◆ Guide RGPD · site internet

RGPD et site internet : le guide simple pour être en règle

Le RGPD ne demande pas de devenir juriste. Il demande de savoir quelles données votre site collecte, pourquoi, et combien de temps. Puis de le dire clairement. Ce guide reprend les six obligations qui concernent vraiment un site d'entreprise. Elles sont classées dans l'ordre où je les traite.

Applicable dès qu'une donnée est collectée · Même un simple formulaire de contact · Même sans boutique en ligne

Le point de départ

Votre site collecte des données, même si vous l'ignorez

Beaucoup de dirigeants pensent être hors du champ parce qu'ils ne vendent rien. C'est presque toujours faux.

Élément présent sur le site	Donnée collectée	Concerné ?
Formulaire de contact	Nom, e-mail, message	Oui
Inscription newsletter	Adresse e-mail, consentement	Oui
Google Analytics ou équivalent	Identifiant de navigation, parcours	Oui
Pixel publicitaire	Comportement, recoupement publicitaire	Oui
Espace client ou compte	Identité, historique, mot de passe	Oui
Site strictement statique, sans formulaire ni traceur	Journaux du serveur uniquement	Marginal

La dernière ligne concerne moins d'un site professionnel sur vingt.

Les obligations

Les six chantiers RGPD, et pas un de plus

1. Informer, en langage clair

Une page de politique de confidentialité répond à sept questions. Qui traite les données, pour quelle finalité, sur quelle base légale. Qui les reçoit, et combien de temps elles sont gardées. Enfin, quels droits vous avez, et comment saisir la CNIL.

Cette page se rédige une fois. Elle se relit à chaque nouvel outil branché sur le site.

2. Recueillir un consentement valable

Pour les traceurs non essentiels, le consentement doit être libre, spécifique, éclairé et univoque. Concrètement, rien ne se dépose avant le clic. Refuser reste aussi simple qu'accepter. Et le choix se retire à tout moment.

Le bouton « Tout refuser » au même niveau que « Tout accepter » règle à lui seul le manquement le plus sanctionné.

3. Limiter ce que vous collectez

Chaque champ d'un formulaire doit se justifier. Demander une date de naissance pour un simple devis ne se défend pas. Le principe s'appelle la minimisation, et c'est le plus simple à appliquer.

Passez vos formulaires en revue : un champ sur trois disparaît généralement.

4. Fixer des durées de conservation

Une donnée ne se garde pas indéfiniment. Un message de contact, un devis non signé, une candidature spontanée ont chacun leur durée. Écrivez-la, puis purgez réellement.

Une base jamais purgée constitue le manquement le plus facile à constater lors d'un contrôle. Nos formules de suivi intègrent cette purge annuelle.

5. Tenir un registre des traitements

Un tableau qui liste vos traitements : formulaire de contact, newsletter, clients, candidatures, vidéosurveillance. Pour chacun, la finalité, les données, les destinataires, la durée et les mesures de sécurité.

Une TPE bénéficie d'un allègement, jamais d'une dispense totale. Un tableur de dix lignes suffit largement.

6. Savoir réagir à une demande ou à une fuite

Une personne peut demander l'accès à ses données, leur rectification ou leur effacement. Vous répondez sous un mois. En cas de violation de données, la CNIL se notifie sous soixante-douze heures.

Ces deux délais courent que vous soyez prêt ou non. Mieux vaut avoir décidé qui s'en charge.

Le bandeau cookies, là où le RGPD se voit

C'est le seul manquement visible depuis l'extérieur, sans aucun accès à vos systèmes. Un contrôleur le constate en trente secondes, depuis son navigateur.

Ce qui se dépose librement

→ Le panier d'achat et la session de connexion
→ La préférence de langue et l'affichage choisi
→ La mémorisation du refus des cookies
→ La mesure d'audience strictement limitée, sous conditions

Ce qui attend le consentement

→ Les outils de statistiques publicitaires
→ Les pixels des réseaux sociaux
→ Les cartes, vidéos et polices chargées depuis un tiers
→ Les outils de test et de personnalisation

Le détail de ces règles figure dans nos articles dédiés au bandeau cookies. Le piège, lui, se cache dans la dernière ligne de la seconde colonne. Une vidéo intégrée ou une police externe dépose souvent un traceur avant même le clic du visiteur. Votre site devient alors non conforme au RGPD sans que personne ne l'ait décidé.

Incident

Une fuite de données, et ensuite ?

Constater et contenir

Coupez l'accès, changez les identifiants, conservez les journaux. Notez l'heure exacte de la découverte : le délai part de là.

Notifier sous 72 heures

La CNIL se saisit en ligne. Une notification incomplète vaut mieux qu'une notification tardive : elle se complète ensuite.

Informer les personnes

Obligatoire lorsque le risque pour les personnes est élevé. Un message franc et rapide limite les dégâts, y compris de réputation.

Une exception existe pour la notification : lorsque la violation ne présente pas de risque pour les droits des personnes. Documentez alors votre analyse, car c'est vous qui devrez la justifier.

Sanctions

Ce que la CNIL peut réellement décider

Le plus fréquent

La mise en demeure

Un délai ferme pour corriger. Sans publicité si vous vous exécutez. C'est l'issue de la grande majorité des dossiers.

En cas d'inaction

L'amende

Le plafond européen atteint 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Les montants réellement prononcés contre des PME restent très en dessous.

Le vrai coût

La publication

La décision peut être rendue publique. Pour une entreprise qui vend en ligne, cette ligne pèse souvent plus lourd que le montant.

Retenez la logique générale. En matière de RGPD, la CNIL sanctionne l'absence de démarche, rarement l'imperfection.

Questions fréquentes

Ce que les dirigeants me demandent en premier

Dois-je nommer un délégué à la protection des données ?

Cette désignation s'impose d'abord aux organismes publics. Elle vise ensuite les structures dont l'activité principale conduit à un suivi régulier et à grande échelle. Ou au traitement de données sensibles, également à grande échelle. Une PME classique n'entre pas dans ces cas. Rien ne vous empêche toutefois de désigner un référent en interne.

Un formulaire de contact demande-t-il une case à cocher ?

Pas nécessairement. Répondre à une demande relève de l'intérêt légitime ou d'une démarche précontractuelle. En revanche, réutiliser cette adresse pour une newsletter exige un consentement distinct, coché volontairement.

Mes données peuvent-elles être hébergées hors d'Europe ?

Oui, à condition d'encadrer le transfert. Décision d'adéquation, clauses contractuelles types, ou garanties équivalentes. Vérifiez ce point avant de choisir un outil, pas après.

Le RGPD et l'accessibilité, c'est le même chantier ?

Non, ce sont deux réglementations distinctes, avec deux autorités différentes. Elles se croisent seulement sur un point : les deux se contrôlent depuis votre page d'accueil, sans prévenir. Notre guide de l'accessibilité numérique traite la seconde.

Commencez par regarder ce que votre site dépose

Notre outil relève les traceurs posés avant consentement, l'absence de politique de confidentialité et les mentions manquantes. Résultat en moins d'une minute, gratuitement, sans inscription et sans rien installer.

Contrôler mon site Parler de ma situation

Sources officielles

Commission nationale de l'informatique et des libertés — l'autorité de contrôle française et ses recommandations.
Règlement (UE) 2016/679 — le texte européen, dit RGPD.

Cette page présente le cadre général et ne constitue pas un conseil juridique personnalisé.