Mentions légales, confidentialité, cookies : le socle clair

Un site de cabinet n’a pas besoin d’un habillage juridique intimidant pour être crédible. En revanche, il doit afficher un socle d’informations claires, accessibles et cohérentes. En France, ce socle repose d’abord sur les mentions légales imposées aux éditeurs de sites, sur une information loyale sur les données personnelles lorsque le site collecte des informations, et sur des règles spécifiques pour les cookies et autres traceurs. Ces trois blocs se recoupent parfois, mais ils ne se confondent pas. Les mélanger dans une seule page fourre-tout est une source fréquente d’erreurs, surtout sur WordPress. ([legifrance.gouv.fr](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006421548?utm_source=openai))

Pour un cabinet, l’objectif n’est pas seulement d’éviter les oublis. C’est aussi d’inspirer confiance. Un visiteur qui cherche un praticien veut comprendre rapidement qui édite le site, comment le contacter, ce que devient un message envoyé via le formulaire, et si des outils de mesure d’audience ou des services tiers suivent sa navigation. La CNIL rappelle qu’un organisme qui collecte des données personnelles doit fournir une information claire sur l’utilisation des données et sur les droits des personnes. Cette exigence vaut autant pour un grand site que pour un site vitrine de petite structure. ([cnil.fr](https://www.cnil.fr/fr/mes-demarches/les-droits-pour-maitriser-vos-donnees-personnelles?utm_source=openai))

Cet article ne constitue pas un conseil juridique. Il propose un cadre simple, vérifié à partir de sources officielles françaises, pour remettre à niveau un site de cabinet avec des pages lisibles et des réglages réalistes.

Les trois pages à ne pas confondre

Premier repère utile : un site de cabinet a souvent intérêt à distinguer au moins trois ensembles.

Les mentions légales : elles identifient l’éditeur du site et l’hébergeur. En France, l’article 6 de la loi pour la confiance dans l’économie numérique encadre ces informations, et les fiches de l’administration rappellent l’obligation d’indiquer notamment l’identité de l’éditeur et les coordonnées de l’hébergeur. ([legifrance.gouv.fr](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006421548?utm_source=openai))
La politique de confidentialité : elle explique quels traitements de données personnelles sont réalisés, pourquoi, sur quelle base, avec quels destinataires, pendant combien de temps, et comment les personnes exercent leurs droits. La CNIL recommande d’ailleurs, pour éviter des formulaires trop chargés, un premier niveau d’information au point de collecte puis un renvoi vers une page dédiée de type « politique de confidentialité » ou « page vie privée ». ([cnil.fr](https://www.cnil.fr/fr/passer-laction/rgpd-les-premieres-etapes?utm_source=openai))
La politique cookies ou la section dédiée aux traceurs : elle décrit les cookies et autres traceurs utilisés, leur finalité, les choix possibles et, selon les cas, le mécanisme de consentement ou d’opposition. Les règles applicables dépendent du type de traceur, notamment s’il est strictement nécessaire ou non. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/comment-mettre-mon-site-web-en-conformite?utm_source=openai))

En pratique, ces contenus peuvent être reliés entre eux dans le pied de page. Mais les réunir dans une seule page intitulée vaguement « Mentions légales et RGPD » finit souvent par produire un texte incomplet. Le problème n’est pas le titre, c’est la précision de l’information. Une page unique peut fonctionner si elle traite réellement les trois sujets sans omissions. Pour un cabinet, trois pages courtes et bien nommées sont souvent plus lisibles.

Ce que doivent contenir des mentions légales simples et crédibles

Les mentions légales servent d’abord à dire qui parle. Pour un visiteur, c’est un signal de sérieux immédiat. Pour l’éditeur, c’est une obligation de base. Les informations exactes à afficher dépendent du statut de l’éditeur, mais les sources officielles rappellent qu’il faut au minimum identifier l’éditeur du service et l’hébergeur. ([legifrance.gouv.fr](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006421548?utm_source=openai))

Sur un site de cabinet, cela conduit généralement à faire apparaître clairement :

le nom du cabinet ou du professionnel qui édite le site ;
une adresse de contact et un moyen de joindre l’éditeur ;
les informations d’identification de la structure lorsqu’elles existent et sont applicables au statut concerné ;
le nom ou la dénomination de l’hébergeur et ses coordonnées ;
éventuellement, si cela correspond à la réalité du cabinet, des informations professionnelles utiles à la compréhension du visiteur, en veillant à ne pas mélanger communication commerciale, titres réglementés et obligations propres à une profession. ([legifrance.gouv.fr](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006421548?utm_source=openai))

Le point essentiel, surtout pour un petit site WordPress, est d’éviter les modèles copiés-collés trouvés sur des générateurs. Ils comportent souvent des champs inadaptés, des références obsolètes ou des mentions non vérifiées. Une page crédible est souvent plus courte qu’on ne l’imagine : elle donne les bonnes informations, à jour, sans formule décorative.

La politique de confidentialité : la page qui explique le vrai fonctionnement du site

Dès qu’un site collecte des données personnelles, par exemple via un formulaire de contact, une prise de rendez-vous, une inscription à une newsletter ou même certains journaux techniques, l’éditeur doit informer les personnes de manière claire. La CNIL rappelle que cette information doit porter notamment sur l’identité du responsable du traitement, les objectifs poursuivis, la base juridique, le caractère obligatoire ou facultatif de certaines données selon le cas, les destinataires, la durée de conservation et les droits des personnes. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/rgpd-les-premieres-etapes?utm_source=openai))

Pour un site de cabinet, une politique de confidentialité utile répond à des questions concrètes :

Quelles données sont collectées ? Nom, prénom, email, téléphone, contenu du message, pièces jointes éventuelles, données techniques liées à la sécurité ou au fonctionnement. La CNIL rappelle qu’une adresse email, un numéro de téléphone ou une adresse IP sont des données personnelles. ([cnil.fr](https://www.cnil.fr/fr/identifier-les-donnees-personnelles?utm_source=openai))
Pourquoi sont-elles collectées ? Répondre à une demande, gérer une prise de contact, traiter une demande de rendez-vous, assurer la sécurité du site, produire des statistiques de fréquentation si un outil d’audience est utilisé. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/rgpd-les-premieres-etapes?utm_source=openai))
Sur quelle base ? Selon les cas, le traitement peut reposer sur le consentement, l’exécution de mesures précontractuelles, une obligation légale ou l’intérêt légitime. Les fiches officielles rappellent ces bases légales du RGPD. ([entreprendre.service-public.fr](https://entreprendre.service-public.fr/vosdroits/F24270?3=&utm_source=openai))
Qui reçoit les données ? Le cabinet lui-même, son prestataire d’hébergement, éventuellement l’outil de formulaire, l’outil de prise de rendez-vous ou l’infogérant, selon l’organisation réelle. La CNIL distingue clairement le responsable du traitement et les sous-traitants. ([cnil.fr](https://www.cnil.fr/fr/rgpd-comment-bien-identifier-son-role?utm_source=openai))
Combien de temps sont-elles conservées ? La CNIL rappelle qu’aucune donnée personnelle ne peut être conservée indéfiniment et qu’une durée doit être définie selon la finalité. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees?utm_source=openai))
Quels sont les droits des personnes ? Accès, rectification, effacement, limitation, opposition et, selon les cas, portabilité ou retrait du consentement. La possibilité d’introduire une réclamation auprès de la CNIL doit aussi être portée à la connaissance des personnes. ([cnil.fr](https://cnil.fr/fr/passer-laction/les-droits-des-personnes-sur-leurs-donnees?utm_source=openai))

La bonne pratique, pour un cabinet, consiste à rester concret. Une politique de confidentialité n’a pas besoin de recopier tout le RGPD. Elle doit décrire le fonctionnement réel du site et du cabinet, sans promesse excessive. Si le site ne propose qu’un formulaire de contact, inutile d’écrire une page qui parle de prospection multicanale, de profilage ou de segmentation marketing si rien de tout cela n’existe.

Formulaires : l’endroit où l’information doit être visible tout de suite

Beaucoup de sites affichent une politique de confidentialité complète, mais oublient l’essentiel : l’information au moment de la collecte. Or la CNIL explique que chaque fois que des données personnelles sont collectées, le support utilisé doit comporter des mentions d’information. Elle propose même des exemples de formulaires et de mentions en plusieurs niveaux. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/rgpd-les-premieres-etapes?utm_source=openai))

Concrètement, sous un formulaire de contact WordPress, le visiteur doit pouvoir comprendre, avant l’envoi :

qui reçoit sa demande ;
pourquoi ces données sont demandées ;
si certains champs sont nécessaires au traitement de la demande ;
où trouver le détail complet sur la confidentialité ;
comment exercer ses droits. ([cnil.fr](https://www.cnil.fr/fr/exemples-de-formulaire-de-collecte-de-donnees-caractere-personnel?utm_source=openai))

La CNIL admet une information en plusieurs niveaux : un texte bref au niveau du formulaire, puis un renvoi vers une page dédiée plus détaillée. C’est particulièrement adapté aux sites de cabinet, où l’on veut rester lisible sur mobile et ne pas transformer un simple formulaire en pavé juridique. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/rgpd-les-premieres-etapes?utm_source=openai))

Une erreur fréquente consiste à ajouter une case « J’accepte la politique de confidentialité » partout, comme si elle réglait tout. Ce n’est pas toujours pertinent. Le fait de fournir une information claire est une exigence distincte. Le consentement, lui, n’est nécessaire que pour certains traitements ou certaines réutilisations, par exemple selon la base légale choisie. Les sources de l’administration et de la CNIL rappellent que la base juridique doit être identifiée traitement par traitement. ([entreprendre.service-public.fr](https://entreprendre.service-public.fr/vosdroits/F24270?3=&utm_source=openai))

Mesure d’audience : tous les outils ne déclenchent pas le même régime cookies

C’est l’un des sujets les plus mal compris sur les sites WordPress. Installer un outil d’analytics ne signifie pas automatiquement la même chose selon sa configuration. La CNIL distingue certains traceurs de mesure d’audience qui peuvent être exemptés de consentement, à condition de respecter des critères précis. Parmi ces critères, la finalité doit être strictement limitée à la mesure de l’audience du site pour le compte exclusif de l’éditeur, les données doivent servir à produire des statistiques anonymes, il ne doit pas y avoir de recoupement avec d’autres traitements ni de suivi global de la navigation sur différents sites. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience?utm_source=openai))

La CNIL recommande aussi que les utilisateurs soient informés de la mise en œuvre de ces traceurs, par exemple dans la politique de confidentialité. Autrement dit, exempté de consentement ne veut pas dire dispensé d’information. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience?utm_source=openai))

Pour un cabinet, la conséquence pratique est simple :

si l’outil de mesure d’audience est configuré dans le cadre de l’exemption, le site peut ne pas demander de consentement pour ce seul usage, tout en informant clairement l’utilisateur ;
si l’outil dépose des traceurs hors exemption, notamment avec des usages plus larges ou des transmissions à des tiers, un recueil de consentement devient nécessaire avant dépôt. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience?utm_source=openai))

Sur WordPress, le piège classique est de supposer qu’un plugin est « conforme » par nature. La CNIL invite au contraire les éditeurs à interroger les prestataires pour savoir si leurs solutions peuvent être configurées de manière à remplir les critères de l’exemption. Ce n’est donc pas le nom du plugin qui compte, mais sa configuration réelle et les flux de données qu’il entraîne. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience?utm_source=openai))

Bandeau cookies : quand il est nécessaire, ce qu’il doit vraiment faire

Le bandeau cookies ne sert pas à « faire sérieux ». Il sert à recueillir un choix valable lorsqu’un site utilise des traceurs soumis à consentement. La CNIL rappelle qu’aucun cookie de ce type ne doit être déposé avant l’expression du choix, et que refuser doit être aussi simple qu’accepter. Elle a d’ailleurs multiplié les mises en demeure contre des bandeaux qui affichaient un refus trompeur, non effectif, ou moins accessible que l’acceptation. ([cnil.fr](https://www.cnil.fr/fr/refuser-cookies-doit-etre-aussi-simple-accepter-cnil-poursuit-action-adresse-mises-en-demeure?utm_source=openai))

Pour un site de cabinet, cela permet de distinguer trois cas concrets :

Uniquement des cookies strictement nécessaires : pas de consentement préalable pour ces traceurs, même si une information peut être fournie. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/comment-mettre-mon-site-web-en-conformite?utm_source=openai))
Mesure d’audience entrant dans l’exemption CNIL : pas de consentement préalable pour cette finalité, mais information à prévoir, et selon la configuration retenue, possibilité d’opposition ou d’information renforcée. ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience?utm_source=openai))
Traceurs hors exemption : consentement préalable obligatoire, refus aussi simple qu’acceptation, et absence de dépôt avant choix. ([cnil.fr](https://www.cnil.fr/fr/refuser-cookies-doit-etre-aussi-simple-accepter-cnil-poursuit-action-adresse-mises-en-demeure?utm_source=openai))

La confusion la plus fréquente est de croire qu’un simple lien « En savoir plus » suffit. Non : si des traceurs soumis à consentement sont présents, il faut un mécanisme de choix effectif. À l’inverse, certains sites affichent un énorme bandeau alors qu’ils n’utilisent que des cookies nécessaires ou un dispositif d’audience correctement exempté. Cela peut compliquer inutilement l’expérience utilisateur. Le bon réflexe est donc d’auditer d’abord les traceurs réellement déposés.

Les erreurs fréquentes sur WordPress

WordPress facilite la publication, mais aussi l’accumulation de briques techniques qui traitent des données sans que l’éditeur s’en rende compte. Pour un cabinet, les erreurs récurrentes sont souvent moins juridiques que pratiques.

Page générée puis jamais relue : la politique de confidentialité native de WordPress donne une base, pas un texte suffisant par défaut. Il faut l’adapter aux extensions et services réellement utilisés.
Formulaire sans mention d’information : Contact Form, Gravity Forms, Fluent Forms ou d’autres plugins envoient des données, parfois vers plusieurs services, sans que le site l’explique clairement. Les obligations d’information demeurent. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/rgpd-les-premieres-etapes?utm_source=openai))
Scripts tiers chargés sans inventaire : cartes, vidéos embarquées, polices externes, captchas, outils de réservation, widgets de prise de rendez-vous ou de chat peuvent déposer des traceurs ou transmettre des données. Un pied de page propre n’efface pas un chargement technique mal maîtrisé.
Bandeau cookies cosmétique : un plugin de consentement mal configuré laisse parfois partir les scripts avant le choix, ou rend le refus plus compliqué que l’acceptation, ce que la CNIL sanctionne. ([cnil.fr](https://www.cnil.fr/fr/refuser-cookies-doit-etre-aussi-simple-accepter-cnil-poursuit-action-adresse-mises-en-demeure?utm_source=openai))
Durées de conservation absentes : les messages du formulaire restent indéfiniment dans l’admin WordPress, la boîte mail du cabinet et parfois chez le prestataire. La CNIL rappelle pourtant qu’une durée doit être déterminée et que les données ne peuvent pas être conservées sans limite. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees?utm_source=openai))
Sous-traitants invisibles : hébergeur, maintenance, sauvegarde, email transactionnel, prise de rendez-vous, anti-spam. La CNIL rappelle qu’il faut bien identifier les rôles de responsable du traitement et de sous-traitant. ([cnil.fr](https://www.cnil.fr/fr/rgpd-comment-bien-identifier-son-role?utm_source=openai))
Maintenance et sécurité négligées : la CNIL recommande d’intégrer des mesures de sécurité élémentaires, notamment les mises à jour critiques sans délai et une hygiène de sécurité adaptée pour les sites, applications et serveurs. ([cnil.fr](https://www.cnil.fr/fr/securiser-vos-sites-web-vos-applications-et-vos-serveurs?utm_source=openai))

Cette dernière erreur est souvent sous-estimée. Un site qui affiche une belle politique de confidentialité mais laisse traîner des extensions obsolètes ne renvoie pas un signal de confiance durable. La conformité affichée et la sécurité réelle doivent avancer ensemble.

Ce qui rassure vraiment un visiteur

Sur un site de cabinet, la confiance ne vient pas d’un excès de texte. Elle vient de la cohérence entre ce que le site promet et ce qu’il fait. Quelques repères simples produisent généralement plus d’effet qu’une page juridique interminable :

des liens de pied de page clairement nommés : « Mentions légales », « Politique de confidentialité », « Cookies » ;
une page contact qui indique qui répond et dans quel cadre ;
un formulaire court avec une mention d’information compréhensible ;
une politique de confidentialité qui parle du site réel, pas d’un modèle générique ;
un bandeau cookies absent quand il n’est pas nécessaire, ou proprement configuré quand il l’est ;
des coordonnées d’hébergement et d’édition à jour. ([legifrance.gouv.fr](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006421548?utm_source=openai))

Le visiteur ne vérifie pas toujours chaque ligne. Mais il perçoit très vite la différence entre un site entretenu et un site rempli d’éléments standard sans lien avec son fonctionnement.

Une trame simple de vérification pour remettre son site à niveau

Pour un cabinet qui veut faire le ménage sans se perdre, voici une trame de contrôle pragmatique.

Étape 1 : lister les traitements visibles. Formulaire de contact, prise de rendez-vous, newsletter, commentaires, espace client, analytics, cartes, vidéos, captcha, anti-spam, sauvegardes. Tout ce qui collecte, transmet ou stocke des données doit être identifié. La CNIL recommande de recenser les traitements dans une logique de conformité. ([cnil.fr](https://cnil.fr/fr/le-registre-rgpd-de-la-cnil?utm_source=openai))
Étape 2 : relire les formulaires. Chaque formulaire doit comporter un premier niveau d’information compréhensible et un renvoi vers la politique de confidentialité. ([cnil.fr](https://www.cnil.fr/fr/exemples-de-formulaire-de-collecte-de-donnees-caractere-personnel?utm_source=openai))
Étape 3 : vérifier les durées de conservation. Combien de temps garde-t-on un message de contact, une demande de rappel, une pièce jointe ? Si la réponse est « on ne sait pas », il manque un réglage ou une règle interne. ([cnil.fr](https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees?utm_source=openai))
Étape 4 : cartographier les prestataires. Hébergeur, maintenance, outil de formulaire, anti-spam, emailing, agenda, analytics. Distinguer qui agit pour le cabinet et dans quel rôle aide à rédiger une politique juste. ([cnil.fr](https://www.cnil.fr/fr/rgpd-comment-bien-identifier-son-role?utm_source=openai))
Étape 5 : auditer les traceurs. Quels cookies sont réellement déposés à l’arrivée sur le site ? Lesquels sont nécessaires, lesquels relèvent éventuellement de la mesure d’audience exemptée, lesquels nécessitent un consentement ? ([cnil.fr](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience?utm_source=openai))
Étape 6 : tester le bandeau. Si consentement il y a, le refus est-il aussi simple que l’acceptation ? Les scripts attendent-ils bien le choix de l’utilisateur ? ([cnil.fr](https://www.cnil.fr/fr/refuser-cookies-doit-etre-aussi-simple-accepter-cnil-poursuit-action-adresse-mises-en-demeure?utm_source=openai))
Étape 7 : mettre à jour les pages publiques. Mentions légales, confidentialité, cookies, puis liens visibles dans le pied de page et près des formulaires.
Étape 8 : revoir la sécurité WordPress. Mises à jour, comptes administrateurs, mots de passe, accès aux sauvegardes, journaux, extensions inutilisées. La CNIL insiste sur l’application des règles élémentaires de sécurité et sur l’installation rapide des mises à jour critiques. ([cnil.fr](https://www.cnil.fr/fr/securiser-vos-sites-web-vos-applications-et-vos-serveurs?utm_source=openai))

Au fond, le minimum clair pour un site de cabinet tient en une idée simple : dire précisément ce qui est fait, au bon endroit, avec des mots compréhensibles. Les mentions légales identifient. La politique de confidentialité explique. La gestion des cookies, lorsqu’elle est nécessaire, permet un vrai choix. C’est peu spectaculaire, mais c’est exactement ce qui rend un site plus fiable, plus lisible et plus digne de confiance. ([legifrance.gouv.fr](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006421548?utm_source=openai))