Mentions légales d'une boutique en ligne : la liste que presque tout le monde oublie

L'article 13 du RGPD demande d'informer la personne des « destinataires ou catégories de destinataires » de ses données. Le mot « catégories » laisse croire à une tolérance ; en pratique, il se lit « assez précis pour que la personne sache de qui il s'agit ». Une formule vague comme « nos partenaires techniques » ne dit rien : elle ne permet ni de comprendre où vont les données, ni d'exercer un droit d'opposition.

L'exercice est moins pénible qu'il n'y paraît. Il tient en une question posée à chaque étape d'une commande : qui voit cette donnée en dehors de moi ? La réponse donne la liste, et la liste tient en cinq lignes pour la plupart des boutiques.

Le premier est le transporteur, ou l'agrégateur d'expédition qui édite les étiquettes. Il reçoit le nom, l'adresse postale, le téléphone et souvent l'adresse e-mail de l'acheteur : c'est le destinataire le plus personnel de toute la chaîne, et le plus rarement mentionné. Il mérite sa phrase, précisément parce qu'un acheteur qui découvre un SMS d'un transporteur qu'il ne connaît pas se demande d'où vient le fuite.

Le deuxième est l'encaisseur. Il reçoit l'identité et les coordonnées de facturation, et c'est chez lui que la carte est saisie. La formule utile est double : le nommer, et préciser que les données de carte ne transitent pas par la boutique. La seconde partie rassure autant que la première informe.

Le troisième est le logiciel qui gère les commandes et les factures. Il conserve l'historique d'achat, les adresses et les documents comptables. C'est un sous-traitant au sens de l'article 28 du RGPD : cela suppose un contrat écrit avec l'éditeur, et une mention dans la politique de confidentialité.

Le commerçant est responsable du traitement : c'est lui qui décide pourquoi et comment les données de ses acheteurs sont utilisées. Ses prestataires — logiciel, transporteur, encaisseur, hébergeur — sont sous-traitants : ils agissent sur ses instructions.

Écrire qu'un logiciel « est responsable de vos données », ou qu'il « héberge votre site » quand il ne fait ni l'un ni l'autre, est plus grave qu'une omission. Une page légale est opposable : elle décrit une organisation, et si cette description est fausse, c'est elle qui sera lue en cas de litige — pas ce qui se passait vraiment.

Pour chaque destinataire : la société, son pays, ce qu'elle reçoit, et s'il y a un transfert hors de l'Union européenne. Quatre informations, une phrase chacune. Un transfert hors UE n'est pas interdit — il doit simplement être annoncé, avec son fondement (cadre de protection des données, clauses contractuelles types).

Et il faut relire cette liste au moins une fois par an. Un outil de mesure abandonné, un encaisseur changé, un transporteur ajouté : chaque mouvement dans les outils déplace une ligne dans la page légale. C'est le genre de tâche qu'aucun outil ne rappelle, et qui se règle en dix minutes quand on y pense.