La réponse courte
Un site vitrine doit informer ses visiteurs, demander leur consentement avant tout cookie non essentiel (statistiques, carte Google Maps, vidéos YouTube), protéger les données du formulaire de contact, et publier ses mentions légales et sa politique de confidentialité. Un site sans aucun traceur n'a même pas besoin de bandeau.
Ce qui est obligatoire pour tous
Quel que soit le site, même cinq pages sans formulaire :
- Des mentions légales : éditeur, forme juridique, SIRET, hébergeur, directeur de la publication.
- Une politique de confidentialité, dès qu'une donnée personnelle est collectée, ne serait-ce qu'une adresse e-mail.
- Le HTTPS : un site en HTTP est signalé comme non sécurisé par les navigateurs.
- Une information claire sur ce qui est collecté, pourquoi, et pendant combien de temps.
La carte Google Maps, le piège classique
C'est l'erreur la plus répandue : une carte Google Maps embarquée dépose des cookies dès l'affichage de la page, avant tout consentement. La solution est simple : afficher l'adresse en clair avec un lien « Itinéraire », et ne charger la carte qu'après un clic « Accepter et afficher la carte ».
C'est ce que nous avons fait pour Equilibrium : l'adresse du cabinet, les horaires et l'itinéraire sont lisibles immédiatement, la carte n'apparaît qu'avec l'accord du visiteur.
Le formulaire de contact
Un formulaire collecte des données personnelles : il doit rester sobre.
- Ne demander que le nécessaire : nom, e-mail, message. Le téléphone en option.
- Une case à cocher renvoyant à la politique de confidentialité, non pré-cochée.
- Une protection anti-spam : le reCAPTCHA de Google est considéré par la CNIL comme un traceur soumis au consentement. Chargez-le seulement une fois le consentement donné, ou préférez une protection invisible côté serveur.
- Une durée de conservation définie, et une vraie réponse au message : c'est aussi une obligation de bon sens.
Les sanctions, et surtout la confiance
La CNIL peut sanctionner, et le fait, y compris pour des bandeaux cookies non conformes. Mais pour une TPE, le vrai risque est ailleurs : un visiteur qui tombe sur un bandeau agressif, une carte qui piste, un formulaire qui réclame sa date de naissance, se demande ce que vous ferez de ses données. La conformité est d'abord une question de confiance.
Sur tous les sites que nous livrons, le bandeau, la carte après consentement, les pages légales et le formulaire protégé sont compris : voyez comment nous le faisons sur notre propre politique de confidentialité.