Mentions obligatoires sur le site internet d'une entreprise

Un site internet professionnel doit permettre d’<span class="miseenevidence">identifier facilement l’entreprise qui l’édite ainsi que son <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R61596">hébergeur</a></span>. Certaines informations doivent donc y figurer : elles constituent ce qu’on appelle les <span class="miseenevidence">mentions légales</span>.

D’autres mentions obligatoires peuvent s’ajouter selon les cas :

• <span class="miseenevidence">Pour un site éditant un service de communication au public en ligne</span>, il convient d’indiquer le nom du directeur de la publication, le nom du responsable de la rédaction le cas échéant ainsi que les coordonnées de l’<a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R61596">hébergeur du site</a>.
• Les photographies, illustrations, textes, vidéos, logos et autres contenus utilisés sur le site peuvent être protégés par des <span class="miseenevidence">droits de propriété intellectuelle</span>. L’entreprise doit donc s’assurer qu’elle dispose des droits nécessaires pour les utiliser, par exemple en obtenant l’autorisation de leur auteur ou en utilisant des contenus dont la licence permet cet usage.
• <span class="miseenevidence">S’il s’agit d’une <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R61453">activité réglementée</a></span>, le site internet doit indiquer le nom et l’adresse de l’autorité ayant délivré l’autorisation. Par exemple, une entreprise de sécurité privée doit mentionner le Conseil national des activités privées de sécurité (CNAPS), tandis qu’une entreprise de transport routier de marchandises doit indiquer le nom et l’adresse de la <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R12143">Dreal</a> compétente, si celle-ci est l’autorité ayant délivré son autorisation d’exercer.
• <span class="miseenevidence">Si l’entreprise exerce une <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R1029">profession réglementée</a></span>, elle doit afficher le titre professionnel, les règles professionnelles applicables, l’État membre où le titre a été octroyé ainsi que le nom de l’ordre ou de l’organisme professionnel auprès duquel elle est inscrite. Par exemple, un cabinet d’architecte doit mentionner son titre professionnel et les informations relatives à son inscription à l’Ordre des architectes.

Créer un site internet professionnel implique le respect des obligations liées à la <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=F24270">protection des données personnelles</a>.

Une <span class="miseenevidence">donnée personnelle</span> fait référence à toute information se rapportant à une <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R60417">personne physique</a> identifiée ou identifiable, directement ou non, grâce à un identifiant ou à un ou plusieurs éléments propres à son identité (nom, prénom, adresse e-mail, localisation adresse IP, numéro de carte d’identité, photo, etc.).

L’identification d’une personne physique peut être réalisée à partir d’une seule donnée (un nom par exemple) ou à partir d’un croisement de données (un homme vivant à telle adresse, né telle date et membre dans telle association, par exemple).

Dès lors qu’une entreprise collecte, consulte, utilise, enregistre, modifie, conserve ou supprime les données personnelles d’un internaute, elle réalise un « <span class="miseenevidence"><span class="expression">traitement de données personnelles</span></span> ».

L’entreprise doit donc identifier les données qu’elle utilise, déterminer pourquoi et comment elle les utilise, informer les personnes concernées et, lorsque cela est nécessaire, recueillir leur accord.

Identifier les données personnelles collectées

L’entreprise doit commencer par recenser les données personnelles que son site permet de collecter ou d'utiliser.

Elle doit notamment vérifier les différentes fonctionnalités du site :

• <span class="miseenevidence">Formulaire de contact</span> : nom, adresse e-mail, numéro de téléphone, contenu du message
• <span class="miseenevidence">Création d’un compte client</span> : identité, adresse e-mail, mot de passe, adresse de livraison
• <span class="miseenevidence">Commande en ligne</span> : coordonnées nécessaires à la commande, à la livraison et à la <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=F23208">facturation</a>
• <span class="miseenevidence">Inscription à une newsletter</span> : adresse e-mail
• <span class="miseenevidence">Prise de rendez-vous en ligne</span> : identité, coordonnées et informations nécessaires au rendez-vous
• <span class="miseenevidence">Espace personnel</span> : informations associées au compte et à son utilisation

Cette vérification permet également de distinguer les données personnelles des informations qui ne permettent pas d’identifier une <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R60417">personne physique</a>. Les coordonnées générales d’une entreprise, telles qu’une adresse e-mail générique ou le numéro de téléphone du standard, ne constituent ainsi pas, en elles-mêmes, des données personnelles.

L’entreprise doit également veiller à <span class="miseenevidence">ne collecter que les données nécessaires à l’objectif poursuivi</span>. Par exemple, un formulaire permettant simplement de demander un renseignement n’a, en principe, pas besoin de demander la date de naissance de l’internaute.

Déterminer comment les données sont utilisées

Pour chaque donnée collectée, l’entreprise doit déterminer <span class="miseenevidence">pourquoi elle est collectée et ce qu’elle va en faire</span>.

Elle doit notamment se demander :

• <span class="miseenevidence">Pourquoi cette donnée est-elle collectée ?</span> : Par exemple, l’adresse e-mail est collectée pour répondre à une demande envoyée depuis le formulaire de contact.
• <span class="miseenevidence">Est-elle nécessaire pour cet objectif ?</span> : Par exemple, le numéro de téléphone n’est pas nécessaire si l’entreprise répond uniquement par e-mail.
• <span class="miseenevidence">Qui pourra accéder aux données ?</span> : Par exemple, le service commercial ou un prestataire chargé de gérer les rendez-vous.
• <span class="miseenevidence">Combien de temps seront-elles conservées ?</span> : Par exemple, les données d’une demande de contact peuvent être conservées pendant le temps nécessaire à son traitement, puis supprimées selon les règles de conservation applicables.
• <span class="miseenevidence">Les données seront-elles utilisées pour une autre finalité ?</span> : Par exemple, une adresse e-mail communiquée pour recevoir une réponse ne peut pas être automatiquement utilisée pour envoyer une newsletter si les conditions permettant cette prospection ne sont pas réunies.

L’entreprise doit également déterminer, <span class="miseenevidence">pour chaque traitement</span>, ce qui l’autorise légalement à utiliser les données : exécution d’un contrat, respect d’une obligation légale, intérêt légitime ou le consentement. <span class="miseenevidence">Le consentement n’est donc pas systématiquement nécessaire</span>.

Informer les personnes de l'utilisation de leurs données

<span class="miseenevidence">Au moment de la collecte des données personnelles</span>, l’internaute doit être informé (lorsqu'il remplit un formulaire de contact, par exemple). Il doit également être informé en cas de modification ultérieure de leur utilisation.

Lorsque le site collecte des données personnelles, l’entreprise doit informer les personnes concernées de la manière dont leurs données seront utilisées.

Cette information doit être <span class="miseenevidence">claire</span>, <span class="miseenevidence">compréhensible</span> et <span class="miseenevidence">facilement accessible</span>. Elle doit notamment préciser :

• <span class="miseenevidence">Identité et coordonnées de l’entreprise responsable du traitement informatique des données</span> : nom ou dénomination sociale, adresse, coordonnées de contact et, lorsqu’il a été désigné, coordonnées du <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R58154">délégué à la protection des données (DPO)</a>.
• <span class="miseenevidence">Données personnelles collectées</span> : les catégories de données recueillies, par exemple le nom, l’adresse e-mail, le numéro de téléphone ou les données de connexion.
• <span class="miseenevidence">Finalité poursuivie par le traitement</span> : l’utilisation qui sera faite des données personnelles, par exemple pour traiter une commande, répondre à une demande de contact ou envoyer une newsletter.
• <span class="miseenevidence">Base légale justifiant le traitement</span> : la raison qui permet à l’entreprise de traiter les données, par exemple le consentement de l’internaute, l’exécution d’un contrat ou le respect d’une obligation légale.
• <span class="miseenevidence">Caractère obligatoire ou facultatif du recueil de données personnelles</span> : les données qui doivent obligatoirement être fournies et les conséquences de leur non-fourniture, par exemple l'impossibilité de traiter une commande.
• <span class="miseenevidence">Destinataires des données personnelles</span> : les personnes ou organismes susceptibles d’y avoir accès ou de les recevoir, par exemple les salariés de l’entreprise, un prestataire informatique ou un transporteur.
• <span class="miseenevidence">Durée de conservation des données personnelles</span> : la durée pendant laquelle les données sont conservées ou, lorsque cette durée ne peut pas être précisée, les critères permettant de la déterminer.
• <span class="miseenevidence">Droits de l'internaute sur ses données</span>: notamment le droit d’accéder à leurs données, de les rectifier, de demander leur effacement ou, dans certains cas, de s’opposer à leur traitement ou d’en demander la limitation.
• <span class="miseenevidence">Modalités d’exercice de ces droits</span> : les moyens permettant d’exercer ses droits, par exemple une adresse e-mail, une adresse postale ou un formulaire en ligne.
• <span class="miseenevidence">Droit de l'internaute d'introduire une réclamation auprès de la <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R34268">Cnil</a></span> : la possibilité de saisir la Cnil si l’internaute estime que ses données personnelles ne sont pas traitées conformément aux règles applicables.
• <span class="miseenevidence">Transfert des données vers un pays situé en dehors de l’Union européenne, lorsque cela est nécessaire</span> : par exemple, lorsque les données sont hébergées ou accessibles depuis un pays situé en dehors de l’Union européenne, les informations relatives à ce transfert et aux garanties mises en place.
• <span class="miseenevidence">Possibilité de retirer son consentement, lorsque le traitement repose sur celui-ci</span> : par exemple, la possibilité de se désinscrire d’une newsletter ou de retirer son consentement à l’utilisation de certaines données.

La Cnil met à disposition différents exemples de mentions d’information :

Sur le site internet, il est possible d’utiliser un lien renvoyant directement vers la <span class="miseenevidence">politique de protection des données</span>, clairement visible sur chaque page du site, intitulé de manière claire (« <span class="expression">Données personnelles</span> » ou « <span class="expression">Confidentialité</span> » par exemple).

Cette politique de confidentialité doit être distincte des conditions générales de vente (CGV) ou des conditions générales d'utilisation (CGU) du site internet.

Recueillir le consentement lorsque nécessaire

L’entreprise doit <span class="miseenevidence">déterminer</span>, pour chaque utilisation des données personnelles, <span class="miseenevidence">si l’accord de l’internaute est nécessaire</span>.

Le <span class="miseenevidence">consentement n’est pas systématiquement requis</span> : les données peuvent notamment être utilisées sans cet accord lorsqu’elles sont nécessaires à l’<span class="miseenevidence">exécution d’un contrat</span> (commande, livraison ou création d’un compte client) ou imposées par une <span class="miseenevidence">obligation légale</span> (conservation de certaines données pour respecter une obligation comptable, par exemple). D’autres situations peuvent relever de l’<span class="miseenevidence">intérêt légitime de l’entreprise</span> ou d’une <span class="miseenevidence">mission d’intérêt public</span>.

<span class="miseenevidence">Pour déterminer si le consentement est nécessaire ou si une autre possibilité permet d’utiliser les données</span> (contrat, obligation légale, intérêt légitime, etc.), consulter les fiches pratiques de la Cnil sur les bases légales :

Lorsque le <span class="miseenevidence">consentement</span> est nécessaire, il doit être <span class="miseenevidence">libre</span>, <span class="miseenevidence">spécifique</span>, <span class="miseenevidence">éclairé</span> et <span class="miseenevidence">univoque</span>. L’internaute doit pouvoir accepter ou refuser le traitement et retirer son consentement à tout moment. L’entreprise doit également pouvoir prouver qu’elle a recueilli ce consentement.

Pour en savoir plus sur le <span class="miseenevidence">recueil du consentement des internautes</span> :

Les informations recueillies au cours de ces différentes étapes peuvent notamment être regroupées dans le <span class="miseenevidence">registre des activités de traitement (RAT)</span>. Ce registre permet notamment de recenser les données personnelles utilisées, leurs finalités, la base légale du traitement, les destinataires ou encore les durées de conservation.

Pour <span class="miseenevidence">en savoir plus sur le registre des activités de traitement</span> :

<span class="miseenevidence">EvalRGPD permet de mesurer en ligne le niveau de conformité RGPD de l’entreprise</span> :

Les sites internet peuvent utiliser des <span class="miseenevidence"><a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=F31228">cookies et autres traceurs</a></span> pour assurer leur fonctionnement, mesurer leur fréquentation ou afficher des publicités ciblées. L’entreprise doit informer les internautes sur l’utilisation de ces dispositifs et, lorsque cela est nécessaire, recueillir leur consentement.

Pour cela, elle doit recenser les <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R67442">cookies</a> et autres <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R79025">traceurs</a> utilisés sur son site et identifier leur finalité. Elle doit ensuite déterminer lesquels nécessitent un consentement : par exemple, les traceurs publicitaires nécessitent en principe un accord préalable, contrairement à certains traceurs strictement nécessaires au fonctionnement du site.

<span class="miseenevidence">Pour déterminer si un consentement est nécessaire</span>, la <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R34268">Cnil</a> met à disposition de l’internaute la <span class="miseenevidence">liste des cookies et autres traceurs</span> permettant d’identifier leur finalité et de savoir dans quelles conditions ils peuvent être utilisés sans consentement :

<span class="miseenevidence">Lorsque le consentement est requis</span>, un <span class="miseenevidence">bandeau de consentement</span> doit permettre à l’internaute d’accepter ou de refuser les traceurs aussi facilement, et de choisir ceux qu’il autorise.

L’entreprise doit également <span class="miseenevidence">permettre à l’internaute de modifier ou de retirer son consentement à tout moment</span>, par exemple grâce à un lien « <span class="expression">Gérer mes cookies</span> » accessible depuis toutes les pages du site.

Pour <span class="miseenevidence">connaître toutes les règles applicables à l'usage de cookies et autres traceurs</span> :

<span class="miseenevidence">Lorsqu’un site internet vend des produits ou des services en ligne</span>, l’entreprise doit fournir certaines informations au client et respecter des règles spécifiques lors de la conclusion et de l’exécution du contrat.

Les <span class="miseenevidence">conditions générales de vente (CGV)</span> encadrent les <span class="miseenevidence">relations commerciales</span>.

Elles informent les clients, de manière lisible et compréhensible, de leurs <span class="miseenevidence">droits et obligations</span> lors de la vente de produits et/ou de services.

Cette obligation de transparence permet de réduire considérablement le risque de litige entre les clients et l’entreprise.

Le caractère obligatoire et le contenu des conditions générales de vente varient selon que l’offre de biens ou de services est adressée à des <span class="miseenevidence">particuliers</span> ou à des <span class="miseenevidence">professionnels</span> :

Par ailleurs, toute entreprise soumise à <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=F37937">responsabilité élargie du producteur (REP)</a> doit mentionner son <span class="miseenevidence">numéro d'identification unique (IDU)</span> ainsi que les caractéristiques environnementales de ses produits.

Depuis le 1<Exposant>er</Exposant> juin 2023, une fonctionnalité gratuite doit être mise à la disposition du consommateur pour lui permettre de <span class="miseenevidence">résilier son contrat d'abonnement en ligne</span>. Cette obligation <span class="miseenevidence">s'applique même lorsque le contrat initial n'a pas été conclu par voie électronique</span>.

Pour respecter cette obligation, les étapes suivantes doivent être mises en place :

Mettre en place une fonctionnalité de résiliation facilement accessible

La fonctionnalité permettant de résilier un abonnement doit être <span class="miseenevidence">directement et facilement accessible</span> depuis le site internet ou l'application mobile sur lequel le contrat peut être conclu.

Elle doit être clairement identifiable, avec la mention <span class="miseenevidence">« <span class="expression">résilier votre contrat</span> »</span> ou une formule équivalente qui ne laisse aucune ambiguïté et affichée en caractères lisibles. Elle doit également présenter, de manière lisible et compréhensible, les <span class="miseenevidence">conditions de résiliation</span> applicables au contrat, notamment l'existence éventuelle d'un délai de préavis, d'une indemnité de rupture ou les conséquences de la résiliation.

Permettre l'identification du contrat

La fonctionnalité de résiliation doit comporter des <span class="miseenevidence">rubriques permettant au consommateur de fournir ou de confirmer</span> les informations nécessaires à l'identification du contrat.

Elle doit ainsi permettre de renseigner ou de confirmer :

• les <span class="miseenevidence">nom et prénom</span> du consommateur ou, lorsque le contrat a été conclu avec une <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R67013">personne morale</a>, sa <span class="miseenevidence">raison ou <a href="https://www.pignans.fr/mes-demarches-entreprises/?xml=R74276">dénomination sociale</a></span>
• une <span class="miseenevidence">adresse e-mail</span> ou, à défaut, une adresse postale permettant au professionnel de confirmer la réception de la notification
• toute <span class="miseenevidence">référence préalablement communiquée par le professionnel</span> permettant d'identifier le titulaire et le contrat concerné, par exemple un numéro de client ou de contrat
• la <span class="miseenevidence">date de résiliation souhaitée</span>, sous réserve des dispositions légales ou contractuelles applicables
• pour les services de communications électroniques, le <span class="miseenevidence">numéro de téléphone correspondant à la ou aux lignes concernées</span>

Permettre la vérification des informations

Après avoir renseigné ou confirmé les informations nécessaires, le consommateur doit accéder à une <span class="miseenevidence">page récapitulative</span> lui permettant de vérifier les informations fournies et, si nécessaire, de les modifier.

Cette page doit permettre au consommateur de <span class="miseenevidence">notifier sa résiliation</span> en activant une fonction directement accessible depuis la page récapitulative. Cette fonction doit être présentée sous la mention <span class="miseenevidence">« <span class="expression">notification de la résiliation</span> »</span> ou sous une formule analogue, sans ambiguïté et affichée en caractères lisibles.

Confirmer la réception et informer de la fin du contrat

Après réception de la demande, l'entreprise doit <span class="miseenevidence">confirmer au consommateur qu'elle a bien reçu sa notification de résiliation</span>.

Elle doit ensuite l'informer, sur un <span class="miseenevidence">support durable</span> et dans un délai raisonnable, des effets de la résiliation et de la <span class="miseenevidence">date à laquelle le contrat prendra fin</span>.

Pour <span class="miseenevidence">en savoir plus sur la résiliation dite « <span class="expression">en 3 clics</span></span> » :