Audit léger mentions légales et RGPD d'un site

---
name: verification-mentions-legales-site
description: "Audit léger des mentions légales, politique de confidentialité, bandeau cookies et conformité RGPD basique d'un site web client. Renvoie un tableau Markdown 4 colonnes (item, présent, conforme, action) avec les 12 mentions obligatoires LCEN + RGPD + cookies. À utiliser quand un avocat, juriste d'entreprise ou DPO doit auditer rapidement le site web d'un client PME ou TPE avant un rendez-vous, sans engager une mission complète d'audit RGPD."
metadata:
  iaskills_title: "Audit léger mentions légales et RGPD d'un site"
  metier_slug: avocat
  metiers:
    - Avocats
  secteur: "Juridique"
  tier: free
  compatible:
    - claude-code
    - cowork
    - cursor
    - codex
  version: "1.0.0"
  author: "iaskills"
  editorial:
    pitch: "Audit rapide des mentions légales, politique de confidentialité, cookies et conformité RGPD d'un site web client. Tableau prêt à coller dans un mail, en 10 minutes."
    long_description: "Lit le contenu d'un site web client (page mentions légales, politique de confidentialité, bandeau cookies) et vérifie les 12 obligations principales : LCEN article 6-III pour les mentions de l'éditeur, RGPD pour la politique de confidentialité (responsable de traitement, finalités, durées, droits), cookies tiers et consentement (CNIL recommandation 2020), accessibilité TVA et hébergeur. Tableau de sortie standardisé pour rapport client. Évite l'engagement d'une mission RGPD complète quand un audit léger suffit pour un PME ou une TPE."
    bullets:
      - "12 obligations légales scrutées en une passe"
      - "Tableau 4 colonnes prêt pour rapport client"
      - "LCEN, RGPD, recommandation CNIL cookies 2020"
      - "Distingue conforme / non conforme / à clarifier"
      - "Cadrage déontologique automatique"
    exemple_avant: "Un client PME e-commerce vous demande si son site est conforme RGPD. Vous ouvrez les mentions légales, la politique de confidentialité, le bandeau cookies, vous croisez avec la LCEN et la recommandation CNIL. 1h de relecture, prise de notes éclatée, livrable à formater."
    exemple_apres: "Audit en 12 min, 4 manques détectés (numéro RCS absent des mentions, durée conservation données non précisée dans politique conf, bandeau cookies sans bouton refuser explicite, transferts US sans CCT mentionnées), tableau formaté prêt à coller, recommandation chiffrée pour mission de remédiation."
    recommended_metiers:
      - dirigeant-pme
      - marketeur
    secteurs:
      - juridique-notariat
      - tech-dsi
      - marketing-commerce
      - communication-rp
      - startup-vc
      - conseil-audit
    metiers_individuels:
      - avocat
      - juriste-d-entreprise
      - paralegal
      - compliance-officer
      - notaire
      - consultant-it
      - rssi-cybersecurite
      - cmo
      - founder-ceo
---

# Audit léger mentions légales et RGPD d'un site

## Quand utiliser ce skill

Déclencher quand un avocat, juriste d'entreprise, DPO ou compliance officer doit auditer rapidement un site web client (PME, TPE, indépendant) sur la conformité LCEN, RGPD et cookies, sans engager une mission complète d'audit (qui prendrait 5 à 15 jours-homme).

**À utiliser pour** :
- Pré-audit avant rendez-vous client (« montre-moi vite si son site est OK »)
- Site vitrine PME / TPE
- Site e-commerce TPE (volet conformité légale, hors aspects sectoriels)
- Site de cabinet libéral (avocat, médecin, expert-comptable)
- Audit rapide après mise en demeure CNIL légère
- Recommandation pour décider si mission de remédiation complète justifiée

**Ne pas utiliser pour** :
- Audit RGPD complet d'une PME / ETI (skill `audit-rgpd-saas-b2b` plus adapté, mission dédiée)
- Audit registre des traitements (mission interne, hors site web)
- Conformité sectorielle (santé HAS, finance ACPR, marché art) qui requiert des angles spécifiques
- Action contentieuse contre un site (cadre litige, hors audit)
- Évaluation impact (PIA / DPIA), qui est une mission distincte

## Ce que tu dois faire

### Étape 1, collecter le contexte

Demander à l'utilisateur :

1. **URL du site** ou contenu collé (page mentions légales, page politique de confidentialité, screenshot bandeau cookies)
2. **Forme juridique du client** : SAS, SARL, EURL, EI, association, indépendant
3. **Activité** : e-commerce, vitrine, prestation services, cabinet libéral, plateforme
4. **Présence d'un formulaire** : contact, newsletter, espace client (chacun a des obligations différentes)
5. **Outils tiers détectés** : Google Analytics, Meta Pixel, HubSpot, Hotjar, autres trackers
6. **Hébergeur** : France / Union européenne, États-Unis, autre (impacte mention LCEN et transferts RGPD)

### Étape 2, scruter les 12 obligations

Parcourir le site et vérifier chaque obligation. Pour chaque item, statut : **présent**, **absent**, **partiel**, **à clarifier**.

#### Bloc A, mentions légales LCEN (article 6-III)

**1. Identité de l'éditeur** : nom (personne physique ou raison sociale), adresse postale, téléphone ou email professionnel.

**À scruter** : nom complet visible, pas seulement un pseudo ou prénom.

**Référence** : article 6-III-1 LCEN.

**2. Forme juridique et capital social** (si personne morale) : SAS au capital de X €, SARL au capital de X €.

**À scruter** : forme juridique précise et montant du capital social mentionnés.

**3. Numéro RCS et ville d'immatriculation** : RCS Paris 123 456 789 ou équivalent.

**À scruter** : numéro RCS complet et ville d'immatriculation.

**4. Numéro de TVA intracommunautaire** (si entreprise assujettie).

**À scruter** : format FR XX XXX XXX XXX visible.

**5. Directeur de la publication** : nom de la personne physique responsable de la publication du contenu.

**À scruter** : nom et qualité.

**6. Hébergeur** : nom, adresse, téléphone de l'hébergeur (OVH, Scaleway, AWS, etc.).

**À scruter** : mentions complètes hébergeur, indication si UE ou hors UE.

**7. Profession réglementée** (si applicable) : barreau d'inscription pour avocat, ordre pour médecin, conseil régional pour expert-comptable.

**À scruter** : numéro d'inscription à l'ordre, ville du barreau / ordre.

#### Bloc B, politique de confidentialité (RGPD article 13)

**8. Responsable de traitement** : qui traite les données (nom + coordonnées + DPO si désigné).

**À scruter** : raison sociale, adresse, contact DPO si désigné (article 37 RGPD).

**Risque élevé si** : pas de coordonnées DPO alors que désignation obligatoire (autorité publique, traitement à grande échelle, données sensibles).

**9. Finalités et bases légales** des traitements : pour chaque finalité (newsletter, gestion compte, prospection, statistiques), citer la base légale (article 6 RGPD : consentement, contrat, obligation légale, intérêt légitime).

**À scruter** : finalités précises (pas « gestion de la relation client » seul), bases légales explicites.

**Référence** : articles 5 et 6 RGPD.

**10. Durées de conservation** : précisées par finalité (compte client : 3 ans après dernier achat ; prospect : 3 ans après dernier contact ; comptable : 10 ans).

**À scruter** : durées chiffrées, pas « durée nécessaire » seul.

**Référence** : article 5.1.e RGPD.

**11. Droits des personnes** : accès, rectification, effacement, opposition, portabilité, retrait du consentement, réclamation CNIL.

**À scruter** : tous les droits listés, modalités d'exercice (email contact, courrier postal), mention CNIL (réclamation).

**Référence** : articles 15 à 22 RGPD.

**12. Transferts hors UE** (si concernés) : pays de destination, mécanisme (CCT-CCE 2021/914, BCR, décision adéquation), garanties supplémentaires post-Schrems II.

**À scruter** : mention explicite des transferts si Google Analytics, Meta Pixel, HubSpot US, Stripe, Mailchimp etc. utilisés. CCT mentionnées.

**Risque élevé si** : Google Analytics activé sans configuration EU + mention CCT manquante.

**Référence** : articles 44 à 49 RGPD, recommandation EDPB Schrems II.

#### Bloc C, cookies et trackers (recommandation CNIL 2020)

**Bandeau cookies** :
- Information sur les finalités (mesure audience, publicité, partage social)
- Bouton « Accepter tout » et bouton « Refuser tout » avec **équivalence visuelle** (pas un bouton vert qui crie et un lien petit gris)
- Lien « Personnaliser » pour gestion fine
- Pas de cookies non-essentiels avant consentement explicite
- Possibilité de retirer le consentement à tout moment (lien permanent en pied de page)

**À scruter** : configuration effective du bandeau, dépôt de cookies avant clic (test technique), bouton « Refuser » visible.

**Risque élevé si** : « Accepter tout » seul ou refus difficile, dépôt de cookies tiers avant consentement (Google Analytics, Meta Pixel).

**Référence** : recommandation CNIL du 17 septembre 2020 sur les cookies, articles 82 loi Informatique et Libertés modifiée.

### Étape 3, évaluer la conformité globale

Pour chaque item, attribuer un statut clair :

- **OK** : présent et conforme
- **Partiel** : présent mais incomplet (ex : mentions présentes mais pas le numéro RCS)
- **KO** : absent ou non conforme
- **À clarifier** : présent mais ambigu, demander précisions au client

Calculer un ratio global (X items OK sur 12), à donner à titre indicatif.

### Étape 4, formuler 3 à 5 actions prioritaires

Pour chaque manque détecté, proposer une action concrète :
- **Quoi** : ajouter / modifier / clarifier
- **Où** : page mentions légales, page politique de confidentialité, bandeau cookies
- **Effort estimé** : 30 min, 2h, 1 jour, mission complète

Exemples :
- « Ajouter dans les mentions légales : numéro RCS Paris XXX, capital social X €, directeur publication [Nom]. Effort : 30 min »
- « Refondre le bandeau cookies pour ajouter bouton refuser tout avec équivalence visuelle bouton accepter. Effort : 2h dev »
- « Ajouter dans politique conf : mention Google Analytics, transfert US, CCT-CCE 2021/914. Effort : 1h »

### Étape 5, recommander la suite

Selon le nombre de manques :
- **0 à 2 manques mineurs** : remédiation interne par le client, audit terminé, livrable transmis
- **3 à 5 manques** : mission ciblée 1 jour-homme pour remédiation accompagnée
- **6 manques ou plus** : mission RGPD complète recommandée (registre des traitements, PIA, charte interne, formation équipe), 5 à 15 jours-homme

### Étape 6, ajouter la phrase de cadrage déontologique

Toujours intégrer :

> « Cet audit est léger et ne se substitue pas à une mission complète de mise en conformité RGPD. Il couvre les obligations LCEN et RGPD principales du site web, mais pas les traitements internes, le registre, le PIA, ni les aspects sectoriels. Cette analyse n'est pas un avis juridique formel et ne se substitue pas à la consultation de l'avocat signataire. »

### Formules à bannir

| Banni | Pourquoi | Remplacer par |
| --- | --- | --- |
| « Le site n'est pas RGPD » | Approximatif, alarmiste | « X items conformes sur 12 audités, [N] manques principaux à corriger » |
| « Tout est OK » | Imprudent | « Items audités conformes au moment de l'audit, sous réserve évolutions réglementaires » |
| « Il faut absolument refondre » | Rigide | « Recommandation : mission ciblée [X jours] pour [items] » |
| « Ce n'est pas grave » | Minimise risques | Citer la sanction CNIL prévue (jusqu'à 4% CA mondial) |
| « Probable » | Trop mou | Trancher avec l'article ou demander précisions |
| Em-dash (`—`) | Sonne IA | Virgule, deux-points, parenthèses |