Le RGPD effraie surtout par son vocabulaire. Sur un site d'entreprise classique, site vitrine ou petite boutique, il se résume à quelques décisions simples.

1. Les mentions légales

Un site professionnel doit permettre d'identifier l'entreprise : dénomination, forme juridique, adresse, numéro d'entreprise, e-mail de contact. Cette page est aussi celle que vos visiteurs cherchent pour savoir à qui ils ont affaire. Elle rassure autant qu'elle protège.

2. La déclaration de confidentialité

Elle répond à cinq questions : quelles données vous collectez, pourquoi, sur quelle base, combien de temps vous les gardez, et avec quels prestataires elles sont partagées. Sur un site vitrine, cela tient en une page : formulaire de contact, demande de devis, newsletter éventuelle, mesure d'audience. Elle doit aussi rappeler les droits du visiteur et l'existence d'un recours auprès de l'Autorité de protection des données.

3. Le bandeau de cookies

C'est le point le plus souvent négligé. Les cookies strictement nécessaires au fonctionnement du site, comme le panier d'une boutique, ne demandent pas d'accord. En revanche, les cookies de mesure d'audience et de publicité ne peuvent être déposés qu'après le consentement du visiteur. En pratique, cela veut dire trois choses :

1. Rien avant le choix. Google Analytics, pixels publicitaires et autres traceurs doivent rester bloqués tant que le visiteur n'a pas accepté.
2. Refuser doit être aussi simple qu'accepter. Un bouton « Refuser » visible, au même niveau que « Accepter », pas un lien minuscule.
3. Le visiteur doit pouvoir changer d'avis. Un lien ou un onglet permet de revenir sur son choix à tout moment.

Un bandeau qui se contente d'annoncer « en continuant votre navigation, vous acceptez les cookies » ne vaut pas consentement.

4. Les formulaires

Ce qui change pour vos statistiques

Un bandeau correctement configuré fait baisser les chiffres de Google Analytics, puisque les visiteurs qui refusent ne sont plus comptés. Ce n'est pas une perte de trafic, c'est une mesure plus honnête. Les données de la Search Console, elles, ne dépendent pas des cookies et restent complètes.

Par où commencer

1. Faire l'inventaire. Quels outils tournent sur le site : mesure d'audience, chat, vidéos intégrées, pixels publicitaires.
2. Installer un vrai bandeau qui bloque ces outils tant que le visiteur n'a pas répondu.
3. Écrire les deux pages mentions légales et confidentialité, avec vos données réelles.
4. Vérifier après coup qu'aucun cookie de mesure n'est déposé avant le choix : les navigateurs permettent de le contrôler en deux clics.

Nous appliquons exactement cette méthode sur les sites que nous livrons, et nous l'avons appliquée au nôtre : notre page Informations sur les cookies liste chaque cookie, son rôle et sa durée.

Questions fréquentes

Le RGPD s'applique-t-il à un simple site vitrine ?

Oui, dès qu'un formulaire de contact existe ou qu'un outil de mesure d'audience est installé. Les obligations restent proportionnées : pour un site vitrine, quelques pages et un bandeau bien réglé suffisent.

Faut-il un délégué à la protection des données ?

Pas pour une petite entreprise dont l'activité principale n'est pas le traitement de données à grande échelle. Une PME classique n'a pas cette obligation.

Puis-je garder Google Analytics ?

Oui, à condition qu'il ne se déclenche qu'après le consentement du visiteur. C'est le rôle du bandeau, qui bloque le script tant que rien n'est accepté.

Que risque une entreprise qui n'a rien mis en place ?

Les contrôles visent surtout les manquements manifestes et les plaintes. Au-delà de l'amende possible, le vrai risque quotidien est la perte de confiance d'un visiteur qui constate que rien n'est clair.

Combien de temps faut-il pour se mettre en règle ?

Sur un site existant, compter généralement une demi-journée à une journée : inventaire des outils, installation du bandeau, rédaction des deux pages et vérification.