Obligations spécifiques à certaines activités

Selon le(s) type(s) d'activité(s) mis en œuvre, le site professionnel doit aussi contenir les informations suivantes :

• Activités commerciales : numéro d’inscription au registre du commerce et des sociétés (RCS) et si vous en avez un, numéro de TVA intracommunautaire ;
• Activités éditoriales : pour tous les sites, proposant des articles, des blogs et autres informations : nom du directeur, codirecteur ou responsable de la publication ;
• Activités soumises à un régime d’autorisation : nom et adresse de l’autorité ayant délivré l’autorisation d’exercer. 

Les mentions relatives à la propriété intellectuelle

Si vous utilisez des images, illustrations, photographies : vous devez faire figurer leur propriété intellectuelle.

Pour les textes qui ne sont pas les vôtres vous devez recueillir l’autorisation de l’auteur ou a minima, s'il s'agit d'un court extrait, citer la source du texte. 

Les mentions relatives à l’utilisation des données personnelles et à la gestion des cookies

Depuis l’entrée en application du Règlement général sur la protection des données (RGPD) le 25 mai 2018, les sites (et plus largement toute personne ou organisation collectant des données personnelles) doivent recenser les traitements réalisés et mettre en œuvre les droits assurés par le RGPD.

Les données personnelles sont toute information se rapportant à une personne physique : le nom, prénom, adresse, numéro de téléphone… Le RGPD distingue deux situations :

• La personne physique est identifiée directement : collecte directe des données de l’utilisateur, par l’utilisateur par exemple via le remplissage d’un formulaire ou au travers de l’observation de son activité (géolocalisation, adresse IP…)
•  La personne physique est identifiable indirectement : données récupérées auprès de partenaires commerciaux ou collecte de données qui permettent indirectement de retrouver des données personnelles des utilisateurs

Dans ces deux cas, le site internet doit obligatoirement contenir un certain nombre d’informations.

A noter : afin de renseigner les internautes sur les modalités de traitement et de conservation de leurs données, vous pouvez choisir, de mettre à disposition ces informations à la suite des mentions d’identification, sur la même page, ou bien dans une page dédiée que vous pourrez nommer par exemple Politique de confidentialité ou encore Charte sur le respect de la vie privée.

Les finalités de la collecte des données par les cookies

Pour analyser le comportement des internautes, comme par exemple leurs navigations, leurs habitudes de consommation, leurs déplacements… les sites utilisent de petit fichier déposé sur l’ordinateur de l’internaute : le cookie.

On distingue :

• les cookies « nécessaires » au bon fonctionnement du site internet. Ils permettent par exemple d’enregistrer un panier d’achat, des identifiants de connexion ou de suivre les actions d’un internaute sur le site web
• les autres cookies, internes ou externes, qui collectent des données personnelles de l’utilisateur pour suivre le comportement de l’utilisateur et servir à des finalités publicitaires

A l’exception des cookies nécessaires au fonctionnement du site internet, l’utilisation de tous les autres cookies doit être expliquée de manière claire et précise à tous les utilisateurs du site internet.

De plus, il est obligatoire de demander un consentement préalable au traitement de ces données personnelles. C’est la fenêtre qui s’affiche quand vous visitez un site pour première fois et qui vous demande si vous acceptez les conditions (relatives à la gestion de vos données personnelles) du site.

A ce sujet, la Cnil insiste sur la nécessité que le recueillement du consentement des internautes offre la même simplicité pour le refus que  pour l'approbation.

Il est possible d'utiliser une plateforme de gestion du consentement (CMP) pour faciliter la mise en place sur son site internet d'une interface de recueil du consentement des utilisateurs. Découvrez une sélection de CMP proposées par Les Échos solutions : 

• Comment assurer la conformité RGPD de votre site Web ?

Pour plus d’informations sur la mise en conformité de l’utilisation des cookies sur un site web, vous pouvez vous rendre sur les sites suivants :

• Cookies et traceurs : comment mettre mon site web en conformité ? (Cnil.fr)
• Cookies et traceurs : que dit la loi ? (Cnil.fr)
• Utilisation de données personnelles : vos obligations d'information vis-à-vis de l'internaute (Economie.gouv.fr)
• Refuser les cookies doit être aussi simple qu'accepter : bilan de la deuxième campagne de mises en demeure et actions à venir (Cnil.fr)

La base juridique du traitement de données

Les mentions légales doivent préciser, conformément au RGPD, sur quelle base légale s’appuient les traitements de données mis en œuvre sur votre site.

Il est permis de traiter des données personnelles lorsque le traitement repose sur une des 6 bases légales mentionnées à l’article 6 du RGPD :   

• le consentement : la personne a consenti au traitement de ses données ;
• le contrat : le traitement est nécessaire à l’exécution ou à la préparation d’un contrat avec la personne concernée ;
• l’obligation légale : le traitement est imposé par des textes légaux ;
• la mission d’intérêt public : le traitement est nécessaire à l’exécution d’une mission d’intérêt public ;
• l’intérêt légitime : le traitement est nécessaire à la poursuite d’intérêts légitimes de l’organisme qui traite les données ou d’un tiers, dans le strict respect des droits et intérêts des personnes dont les données sont traitées ;
• la sauvegarde des intérêts vitaux : le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, ou d’un tiers.

Lorsqu’un même traitement de données poursuit plusieurs finalités, c’est-à-dire plusieurs objectifs, une base légale doit être définie pour chacune de ces finalités. En revanche, il n’est pas possible de « cumuler » des bases légales pour une même finalité : il faut en choisir une seule.

La base légale la plus couramment utilisée est le consentement. Il assure aux personnes concernées un contrôle fort sur leurs données, en leur permettant :

• de comprendre le traitement qui sera fait de leurs données ;
• de choisir sans contrainte d’accepter ou non ce traitement ;
• de changer d’avis librement.

Vous pouvez consulter, à titre d’illustration, la page dédiée à la Charte du respect de la vie privée de Legalstart, plateforme de services juridiques en ligne à destination des TPE/PME

Pour plus d’informations, vous pouvez consulter les ressources de la CNIL :

• Comprendre le RGPD - Les bases légales
• Prendre en compte les bases légales dans l’implémentation technique
• La licéité du traitement : l’essentiel sur les bases légales prévues par le RGPD
   

Les destinataires des données personnelles

Il s’agit des personnes qui ont connaissance des données personnelles collectées. Dans le cas d’un site internet professionnel, il s’agit le plus souvent de la société éditrice du site et de l’hébergeur du site.

Dans cette partie des mentions légales, il convient aussi d’indiquer s’il y a des transferts des données personnelles hors Union européenne. Tel est notamment le cas lorsque le site internet est hébergé par un hébergeur étranger qui a des serveurs hors Union européenne. Cela peut aussi être le cas si vous utilisez des outils proposés par des entreprises tierces à l’Union, comme par exemple un outil de mesure d'audience comme Google Analytics.

Les droits des utilisateurs sur leurs données personnelles

Conformément au RGPD, les mentions légales doivent informer les utilisateurs sur leurs droits (droit d’accès, de rectification, d’opposition, d’effacement…). Un utilisateur peut par exemple décider de retirer son consentement.

Il est également important d’indiquer une adresse mail ou une adresse postale que la personne peut utiliser pour exercer ses droits. Certains cas d’utilisations de données personnelles (Cnil.fr) exigent d’indiquer les coordonnées du Délégué à la protection des données (DPD) (Cnil.fr) que vous aurez dû désigner.

Dans la plupart des cas, les petites structures dont les traitements sont limités en volume, peuvent se contenter d’indiquer l’adresse d’une boite mail dédiée aux échanges relatifs aux données personnelles.