’entreprise doit déterminer, pour chaque utilisation des données personnelles, si l’accord de l’internaute est nécessaire.
Le consentement n’est pas systématiquement requis : les données peuvent notamment être utilisées sans cet accord lorsqu’elles sont nécessaires à l’exécution d’un contrat (commande, livraison ou création d’un compte client) ou imposées par une obligation légale (conservation de certaines données pour respecter une obligation comptable, par exemple). D’autres situations peuvent relever de l’intérêt légitime de l’entreprise ou d’une mission d’intérêt public.
Exemple
Les coordonnées nécessaires à la livraison d’une commande peuvent être utilisées sans recueillir de consentement, car cette utilisation est nécessaire à l’exécution du contrat. En revanche, utiliser l’adresse e-mail pour une newsletter nécessite l’accord explicite de l’internaute à moins que ce dernier ait déjà acheté un produit similaire dans l’entreprise ou qu’il s’agisse d’un professionnel.
Pour déterminer si le consentement est nécessaire ou si une autre possibilité permet d’utiliser les données (contrat, obligation légale, intérêt légitime, etc.), consulter les fiches pratiques de la Cnil sur les bases légales :
Les bases légales
Lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé et univoque. L’internaute doit pouvoir accepter ou refuser le traitement et retirer son consentement à tout moment. L’entreprise doit également pouvoir prouver qu’elle a recueilli ce consentement.
Pour en savoir plus sur le recueil du consentement des internautes :
Conformité RGPD : comment recueillir le consentement des personnes ?
Les informations recueillies au cours de ces différentes étapes peuvent notamment être regroupées dans le registre des activités de traitement (RAT). Ce registre permet notamment de recenser les données personnelles utilisées, leurs finalités, la base légale du traitement, les destinataires ou encore les durées de conservation.
Pour en savoir plus sur le registre des activités de traitement :
Registre des activités de traitement
EvalRGPD permet de mesurer en ligne le niveau de conformité RGPD de l’entreprise :
EvalRGPD : l’autodiagnostic gratuit pour évaluer la conformité au RGPD d’une entreprise ↗
Informer les internautes sur l’utilisation des cookies et autres traceurs
Les sites internet peuvent utiliser des cookies et autres traceurs pour assurer leur fonctionnement, mesurer leur fréquentation ou afficher des publicités ciblées. L’entreprise doit informer les internautes sur l’utilisation de ces dispositifs et, lorsque cela est nécessaire, recueillir leur consentement.
Pour cela, elle doit recenser les cookies et autres traceurs utilisés sur son site et identifier leur finalité. Elle doit ensuite déterminer lesquels nécessitent un consentement : par exemple, les traceurs publicitaires nécessitent en principe un accord préalable, contrairement à certains traceurs strictement nécessaires au fonctionnement du site.
Pour déterminer si un consentement est nécessaire, la Cnil met à disposition de l’internaute la liste des cookies et autres traceurs permettant d’identifier leur finalité et de savoir dans quelles conditions ils peuvent être utilisés sans consentement :
Cookies et traceurs : comment mettre mon site web en conformité ?
Lorsque le consentement est requis, un bandeau de consentement doit permettre à l’internaute d’accepter ou de refuser les traceurs aussi facilement, et de choisir ceux qu’il autorise.
Exemple
Un site internet utilise des cookies pour afficher des publicités personnalisées. Ces cookies ne doivent pas être déposés avant que l’internaute ait accepté leur utilisation. Le bandeau peut proposer « Tout accepter », « Tout refuser » et un accès au paramétrage des finalités.
L’entreprise doit également permettre à l’internaute de modifier ou de retirer son consentement à tout moment, par exemple grâce à un lien « Gérer mes cookies » accessible depuis toutes les pages du site.
Exemple
Un internaute ayant accepté les cookies publicitaires lors de sa première visite doit pouvoir revenir sur ce choix sans avoir à rechercher les paramètres du navigateur ou contacter l’entreprise.
Pour connaître toutes les règles applicables à l'usage de cookies et autres traceurs :
Règles applicables à l'usage de cookies et autres traceurs
En cas de vente en ligne : afficher les conditions générales de vente (CGV)
Lorsqu’un site internet vend des produits ou des services en ligne, l’entreprise doit fournir certaines informations au client et respecter des règles spécifiques lors de la conclusion et de l’exécution du contrat.
Les conditions générales de vente (CGV) encadrent les relations commerciales.
Elles informent les clients, de manière lisible et compréhensible, de leurs droits et obligations lors de la vente de produits et/ou de services.
Cette obligation de transparence permet de réduire considérablement le risque de litige entre les clients et l’entreprise.
Le caractère obligatoire et le contenu des conditions générales de vente varient selon que l’offre de biens ou de services est adressée à des particuliers ou à des professionnels :
Clients particuliers
Les CGV doivent figurer obligatoirement sur le site internet. Le non-respect de cette obligation d'information est puni de 15 000 € d'amende.
Les conditions générales de vente doivent contenir les informations suivantes :
- Caractéristiques essentielles des biens et/ou services
- Prix TTC en euros
- Frais, date et modalités de livraison
- Modalités d'exécution du contrat
- Modalités de paiement : modes de paiement autorisés et question du retard de paiement
- Droit de rétractation : délai et conditions pour annuler et renvoyer la commande
- Garantie légale de conformité et garantie des vices cachés
- Garantie commerciale et service après vente : coût de la communication à distance
- Durée du contrat et conditions de résiliation, s'il y a lieu
- Caution ou garantie à fournir par le client, s'il y a lieu
- Durée minimale des obligations contractuelles du client, s'il y a lieu
- Existence d'un code de conduite applicable au contrat, s'il y a lieu
- Modalités de règlement des litiges : tribunal compétent et possibilité de recourir à un médiateur
Clients professionnels
Entre professionnels, les CGV sont facultatives, mais elles doivent pouvoir être communiquées sur simple demande.
Le refus de communication est puni de 75 000 € d'amende.
Les conditions générales de vente doivent contenir les informations suivantes :
- Prix HT en euros : barèmes de prix ou méthode de calcul du prix
- Rabais et ristourne : réductions de prix, remises promotionnelles ponctuelles et ristournes différées. Elles doivent être fixées selon des critères précis et objectifs.
- Escomptes commerciaux : réduction accordée à un client en cas de paiement anticipé
- Modalités de paiement : modes de paiement autorisés et pénalités appliquées en cas de retard
- Frais et date de livraison
- Modalités de règlement des litiges : tribunal compétent
Il est également possible d'ajouter une clause de réserve de propriété, une clause de limitation de responsabilité, une clause relative aux cas de force majeure ou encore les conditions de résiliation du contrat.
Par ailleurs, toute entreprise soumise à responsabilité élargie du producteur (REP) doit mentionner son numéro d'identification unique (IDU) ainsi que les caractéristiques environnementales de ses produits.
Permettre la résiliation en ligne
Depuis le 1er juin 2023, une fonctionnalité gratuite doit être mise à la disposition du consommateur pour lui permettre de résilier son contrat d'abonnement en ligne. Cette obligation s'applique même lorsque le contrat initial n'a pas été conclu par voie électronique.
Pour respecter cette obligation, les étapes suivantes doivent être mises en place :
Mettre en place une fonctionnalité de résiliation facilement accessible
La fonctionnalité permettant de résilier un abonnement doit être directement et facilement accessible depuis le site internet ou l'application mobile sur lequel le contrat peut être conclu.
Elle doit être clairement identifiable, avec la mention « résilier votre contrat » ou une formule équivalente qui ne laisse aucune ambiguïté et affichée en caractères lisibles. Elle doit également présenter, de manière lisible et compréhensible, les conditions de résiliation applicables au contrat, notamment l'existence éventuelle d'un délai de préavis, d'une indemnité de rupture ou les conséquences de la résiliation.
Permettre l'identification du contrat
La fonctionnalité de résiliation doit comporter des rubriques permettant au consommateur de fournir ou de confirmer les informations nécessaires à l'identification du contrat.
Elle doit ainsi permettre de renseigner ou de confirmer :
- les nom et prénom du consommateur ou, lorsque le contrat a été conclu avec une personne morale, sa raison ou dénomination sociale
- une adresse e-mail ou, à défaut, une adresse postale permettant au professionnel de confirmer la réception de la notification
- toute référence préalablement communiquée par le professionnel permettant d'identifier le titulaire et le contrat concerné, par exemple un numéro de client ou de contrat
- la date de résiliation souhaitée, sous réserve des dispositions légales ou contractuelles applicables
- pour les services de communications électroniques, le numéro de téléphone correspondant à la ou aux lignes concernées
Exemple
Le consommateur peut résilier par anticipation son contrat d'abonnement internet s'il fait l'objet d'une procédure de surendettement. La fonctionnalité doit ainsi lui permettre de vous transmettre la décision du juge accueillant sa demande de traitement de situation de surendettement.
Permettre la vérification des informations
Après avoir renseigné ou confirmé les informations nécessaires, le consommateur doit accéder à une page récapitulative lui permettant de vérifier les informations fournies et, si nécessaire, de les modifier.
Cette page doit permettre au consommateur de notifier sa résiliation en activant une fonction directement accessible depuis la page récapitulative. Cette fonction doit être présentée sous la mention « notification de la résiliation » ou sous une formule analogue, sans ambiguïté et affichée en caractères lisibles.
Confirmer la réception et informer de la fin du contrat
Après réception de la demande, l'entreprise doit confirmer au consommateur qu'elle a bien reçu sa notification de résiliation.
Elle doit ensuite l'informer, sur un support durable et dans un délai raisonnable, des effets de la résiliation et de la date à laquelle le contrat prendra fin.
Pour en savoir plus sur la résiliation dite « en 3 clics » :
Résiliation en 3 clics - Guide France Num
Source : Service-Public.gouv.fr (Direction de l'information légale et administrative). Réutilisée sous Licence Ouverte (Etalab). Ce site est indépendant et n'est pas édité par l'administration.
Une information vous semble erronée ? Signalez-la-nous.