RGPD et Site Web Artisan : les Obligations Légales à Connaître
Mentions légales, politique de confidentialité, cookies, formulaire de devis... Ce que dit vraiment la loi pour le site web d'un artisan du bâtiment, et les sanctions encourues.
Publié le · par Thibaud
Sommaire
- Le RGPD concerne-t-il vraiment un simple site vitrine d'artisan ?
- Les mentions légales obligatoires sur votre site
- La politique de confidentialité : ce qu'elle doit vraiment contenir
- Le formulaire de devis ou de contact : la bonne pratique
- Cookies et traceurs : ce qui déclenche (ou non) une obligation de consentement
- Ce que vous risquez réellement en cas de non-conformité
- Checklist de conformité pour un site vitrine d'artisan
- FAQ
Vous avez un site web, ou vous êtes en train d'en faire faire un, et une question vous trotte dans la tête : "est-ce que je suis en règle avec le RGPD ?" Bonne nouvelle : pour un site vitrine d'artisan, la mise en conformité n'a rien d'un parcours d'avocat spécialisé. Mauvaise nouvelle : beaucoup de sites d'artisans passent à côté d'obligations simples — mentions légales incomplètes, bandeau de cookies mal configuré, formulaire de devis qui collecte des données sans en informer personne. Ce guide fait le point sur ce que la loi impose réellement, sans exagération ni minimisation, et sur ce que vous risquez si vous ne le faites pas.
Le RGPD concerne-t-il vraiment un simple site vitrine d'artisan ?
Oui, et ce n'est pas une question de taille d'entreprise. Le Règlement Général sur la Protection des Données (règlement UE 2016/679), applicable depuis le 25 mai 2018, s'impose à toute structure — auto-entrepreneur inclus — dès qu'elle collecte des données personnelles. Or c'est précisément ce que fait un site d'artisan dès qu'il propose un formulaire de contact ou de demande de devis : nom, email, téléphone, adresse des travaux sont des données personnelles au sens du RGPD.
Il faut distinguer deux choses souvent confondues :
- Les mentions légales, imposées par la loi pour la confiance numérique (LCEN) du 21 juin 2004, modifiée par la loi SREN du 21 mai 2024 — elles concernent l'identification de l'éditeur du site.
- Les obligations RGPD à proprement parler, qui concernent la façon dont vous traitez les données de vos visiteurs (formulaires, cookies, durée de conservation).
Les deux sont obligatoires, indépendamment l'une de l'autre, dès la mise en ligne du site — que vous ayez 0 ou 10 000 visiteurs par mois.
Contrairement à une idée reçue, il n'y a plus besoin de déclarer son site à la CNIL depuis l'entrée en application du RGPD en 2018. La déclaration préalable a été remplacée par une obligation de conformité et de documentation à la charge de chaque responsable de traitement — vous, en tant qu'éditeur du site.
Les mentions légales obligatoires sur votre site
Toute personne qui édite un site professionnel accessible au public en France doit y faire figurer des mentions légales, en application de l'article 6 de la LCEN. Elles doivent être rédigées en français (loi Toubon du 4 août 1994) et accessibles depuis n'importe quelle page, généralement via un lien en pied de page.
Ce qui doit obligatoirement apparaître
| Information | Détail |
|---|---|
| Identité de l'éditeur | Nom et prénom, ou dénomination sociale si société |
| Statut | Mention "Entreprise Individuelle" (EI) pour un auto-entrepreneur ou une EI |
| Adresse | Adresse du siège de l'activité |
| Contact | Adresse email et numéro de téléphone |
| Numéro d'identification | SIRET, ou numéro RCS pour une société |
| Directeur de publication | Nom de la personne responsable du contenu du site |
| Hébergeur | Nom, raison sociale, adresse et téléphone de l'hébergeur du site |
Si vous exercez sous forme de société (SARL, SAS, EURL), ajoutez la forme juridique et le montant du capital social. Pour bien choisir votre statut avant d'aller plus loin, notre article sur auto-entrepreneur ou SARL, quel statut pour un artisan détaille les implications de chaque option — y compris sur ce type d'obligations administratives.
Sanction en cas d'absence de mentions légales : jusqu'à 1 an d'emprisonnement et 75 000 € d'amende pour une personne physique. Ce montant est porté à 375 000 € pour une société, en application du principe de quintuplement des amendes pour les personnes morales prévu par le Code pénal (article 131-38). En pratique, les poursuites pénales pour ce seul motif restent rares chez les petites structures, mais l'absence de mentions légales est aussi un motif fréquent de perte de confiance immédiate pour un visiteur — et un point systématiquement vérifié en cas de contrôle ou de litige.
La politique de confidentialité : ce qu'elle doit vraiment contenir
Dès que votre site collecte des données (formulaire de contact, de devis, ou même un simple abonnement à une newsletter), le RGPD vous impose d'informer clairement vos visiteurs sur ce que vous en faites. C'est le rôle de la politique de confidentialité, généralement accessible depuis le pied de page.
Une politique de confidentialité conforme doit préciser :
- Qui traite les données — votre identité en tant que responsable du traitement
- Pourquoi — la ou les finalités (répondre à une demande de devis, vous recontacter, etc.)
- Sur quelle base légale — le plus souvent le consentement ou l'intérêt légitime pour un simple formulaire de contact
- Combien de temps les données sont conservées
- Qui y a accès — vous-même, éventuellement un outil tiers (CRM, service d'emailing)
- Comment exercer ses droits — accès, rectification, effacement, opposition, portabilité, et le droit d'introduire une réclamation auprès de la CNIL
Vous n'avez pas besoin d'un document de dix pages rédigé par un cabinet d'avocats. Pour un site vitrine d'artisan qui se contente de collecter des demandes de devis, une page claire d'une dizaine de paragraphes suffit largement, à condition qu'elle couvre les points ci-dessus. Vous pouvez consulter notre propre politique de confidentialité comme exemple de structure.
Le formulaire de devis ou de contact : la bonne pratique
C'est souvent l'endroit où les sites d'artisans sont les moins rigoureux, alors que c'est justement là que des données personnelles sont collectées activement. Quelques règles simples à respecter :
Ne demandez que ce qui est nécessaire. C'est le principe de minimisation des données : si vous avez besoin d'un nom, d'un email, d'un téléphone et d'une adresse de chantier pour établir un devis, ne demandez pas la date de naissance ou la situation familiale du visiteur "au cas où".
Pas de case pré-cochée. Si votre formulaire propose de recevoir votre newsletter ou vos actualités, la case doit être décochée par défaut. Un consentement présumé n'est pas un consentement valide au sens du RGPD.
Informez au bon endroit. Un lien vers votre politique de confidentialité doit être visible à proximité du formulaire, pas seulement enfoui dans le pied de page. Une phrase simple suffit : "Les informations recueillies sont utilisées pour traiter votre demande de devis. En savoir plus sur vos droits →"
Limitez la durée de conservation. Pour un prospect qui ne donne pas suite à sa demande, la conservation de ses données au-delà de quelques années n'est plus justifiée. Trois ans après le dernier contact est une durée couramment retenue pour la prospection commerciale.
Ce même souci de rigueur documentaire s'applique à vos devis eux-mêmes, qui ont leurs propres mentions obligatoires : voir notre guide comment créer un devis professionnel.
Cookies et traceurs : ce qui déclenche (ou non) une obligation de consentement
C'est le point le plus mal compris chez les artisans qui n'ont pourtant "qu'un site vitrine sans boutique en ligne". Le consentement préalable n'est pas réservé aux sites e-commerce : dès qu'un outil tiers dépose un traceur sur l'ordinateur ou le smartphone du visiteur, la règle s'applique.
Ce qui nécessite un consentement préalable
- Google Analytics et la plupart des outils de mesure d'audience grand public — ils ne remplissent pas les critères d'exemption fixés par la CNIL
- Google Fonts chargées depuis les serveurs de Google (plutôt que hébergées localement)
- Google Maps intégrée en iframe pour afficher votre zone d'intervention
- Vidéos YouTube ou Vimeo intégrées directement
- Boutons de partage vers les réseaux sociaux (Facebook, Instagram)
Ce qui est exempté de consentement
- Les traceurs strictement nécessaires au fonctionnement du site (session technique, mémorisation du panier s'il y en a un)
- Certains outils de mesure d'audience configurés en mode conforme (données anonymisées, pas de croisement avec d'autres traitements, opt-out disponible) — Matomo en configuration "exemptée" en est un exemple courant
Le refus doit être aussi simple que l'acceptation. C'est une règle sur laquelle la CNIL a mené plusieurs campagnes de mise en demeure ces dernières années : un bandeau cookies avec un bouton "Tout accepter" bien visible et un simple lien "en savoir plus" pour refuser est non conforme. Les deux options doivent être présentées au même niveau visuel — par exemple, "Tout accepter" et "Tout refuser" comme deux boutons de taille et de mise en avant équivalentes.
En bonne pratique, la CNIL recommande — sans que ce soit une obligation légale stricte — de renouveler le recueil du consentement après une période d'environ 6 mois, pour tenir compte du fait que les usages et les habitudes des visiteurs évoluent.
Votre site web pro,
+ de clients et - de tracas
Mettre en place tout cela correctement — bandeau cookies conforme, mentions légales complètes, politique de confidentialité à jour, formulaire de devis conforme — demande du temps si vous partez de zéro. C'est un des aspects que nous prenons en charge chez HéBob dès la création de votre site, sans que vous ayez à vous plonger dans les textes juridiques.
Ce que vous risquez réellement en cas de non-conformité
Il ne faut ni ignorer le sujet, ni le dramatiser. Voici ce que montrent les derniers bilans publiés par la CNIL.
En 2025, la CNIL a prononcé 83 sanctions pour un total de 486,8 millions d'euros, un montant record porté essentiellement par deux amendes exceptionnelles contre de très grands groupes (325 M€ et 150 M€, toutes deux liées à des manquements sur les cookies). En dehors de ces cas extrêmes, la très grande majorité des sanctions passent par la procédure simplifiée, mise en place en 2022 pour traiter rapidement les manquements courants : elle est plafonnée à 20 000 € d'amende. Les cookies et traceurs restent, d'année en année, le premier motif de sanction devant la CNIL.
Au niveau du règlement européen lui-même, le plafond légal maximal prévu par l'article 83 du RGPD reste bien plus élevé : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond concerne en théorie toute structure, artisan compris, même si en pratique les contrôles et sanctions visant des TPE isolées pour un simple défaut de bandeau cookies restent proportionnés à la taille de la structure.
Concrètement, un artisan qui n'a pas de politique de confidentialité ou un bandeau cookies mal réglé ne risque pas de recevoir une amende à sept chiffres du jour au lendemain. Le vrai risque le plus courant reste la mise en demeure — un rappel à l'ordre de la CNIL avec un délai pour se mettre en conformité — avant toute sanction financière. Mais autant s'épargner cette démarche en étant en règle dès la mise en ligne du site.
Checklist de conformité pour un site vitrine d'artisan
| À vérifier | Fait ? |
|---|---|
| Mentions légales complètes (identité, SIRET, hébergeur) accessibles en pied de page | ☐ |
| Mention "EI" si vous êtes auto-entrepreneur ou entreprise individuelle | ☐ |
| Politique de confidentialité présente et à jour, en français | ☐ |
| Lien vers la politique de confidentialité visible près du formulaire de devis | ☐ |
| Formulaire de contact/devis limité aux données nécessaires | ☐ |
| Aucune case pré-cochée pour un consentement marketing | ☐ |
| Bandeau cookies avec un bouton "Refuser" aussi visible que "Accepter" | ☐ |
| Google Analytics, Google Fonts, Maps ou vidéos intégrées uniquement après consentement | ☐ |
| Durée de conservation des données de prospects définie et raisonnable | ☐ |
Pour aller plus loin sur ce que doit contenir votre site au-delà de ces aspects légaux, notre guide ce que doit contenir un site web pour artisan du bâtiment couvre les éléments qui font vraiment convertir vos visiteurs en clients. Et si vous êtes encore en train de choisir votre prestataire technique, pensez aussi à vérifier qui est l'hébergeur de votre futur site : voir notre article sur comment choisir son nom de domaine.
FAQ
Un auto-entrepreneur qui a un simple site vitrine doit-il vraiment se soucier du RGPD ?
Oui. Le RGPD s'applique dès qu'il y a collecte de données personnelles, quelle que soit la taille de la structure. Un auto-entrepreneur avec un site vitrine et un formulaire de devis est concerné exactement comme une grande entreprise, avec les mêmes obligations de base : informer les visiteurs, ne collecter que le nécessaire, et sécuriser les données recueillies. En revanche, l'ampleur des obligations reste proportionnée : pas besoin de délégué à la protection des données (DPO) ni de registre des traitements complexe pour un site vitrine classique.
Faut-il un bandeau cookies même si mon site n'a pas de boutique en ligne ?
Oui, dès lors que votre site charge des outils tiers qui déposent des traceurs — Google Analytics, Google Maps, Google Fonts non hébergées localement, vidéos YouTube intégrées, boutons de partage vers les réseaux sociaux. La vente en ligne n'a rien à voir avec cette obligation : c'est le dépôt de traceurs sur l'appareil du visiteur qui déclenche l'obligation de consentement, que le site vende quelque chose ou non.
Quelle est la différence entre mentions légales et politique de confidentialité ?
Les mentions légales identifient qui édite le site (nom, adresse, SIRET, hébergeur) : elles découlent de la loi pour la confiance dans l'économie numérique (LCEN) et existent indépendamment de toute collecte de données. La politique de confidentialité explique comment les données personnelles des visiteurs sont traitées (finalité, durée de conservation, droits) : elle découle du RGPD et n'est pertinente que si votre site collecte effectivement des données, par exemple via un formulaire de contact.
Dois-je déclarer mon site internet à la CNIL avant sa mise en ligne ?
Non. Cette obligation de déclaration préalable a disparu avec l'entrée en application du RGPD le 25 mai 2018. Vous devez en revanche être en mesure de démontrer votre conformité si la CNIL vous le demande — c'est le principe de responsabilité ("accountability") qui a remplacé la déclaration administrative préalable.
Combien de temps puis-je conserver les coordonnées d'un prospect qui n'a jamais donné suite à sa demande de devis ?
Il n'existe pas de durée unique imposée par la loi pour toutes les situations, mais le principe RGPD de limitation de conservation impose de ne pas garder une donnée plus longtemps que nécessaire au regard de la finalité poursuivie. Pour de la prospection commerciale, une durée de trois ans à compter du dernier contact avec la personne est une pratique couramment retenue et considérée comme raisonnable. Passé ce délai, les données doivent être supprimées ou anonymisées si aucune suite n'a été donnée.
Que risque un artisan qui n'a ni mentions légales ni politique de confidentialité sur son site ?
Sur le plan légal, l'absence de mentions légales est punie jusqu'à 75 000 € d'amende et un an d'emprisonnement pour une personne physique (375 000 € pour une société), et les manquements RGPD peuvent en théorie être sanctionnés par la CNIL, notamment via sa procédure simplifiée plafonnée à 20 000 €. En pratique, la CNIL cible en priorité les manquements les plus visibles (cookies non conformes, absence de réponse à une demande de droit d'accès) plutôt que les petits sites artisanaux sans historique de plainte. Le risque le plus immédiat reste néanmoins réel : perte de confiance des visiteurs et, en cas de contrôle, une mise en demeure à traiter dans l'urgence plutôt qu'une mise en conformité tranquille dès le départ.
Être en conformité RGPD quand on est artisan du bâtiment, ce n'est pas transformer son site en usine à gaz juridique. C'est cocher une liste précise de points simples : des mentions légales complètes, une politique de confidentialité claire, un formulaire de devis qui ne collecte que le nécessaire, et un bandeau cookies qui respecte le droit de vos visiteurs à refuser aussi facilement qu'à accepter. Ces éléments se mettent en place une bonne fois pour toutes, au moment de la création ou de la refonte de votre site. Chez HéBob, ces aspects légaux sont pris en charge dès la conception de votre site, pour que vous puissiez vous concentrer sur vos chantiers plutôt que sur les textes de loi. Découvrir l'offre HéBob →
Votre site web pro,
+ de clients et - de tracas
Sans engagement
Vous voulez un site 100% optimisé artisan du bâtiment ?
On s'occupe de tout : création, mise en ligne et optimisation pour que vos clients vous trouvent.
Découvrir HéBobContinuer à lire
Articles recommandés
Site Web Artisan : les 7 Signes qu'une Refonte s'Impose
Design daté, site lent, pas de HTTPS, infos obsolètes : les 7 signes qui montrent qu'une refonte de votre site web artisan s'impose.
Lire l'articleAppel d'Offres Artisan BTP : Comment y Répondre ?
Seuils 2026, plateformes, documents à fournir, mémoire technique… Le guide complet pour un artisan du bâtiment qui veut décrocher ses premiers marchés publics ou privés.
Lire l'articleComment Valoriser vos Chantiers pour Attirer plus de Clients
Photos avant/après, fiche Google, site web, descriptions optimisées… Voici comment transformer vos chantiers terminés en machine à décrocher de nouveaux clients.
Lire l'article