Mentions obligatoires sur le site internet d'une entreprise

L’entreprise doit commencer par recenser les données personnelles que son site permet de collecter ou d'utiliser.

Elle doit notamment vérifier les différentes fonctionnalités du site :

• Formulaire de contact : nom, adresse e-mail, numéro de téléphone, contenu du message
• Création d’un compte client : identité, adresse e-mail, mot de passe, adresse de livraison
• Commande en ligne : coordonnées nécessaires à la commande, à la livraison et à la facturation
• Inscription à une newsletter : adresse e-mail
• Prise de rendez-vous en ligne : identité, coordonnées et informations nécessaires au rendez-vous
• Espace personnel : informations associées au compte et à son utilisation

Cette vérification permet également de distinguer les données personnelles des informations qui ne permettent pas d’identifier une personne physique. Les coordonnées générales d’une entreprise, telles qu’une adresse e-mail générique ou le numéro de téléphone du standard, ne constituent ainsi pas, en elles-mêmes, des données personnelles.

L’entreprise doit également veiller à ne collecter que les données nécessaires à l’objectif poursuivi. Par exemple, un formulaire permettant simplement de demander un renseignement n’a, en principe, pas besoin de demander la date de naissance de l’internaute.

Pour chaque donnée collectée, l’entreprise doit déterminer pourquoi elle est collectée et ce qu’elle va en faire.

Elle doit notamment se demander :

• Pourquoi cette donnée est-elle collectée ? : Par exemple, l’adresse e-mail est collectée pour répondre à une demande envoyée depuis le formulaire de contact.
• Est-elle nécessaire pour cet objectif ? : Par exemple, le numéro de téléphone n’est pas nécessaire si l’entreprise répond uniquement par e-mail.
• Qui pourra accéder aux données ? : Par exemple, le service commercial ou un prestataire chargé de gérer les rendez-vous.
• Combien de temps seront-elles conservées ? : Par exemple, les données d’une demande de contact peuvent être conservées pendant le temps nécessaire à son traitement, puis supprimées selon les règles de conservation applicables.
• Les données seront-elles utilisées pour une autre finalité ? : Par exemple, une adresse e-mail communiquée pour recevoir une réponse ne peut pas être automatiquement utilisée pour envoyer une newsletter si les conditions permettant cette prospection ne sont pas réunies.

L’entreprise doit également déterminer, pour chaque traitement, ce qui l’autorise légalement à utiliser les données : exécution d’un contrat, respect d’une obligation légale, intérêt légitime ou le consentement. Le consentement n’est donc pas systématiquement nécessaire.

Au moment de la collecte des données personnelles, l’internaute doit être informé (lorsqu'il remplit un formulaire de contact, par exemple). Il doit également être informé en cas de modification ultérieure de leur utilisation.

Lorsque le site collecte des données personnelles, l’entreprise doit informer les personnes concernées de la manière dont leurs données seront utilisées.

Cette information doit être claire, compréhensible et facilement accessible. Elle doit notamment préciser :

• Identité et coordonnées de l’entreprise responsable du traitement informatique des données : nom ou dénomination sociale, adresse, coordonnées de contact et, lorsqu’il a été désigné, coordonnées du délégué à la protection des données (DPO).
• Données personnelles collectées : les catégories de données recueillies, par exemple le nom, l’adresse e-mail, le numéro de téléphone ou les données de connexion.
• Finalité poursuivie par le traitement : l’utilisation qui sera faite des données personnelles, par exemple pour traiter une commande, répondre à une demande de contact ou envoyer une newsletter.
• Base légale justifiant le traitement : la raison qui permet à l’entreprise de traiter les données, par exemple le consentement de l’internaute, l’exécution d’un contrat ou le respect d’une obligation légale.
• Caractère obligatoire ou facultatif du recueil de données personnelles : les données qui doivent obligatoirement être fournies et les conséquences de leur non-fourniture, par exemple l'impossibilité de traiter une commande.
• Destinataires des données personnelles : les personnes ou organismes susceptibles d’y avoir accès ou de les recevoir, par exemple les salariés de l’entreprise, un prestataire informatique ou un transporteur.
• Durée de conservation des données personnelles : la durée pendant laquelle les données sont conservées ou, lorsque cette durée ne peut pas être précisée, les critères permettant de la déterminer.
• Droits de l'internaute sur ses données: notamment le droit d’accéder à leurs données, de les rectifier, de demander leur effacement ou, dans certains cas, de s’opposer à leur traitement ou d’en demander la limitation.
• Modalités d’exercice de ces droits : les moyens permettant d’exercer ses droits, par exemple une adresse e-mail, une adresse postale ou un formulaire en ligne.
• Droit de l'internaute d'introduire une réclamation auprès de la Cnil : la possibilité de saisir la Cnil si l’internaute estime que ses données personnelles ne sont pas traitées conformément aux règles applicables.
• Transfert des données vers un pays situé en dehors de l’Union européenne, lorsque cela est nécessaire : par exemple, lorsque les données sont hébergées ou accessibles depuis un pays situé en dehors de l’Union européenne, les informations relatives à ce transfert et aux garanties mises en place.
• Possibilité de retirer son consentement, lorsque le traitement repose sur celui-ci : par exemple, la possibilité de se désinscrire d’une newsletter ou de retirer son consentement à l’utilisation de certaines données.

La Cnil met à disposition différents exemples de mentions d’information :

Sur le site internet, il est possible d’utiliser un lien renvoyant directement vers la politique de protection des données, clairement visible sur chaque page du site, intitulé de manière claire (« Données personnelles » ou « Confidentialité » par exemple).

Cette politique de confidentialité doit être distincte des conditions générales de vente (CGV) ou des conditions générales d'utilisation (CGU) du site internet.

L’entreprise doit déterminer, pour chaque utilisation des données personnelles, si l’accord de l’internaute est nécessaire.

Le consentement n’est pas systématiquement requis : les données peuvent notamment être utilisées sans cet accord lorsqu’elles sont nécessaires à l’exécution d’un contrat (commande, livraison ou création d’un compte client) ou imposées par une obligation légale (conservation de certaines données pour respecter une obligation comptable, par exemple). D’autres situations peuvent relever de l’intérêt légitime de l’entreprise ou d’une mission d’intérêt public.

Pour déterminer si le consentement est nécessaire ou si une autre possibilité permet d’utiliser les données (contrat, obligation légale, intérêt légitime, etc.), consulter les fiches pratiques de la Cnil sur les bases légales :

Lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé et univoque. L’internaute doit pouvoir accepter ou refuser le traitement et retirer son consentement à tout moment. L’entreprise doit également pouvoir prouver qu’elle a recueilli ce consentement.

Pour en savoir plus sur le recueil du consentement des internautes :

Les informations recueillies au cours de ces différentes étapes peuvent notamment être regroupées dans le registre des activités de traitement (RAT). Ce registre permet notamment de recenser les données personnelles utilisées, leurs finalités, la base légale du traitement, les destinataires ou encore les durées de conservation.

Pour en savoir plus sur le registre des activités de traitement :

EvalRGPD permet de mesurer en ligne le niveau de conformité RGPD de l’entreprise :

La fonctionnalité permettant de résilier un abonnement doit être directement et facilement accessible depuis le site internet ou l'application mobile sur lequel le contrat peut être conclu.

Elle doit être clairement identifiable, avec la mention « résilier votre contrat » ou une formule équivalente qui ne laisse aucune ambiguïté et affichée en caractères lisibles. Elle doit également présenter, de manière lisible et compréhensible, les conditions de résiliation applicables au contrat, notamment l'existence éventuelle d'un délai de préavis, d'une indemnité de rupture ou les conséquences de la résiliation.

La fonctionnalité de résiliation doit comporter des rubriques permettant au consommateur de fournir ou de confirmer les informations nécessaires à l'identification du contrat.

Elle doit ainsi permettre de renseigner ou de confirmer :

• les nom et prénom du consommateur ou, lorsque le contrat a été conclu avec une personne morale, sa raison ou dénomination sociale
• une adresse e-mail ou, à défaut, une adresse postale permettant au professionnel de confirmer la réception de la notification
• toute référence préalablement communiquée par le professionnel permettant d'identifier le titulaire et le contrat concerné, par exemple un numéro de client ou de contrat
• la date de résiliation souhaitée, sous réserve des dispositions légales ou contractuelles applicables
• pour les services de communications électroniques, le numéro de téléphone correspondant à la ou aux lignes concernées

Après avoir renseigné ou confirmé les informations nécessaires, le consommateur doit accéder à une page récapitulative lui permettant de vérifier les informations fournies et, si nécessaire, de les modifier.

Cette page doit permettre au consommateur de notifier sa résiliation en activant une fonction directement accessible depuis la page récapitulative. Cette fonction doit être présentée sous la mention « notification de la résiliation » ou sous une formule analogue, sans ambiguïté et affichée en caractères lisibles.

Après réception de la demande, l'entreprise doit confirmer au consommateur qu'elle a bien reçu sa notification de résiliation.

Elle doit ensuite l'informer, sur un support durable et dans un délai raisonnable, des effets de la résiliation et de la date à laquelle le contrat prendra fin.

Pour en savoir plus sur la résiliation dite « en 3 clics » :