Bandeaux cookies et RGPD : les bases légales, en clair

Le droit de la vie privée occupe une place étrange dans l'esprit du petit entrepreneur : vaguement menaçant, jamais lu. Vous savez que le RGPD existe. Vous savez que les bandeaux cookies sont partout. Vous soupçonnez votre site de devoir faire quelque chose qu'il ne fait pas, et vous avez décidé de ne pas trop regarder, parce que la dernière fois, l'explication était écrite par des juristes pour des juristes. Voici la version écrite pour quelqu'un qui a une entreprise à faire tourner. Avec la précaution d'usage : c'est de l'orientation, pas du conseil juridique.

L'idée de fond est réellement simple

Retirez les sigles et le droit de la vie privée dit une seule chose : si vous collectez des informations sur des personnes, vous leur devez l'honnêteté à ce sujet. Ce que vous collectez, pourquoi, qui d'autre y accède, combien de temps vous le gardez. Tout le reste — bandeaux, politiques, cases de consentement — n'est que la machinerie qui livre cette honnêteté. Un site de petite entreprise touche typiquement aux données personnelles à quelques endroits seulement : un formulaire de contact, une réservation, une inscription newsletter, et les statistiques. Voilà tout le champ de bataille. Vous n'êtes pas Google, et la loi ne vous demande pas de vous comporter comme Google.

Ce qu'il vous faut vraiment

• Une page de confidentialité en langage humain : ce que vous collectez via formulaires et outils, pourquoi, et comment demander la suppression de ses données. Une page honnête vaut mieux que dix pages empruntées.
• Un bandeau cookies seulement si vous déposez des cookies non essentiels — statistiques et pixels marketing étant les suspects habituels. Les cookies essentiels au fonctionnement n'exigent pas de consentement.
• Un vrai choix sur ce bandeau. « Accepter ou accepter » n'est pas un consentement. Refuser doit être aussi simple qu'accepter, et les statistiques doivent rester éteintes tant qu'on n'a pas dit oui.
• Des formulaires qui demandent le nécessaire et rien de plus. Chaque champ superflu est une donnée dont vous devenez responsable.
• Le cadenas — HTTPS. Le minimum vital, pour la confiance comme pour l'attente légale de protéger ce que vous collectez.

Les mythes qui gaspillent votre inquiétude

Mythe un : « le RGPD ne s'applique pas aux entreprises de ma taille. » Il s'applique à quiconque traite des données personnelles — mais proportionnellement ; les obligations d'un café sont celles d'un café, pas d'une banque. Mythe deux : « une politique de confidentialité copiée me couvre. » Une politique décrivant des outils que vous n'utilisez pas, en oubliant ceux que vous utilisez, documente votre non-conformité au lieu de la corriger. Mythe trois : « pas de bandeau, donc je suis hors la loi. » Si vous ne déposez pas de cookies non essentiels, aucun bandeau n'est requis — bien des sites bien construits n'en ont pas parce qu'ils ont été conçus pour avoir moins besoin de consentement, ce qui est la conformité la plus élégante qui soit.

La conformité par construction

La façon coûteuse de traiter la vie privée, c'est le rattrapage : visser des bandeaux et des politiques sur un site construit en mode « on collecte d'abord, on verra ensuite ». La façon économique, c'est de l'intégrer : collecter le minimum, ne rien charger de non essentiel avant consentement, tout servir en HTTPS, et écrire la page de confidentialité comme un vrai texte du site. C'est ainsi que construit notre pipeline — la couche vie privée fait partie de l'architecture, pas d'une extension ajoutée quand quelqu'un y pense. L'IA fait l'essentiel du travail. Paul vérifie tout avant livraison.

Une soirée avec la liste ci-dessus vous place devant la plupart de vos concurrents. Non parce que le régulateur en veut à la boulangerie — mais parce que « nous prenons vos données au sérieux, voici exactement comment » est un signal de confiance que vos clients ressentent, qu'ils lisent la page ou non.