RGPD site vitrine cookies : les obligations réelles

Un site vitrine doit-il se conformer au RGPD ? Oui, sans exception — et les cookies en sont souvent le point le plus mal compris. Concrètement : si votre site dépose des cookies non strictement nécessaires (analytics, réseaux sociaux, publicité), vous avez des obligations précises à respecter sous peine de sanction de la CNIL. Voici ce que vous devez mettre en place, sans sur-compliquer.

RGPD site vitrine : êtes-vous vraiment concerné ?

Tout site accessible à des résidents européens est soumis au RGPD, qu'il vende ou non. Un simple site vitrine qui collecte des adresses e-mail via un formulaire ou utilise Google Analytics traite des données personnelles et doit s'y conformer.

La taille de votre entreprise ne change rien à l'obligation. Un indépendant à Martigues avec un site de quatre pages est logé à la même enseigne qu'une PME de cinquante salariés. Ce qui change, c'est le volume et la nature des données traitées — et donc le niveau de mesures à mettre en œuvre.

Ce que « traitement de données » signifie vraiment

Un traitement, au sens du RGPD, c'est toute opération sur une donnée qui permet d'identifier une personne : collecter une adresse e-mail via un formulaire de contact, enregistrer une adresse IP via un serveur, ou encore transmettre un identifiant de navigateur à Google via Analytics. Ces trois cas sont courants sur un site vitrine basique.

Cookies : lesquels exigent un consentement ?

Seuls les cookies « strictement nécessaires » peuvent être déposés sans consentement préalable. Tous les autres — analytics, vidéos intégrées, boutons de partage social — nécessitent une action positive de l'utilisateur avant leur dépôt.

La CNIL est claire sur ce point depuis ses lignes directrices de 2020, confirmées par sa doctrine de 2022 : le simple fait de continuer à naviguer ne vaut pas consentement. Un cookie analytics comme Google Analytics 4, même configuré avec anonymisation d'IP, entre dans la catégorie des cookies soumis à consentement car il transfère des données vers des serveurs américains.

Les cookies exemptés de consentement

Ils sont peu nombreux :

Session de panier (non pertinent pour une vitrine pure)
Mémorisation du choix de langue
Cookie de la bannière de consentement elle-même
Certains cookies d'authentification

Si votre site vitrine n'utilise aucun outil tiers — pas d'analytics, pas de carte Google Maps intégrée, pas de vidéo YouTube embarquée —, vous n'avez techniquement pas besoin de bannière cookie. Ce cas reste rare en pratique.

Les pièges fréquents sur les sites vitrines

Une police Google Fonts chargée via les serveurs de Google transmet l'adresse IP du visiteur. Une carte Google Maps intégrée dépose des cookies. Une vidéo Vimeo en autoplay aussi. Ces intégrations passent souvent inaperçues lors de la création du site, mais elles créent une obligation réelle.

Bannière cookies : à quoi doit-elle ressembler ?

Une bannière conforme doit présenter le refus aussi facilement que l'acceptation. Le bouton « Tout refuser » doit être visible au même niveau que « Tout accepter », sans manipulation visuelle (couleurs trompeuses, taille différente).

La CNIL a sanctionné des entreprises pour des bannières où le refus était dissimulé derrière plusieurs clics. La règle concrète : si accepter prend un clic, refuser doit aussi prendre un clic — pas deux, pas trois.

Ce que doit contenir la bannière

La finalité des cookies déposés (analytics, publicité, etc.)
Un lien vers votre politique de confidentialité complète
Un moyen de modifier ses choix ultérieurement
L'identité du responsable de traitement

Outil de gestion : lequel choisir ?

Pour un site vitrine sobre, des solutions comme Axeptio, Cookiebot (plan gratuit jusqu'à 100 pages) ou Tarteaucitron.js (open source) sont adaptées. Elles gèrent automatiquement le blocage préalable des scripts tiers et conservent la preuve du consentement, ce que la CNIL peut vous demander en cas de contrôle.

Mentions légales et politique de confidentialité : le minimum légal

En dehors des cookies, un site vitrine doit afficher des mentions légales (nom, raison sociale, hébergeur) et une politique de confidentialité dès lors qu'un formulaire collecte des données. Ces deux documents ne sont pas optionnels.

La politique de confidentialité doit mentionner : quelles données sont collectées, pourquoi (la base légale), combien de temps elles sont conservées, et comment l'utilisateur peut exercer ses droits (accès, rectification, suppression). Un formulaire de contact qui collecte nom + e-mail suffit à déclencher cette obligation.

Quelle est la conséquence concrète de l'inaction ?

Negliger ces obligations n'est pas sans risque. La CNIL reçoit des milliers de plaintes chaque année — y compris contre des petites structures — et dispose d'un pouvoir de sanction allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Les amendes prononcées contre des TPE restent plus modestes, mais les mises en demeure publiées, elles, le sont à votre nom.

Au-delà de la sanction financière, une mise en demeure publique nuit directement à la crédibilité de votre activité — précisément ce qu'un site vitrine est censé construire. C'est donc un investissement de protection, pas une contrainte administrative abstraite.

C'est pourquoi, lors de la création de votre site vitrine, intégrer ces éléments dès le départ est bien plus simple (et moins coûteux) que de les ajouter après coup. Notre offre Site en 24h inclut la configuration des mentions légales et l'intégration d'un gestionnaire de cookies conforme dans le cadre du site livré — vous découvrez le site réel, en ligne, sous 6 heures, et vous ne payez rien avant de l'avoir vu (dès 2 500 € HT).

Questions fréquentes

Un site vitrine sans formulaire a-t-il besoin d'une politique de confidentialité ? Si votre site ne collecte aucune donnée personnelle (pas de formulaire, pas d'analytics, pas de cookies tiers), la politique de confidentialité n'est pas obligatoire. En pratique, ce cas est très rare — vérifiez les scripts chargés par votre thème ou constructeur de page.

Google Analytics est-il autorisé sans consentement en France ? Non. La CNIL a conclu en 2022 que Google Analytics transfère des données vers les États-Unis dans des conditions non conformes au RGPD. Son utilisation nécessite un consentement explicite via une bannière conforme, ou le recours à une alternative hébergée en Europe (Matomo en auto-hébergement, par exemple).

Que risque-t-on concrètement pour un petit site non conforme ? La CNIL peut émettre une mise en demeure (publiée publiquement) et, en cas de non-correction, prononcer une amende. Des contrôles sont initiés sur signalement d'un concurrent ou d'un client mécontent. Le risque existe même pour une micro-entreprise.

Vous savez maintenant ce que votre site vitrine doit comporter pour rester dans les clous. Lancez votre brief sur Site en 24h — votre site en ligne sous 24h, rien à payer avant de l'avoir vu.