Une agence web de Strasbourg maintient seize sites : douze pour des clients français, quatre pour des clients allemands. Chaque site a été livré par un chef de projet différent, à une date différente, avec un modèle de pages légales différent. Un client allemand vient de transmettre un courrier d'un cabinet d'avocats qui relève une lacune dans son Impressum. La question posée en réunion est simple : « Nos autres sites ont-ils le même problème, et pourquoi le modèle français n'a-t-il rien attrapé ? » Cet article répond en trois temps : ce qui est identique des deux côtés du Rhin, ce qui diffère, et comment tenir une seule revue pour les deux pays.
Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les textes cités sont ceux en vigueur à la date de rédaction ; pour une situation particulière, consultez un professionnel du droit.
Le RGPD et la DSGVO sont le même texte. « DSGVO » (Datenschutz-Grundverordnung) est simplement le nom allemand du règlement (UE) 2016/679 du 27 avril 2016, applicable depuis le 25 mai 2018 dans tous les États membres. Il n'a pas été transposé : il s'applique tel quel. Les articles qui pèsent le plus sur un site vitrine ou une boutique en ligne sont donc les mêmes à Lyon et à Munich :
La règle sur les cookies est elle aussi commune dans son principe. Elle vient de la directive 2002/58/CE, dite « ePrivacy », que chaque État a transposée dans sa propre loi : en France à l'article 82 de la loi Informatique et Libertés, en Allemagne au § 25 TDDDG. Les deux textes disent la même chose : pas de dépôt ni de lecture d'informations sur le terminal de l'utilisateur sans son consentement, sauf pour transmettre une communication ou fournir un service qu'il a expressément demandé.
Le gain pour l'agence : la politique de confidentialité, le registre, les contrats de sous-traitance et la logique du bandeau cookies peuvent partager une seule trame. Seuls les détails nationaux changent.
Les mentions légales. La liste des informations d'identification de l'éditeur (dénomination, siège, téléphone, numéro d'immatriculation, capital social, directeur de la publication, hébergeur) figure aujourd'hui à l'article 1-1 de la loi n° 2004-575 pour la confiance dans l'économie numérique (LCEN). Cet article a été créé par la loi n° 2024-449 du 21 mai 2024 ; jusque-là, la même liste se trouvait au III de l'article 6, et c'est cette référence que la plupart des modèles de pages citent encore. Le détail est dans notre article sur les mentions légales.
Les cookies. L'article 82 de la loi Informatique et Libertés pose le principe du consentement préalable. La CNIL l'a précisé dans ses lignes directrices et sa recommandation du 17 septembre 2020 : la simple poursuite de la navigation n'est pas un consentement, refuser doit être aussi simple qu'accepter, et certains outils de mesure d'audience peuvent être exemptés de consentement sous conditions. Le point est détaillé dans notre article sur le bouton « Tout refuser ».
La prospection. Pour les particuliers, la CNIL rappelle que l'article L.34-5 du code des postes et des communications électroniques demande le consentement avant tout envoi commercial.
L'autorité. Une seule : la CNIL, pour tout le territoire.
L'Impressum. L'équivalent des mentions légales est le § 5 du Digitale-Dienste-Gesetz (DDG), loi du 6 mai 2024 entrée en vigueur le 14 mai 2024. Les modèles plus anciens citent encore « § 5 TMG » : la référence est à mettre à jour. Le texte demande que les informations soient « leicht erkennbar, unmittelbar erreichbar und ständig verfügbar » (facilement reconnaissables, directement accessibles et disponibles en permanence). La liste comprend le nom et l'adresse, la forme juridique et les représentants, un moyen de contact électronique rapide, le registre et le numéro d'inscription, le numéro de TVA le cas échéant, et l'autorité de tutelle pour les activités soumises à autorisation. La loi ne fixe pas de langue ; en pratique, l'Impressum d'un site destiné au public allemand est rédigé en allemand.
Les cookies. Le § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, loi du 23 juin 2021 qui transpose la directive 2002/58/CE) exige un consentement fondé sur « des informations claires et complètes ». Ses seules exceptions sont la transmission d'une communication et ce qui est « unbedingt erforderlich » (strictement nécessaire) pour un service expressément demandé par l'utilisateur. Le texte ne prévoit pas d'exemption propre à la mesure d'audience. À noter : sur gesetze-im-internet.de, le texte de la TDDDG est publié sous le chemin « ttdsg » — trace de l'ancien nom TTDSG que beaucoup de bandeaux affichent encore.
Le droit national. Le Bundesdatenschutzgesetz (BDSG) complète le règlement. Son § 38 demande la désignation d'un délégué à la protection des données dès qu'une entreprise occupe en règle générale au moins 20 personnes de façon permanente au traitement automatisé de données personnelles, un seuil que le règlement lui-même ne contient pas et que l'article 37.4 du RGPD autorise les États à ajouter.
L'autorité. Il n'y en a pas une, mais seize. L'article 51 du RGPD permet à chaque État de désigner « une ou plusieurs » autorités, et l'Allemagne a retenu une structure fédérale : le § 40 BDSG confie le contrôle des entreprises aux autorités des Länder. Le BfDI publie la liste des seize Landesbehörden. Pour un client, l'autorité compétente est celle du Land où il est établi, et c'est celle-là qui est nommée dans sa politique de confidentialité.
| Élément | Site français | Site allemand |
|---|---|---|
| Page d'identification de l'éditeur | Mentions légales, LCEN, article 1-1 | Impressum, § 5 DDG |
| Politique de confidentialité | RGPD, article 13 ; cite la CNIL | RGPD, article 13 ; cite la Landesbehörde du Land |
| Bandeau cookies | Article 82 loi Informatique et Libertés ; refuser aussi simple qu'accepter (CNIL) | § 25 TDDDG ; consentement sur « informations claires et complètes » |
| Mesure d'audience | Exemption possible sous conditions (CNIL, 17 septembre 2020) | Pas d'exemption spécifique dans le § 25 TDDDG ; consentement par défaut |
| Formulaire de contact | RGPD, articles 6, 13 et 32 | RGPD, articles 6, 13 et 32 : identique |
| Newsletter | Consentement préalable des particuliers, article L.34-5 CPCE (CNIL) | Consentement exprès préalable, § 7 UWG ; double opt-in usuel pour en apporter la preuve (RGPD, article 7.1) |
| Sous-traitants (hébergeur, emailing) | RGPD, article 28 | RGPD, article 28 : identique |
| Délégué à la protection des données | RGPD, article 37 seulement | RGPD, article 37 + seuil de 20 personnes du § 38 BDSG |
| Autorité de contrôle | CNIL | Landesbehörde du Land du client (liste BfDI) |
| Langue des pages légales | Français en pratique | Allemand en pratique |
Revenons à l'agence de Strasbourg. Le problème n'était pas le droit allemand : c'était seize modèles différents. Voici la méthode qui tient dans un tableur.
Le gain : le jour où un client allemand reçoit un courrier, la réponse à « nos autres sites ont-ils le même problème ? » tient en une ligne du tableur, pas en une semaine de relecture.
La vérification gratuite Sitetals examine votre page d'accueil et signale, entre autres, l'absence d'une page de mentions légales ou de politique de confidentialité accessible, ainsi que les services tiers chargés par votre site. C'est un point de départ pour la relecture décrite ci-dessus, pas un substitut à celle-ci.
À lire également :
Sources : Règlement (UE) 2016/679, articles 5, 6, 7, 13, 21, 28, 30, 32, 37, 51 et 99 · Loi n° 2004-575 du 21 juin 2004 (LCEN), article 1-1 · Loi n° 78-17 du 6 janvier 1978, article 82 · CNIL, lignes directrices et recommandation « cookies et autres traceurs » du 17 septembre 2020 · CNIL, « Cookies et traceurs : que dit la loi ? » · CNIL, « La prospection commerciale par courrier électronique » · Digitale-Dienste-Gesetz, § 5 · Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, § 25 · Bundesdatenschutzgesetz, §§ 38 et 40 · Gesetz gegen den unlauteren Wettbewerb, §§ 7, 8 et 13 · BfDI, autorités des Länder · Méthodologie Sitetals.
Rédaction Sitetals