Le règlement général sur la protection des données (RGPD) impose à toute PME exploitant un site internet de recueillir un consentement explicite avant de collecter des données personnelles, de tenir un registre des traitements et d’afficher une politique de confidentialité conforme. Ces obligations, prévues par le règlement européen 2016/679, s’appliquent dès qu’un formulaire de contact, un outil d’analyse ou un cookie tiers est présent sur le site, quel que soit le chiffre d’affaires de l’entreprise.
Sommaire
- Cinq obligations concrètes que le RGPD impose à tout site de PME
- Cookies et traceurs : le consentement préalable exigé par la CNIL depuis 2021
- Registre des traitements : le document que la CNIL demande en premier lors d’un contrôle
- Quelle est la norme RGPD pour les sites internet ?
- Quelles sont les obligations des entreprises en matière de RGPD ?
- Checklist : les actions à mener sur un site de PME
Cinq obligations concrètes que le RGPD impose à tout site de PME
Un site de PME qui collecte ne serait-ce qu’une adresse email via un formulaire de contact entre dans le champ du RGPD. Le texte ne distingue pas la taille de l’entreprise : c’est la nature du traitement qui déclenche les obligations. Concrètement, cinq points doivent être en place dès la mise en ligne.
La politique de confidentialité constitue le socle. Elle doit mentionner l’identité du responsable de traitement, la finalité de chaque collecte, la base juridique retenue (consentement, intérêt légitime ou exécution d’un contrat), la durée de conservation et les droits des personnes concernées. L’article 13 du RGPD en fixe le contenu minimum. Cette page doit être accessible depuis n’importe quelle page du site, généralement via le pied de page.
Le recueil du consentement s’applique à deux niveaux : les cookies non essentiels et les formulaires d’inscription à une newsletter ou à un service commercial. Le consentement doit être libre, spécifique et éclairé. Une case précochée ne vaut pas consentement, comme l’a rappelé la Cour de justice de l’Union européenne dans l’arrêt Planet49 du 1er octobre 2019.
Les mentions légales relèvent de la loi pour la confiance dans l’économie numérique (LCEN) de 2004. Elles sont distinctes de la politique de confidentialité et doivent indiquer la raison sociale, l’adresse du siège, le numéro d’immatriculation, le directeur de la publication et l’hébergeur du site.
Le droit d’accès, de rectification et de suppression doit pouvoir être exercé facilement. Le RGPD fixe un délai de réponse d’un mois maximum après réception de la demande, selon l’article 12. Publier une adresse email dédiée ou un formulaire de contact identifié suffit, à condition que quelqu’un traite effectivement les demandes.
Enfin, la sécurité des données. L’article 32 du RGPD exige des mesures techniques et organisationnelles adaptées au risque : certificat SSL/TLS, mots de passe robustes pour l’accès à l’administration du site, mises à jour régulières du CMS. Autant le dire, un site WordPress avec des extensions non mises à jour depuis deux ans pose un problème de conformité autant que de sécurité.
Voir aussi Accessibilité numérique : qui est concerné et par quoi commencer
Cookies et traceurs : le consentement préalable exigé par la CNIL depuis 2021
Depuis l’entrée en vigueur des lignes directrices de la CNIL sur les cookies en avril 2021, tout site doit permettre à l’internaute de refuser les traceurs aussi facilement qu’il les accepte. Le bouton « Tout refuser » doit être présenté au même niveau que « Tout accepter ». Les cookies strictement nécessaires au fonctionnement du site (panier d’achat, authentification) sont exemptés de consentement.
Quels traceurs sont concernés ? Google Analytics, les pixels de réseaux sociaux, les outils de remarketing publicitaire, les modules de chat tiers qui déposent des cookies. Un site de PME qui utilise GA4 doit donc conditionner le chargement du script au consentement de l’utilisateur. Charger le script avant le clic sur « Accepter » constitue une infraction.
La CNIL a prononcé plusieurs sanctions sur ce fondement. Les amendes ne visent pas que les grands groupes : des structures de taille modeste ont reçu des mises en demeure publiques pour absence de bandeau cookie ou pour un bandeau ne permettant pas le refus.
Registre des traitements : le document que la CNIL demande en premier lors d’un contrôle
Le registre des activités de traitement, prévu par l’article 30 du RGPD, recense chaque opération de collecte de données personnelles. Pour une PME exploitant un site internet, les traitements courants incluent le formulaire de contact, la newsletter, la gestion des comptes clients, les cookies analytiques et les sauvegardes de base de données contenant des informations personnelles.
Ce registre doit préciser pour chaque traitement la catégorie de données collectées, la finalité, la durée de conservation, les destinataires et les mesures de sécurité. La CNIL met à disposition un modèle de registre adapté aux petites structures.
Une exemption partielle existe pour les entreprises de moins de 250 salariés : elles ne sont tenues de documenter que les traitements non occasionnels, ceux susceptibles de comporter un risque pour les droits des personnes, ou ceux portant sur des données sensibles. En pratique, un site internet qui collecte des emails de prospects de façon régulière constitue un traitement non occasionnel. Le registre reste donc nécessaire dans la grande majorité des cas.
Quelle est la norme RGPD pour les sites internet ?
Le RGPD n’est pas une norme technique au sens ISO : c’est un règlement européen directement applicable dans tous les États membres depuis le 25 mai 2018, sans transposition nécessaire. En France, il est complété par la loi Informatique et Libertés modifiée (loi n° 78-17) et par les recommandations de la CNIL.
Pour un site internet, la conformité repose sur trois piliers : la transparence (informer clairement l’utilisateur de ce qui est collecté et pourquoi), la licéité (disposer d’une base légale pour chaque traitement) et la minimisation (ne collecter que les données strictement nécessaires à la finalité déclarée). Demander la date de naissance dans un formulaire de contact, par exemple, contrevient au principe de minimisation si cette information n’a aucune utilité pour répondre au message.
Voir aussi CGV d’un site e-commerce : les clauses qu’on oublie et qui coûtent cher
Quelles sont les obligations des entreprises en matière de RGPD ?
Au-delà du site internet, le RGPD impose à toute entreprise traitant des données personnelles un ensemble d’obligations organisationnelles. Désigner un délégué à la protection des données (DPO) est obligatoire pour les organismes publics et pour les entreprises dont l’activité principale implique un suivi régulier et systématique des personnes à grande échelle. Pour la plupart des PME, cette désignation reste facultative mais recommandée par la CNIL.
La notification de violation de données est en revanche obligatoire pour toutes les entreprises. En cas de fuite, le responsable de traitement doit notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance (article 33 du RGPD). Si la violation présente un risque élevé pour les personnes concernées, celles-ci doivent également être informées directement.
L’analyse d’impact relative à la protection des données (AIPD) n’est requise que lorsque le traitement est susceptible d’engendrer un risque élevé. Pour un site vitrine de PME avec formulaire de contact et newsletter, cette analyse n’est généralement pas nécessaire. Elle le devient si le site traite des données de santé, met en œuvre du profilage ou surveille systématiquement une zone accessible au public.
Checklist : les actions à mener sur un site de PME
| Action | Base légale | Priorité |
|---|---|---|
| Publier une politique de confidentialité complète | Article 13 du RGPD | Immédiate |
| Installer un bandeau cookie avec option de refus au même niveau que l’acceptation | Lignes directrices CNIL 2021 | Immédiate |
| Conditionner le chargement de GA4 et des pixels tiers au consentement | Article 82 loi Informatique et Libertés | Immédiate |
| Vérifier et compléter les mentions légales (LCEN) | Loi n° 2004-575, article 6 | Immédiate |
| Rédiger le registre des traitements | Article 30 du RGPD | Sous 30 jours |
| Mettre en place une procédure de réponse aux demandes d’exercice de droits | Articles 15 à 21 du RGPD | Sous 30 jours |
| Passer le site en HTTPS | Article 32 du RGPD (sécurité) | Immédiate |
| Définir les durées de conservation pour chaque type de donnée | Article 5-1-e du RGPD | Sous 60 jours |
| Documenter la procédure de notification de violation | Article 33 du RGPD | Sous 60 jours |
La constitution d’une base email mérite une attention particulière : chaque inscription doit reposer sur un consentement démontrable, avec conservation de la preuve (horodatage, adresse IP, version du formulaire). Le double opt-in, s’il n’est pas explicitement exigé par le RGPD, constitue la méthode la plus sûre pour prouver le consentement en cas de contrôle.
La conformité d’un site ne se limite pas aux données collectées en ligne. Les avis clients publiés sur le site et les échanges par email stockés sur le serveur constituent aussi des traitements à documenter. Un site qui affiche des témoignages nominatifs sans accord écrit du client contrevient au RGPD.
Pour les PME qui gèrent une boutique en ligne, les données de paiement, les historiques de commande et les adresses de livraison forment autant de traitements distincts. La gestion des moyens de paiement implique souvent un sous-traitant (prestataire de paiement) avec lequel un contrat de sous-traitance conforme à l’article 28 du RGPD doit être signé.
Le suivi des performances du site et l’analyse du taux de rebond passent souvent par des outils qui déposent des cookies. Vérifier la conformité de chaque outil installé sur le site reste le point de départ le plus efficace pour toute mise en conformité.
À retenir
- Vérifier que le bandeau cookie permet de refuser les traceurs aussi facilement que de les accepter, conformément aux lignes directrices CNIL.
- Rédiger le registre des traitements en utilisant le modèle proposé par la CNIL, même pour une structure de moins de 250 salariés.
- Conditionner le chargement de tout script tiers (analytics, pixels, chat) au consentement préalable de l’utilisateur.
- Mettre en place une adresse ou un formulaire dédié pour les demandes d’exercice de droits, avec un délai de réponse inférieur à un mois.
Questions fréquentes
Qu’est-ce qui est obligatoire sur un site internet ?
Quatre éléments sont obligatoires sur tout site internet professionnel en France : les mentions légales prévues par la LCEN (raison sociale, adresse, hébergeur), la politique de confidentialité décrivant les traitements de données, un bandeau de gestion des cookies conforme aux recommandations de la CNIL, et les conditions générales de vente si le site propose des transactions commerciales.
Quelles sont les obligations légales des plateformes en ligne ?
Les plateformes en ligne (places de marché, sites de mise en relation, comparateurs) sont soumises à des obligations renforcées par le règlement européen Digital Services Act (DSA), entré en application le 17 février 2024. Elles doivent notamment désigner un point de contact unique, mettre en place un système de signalement des contenus illicites et publier un rapport de transparence. Ces obligations s’ajoutent à celles du RGPD sur la protection des données.
Thomas Lefèvre est développeur freelance full-stack à Paris depuis 2015, spécialisé WordPress sur mesure, no-code et SEO technique. Sur Synergie.Web il documente les outils testés sur de vrais projets, sans partenariat commercial.
Sources
À lire aussi
Mentions légales : la liste exacte selon le statut de l’éditeur
Tout site internet accessible au public doit afficher des mentions légales identifiant son éditeur, sous…
Bandeau cookies conforme : ce que la CNIL sanctionne concrètement
La CNIL a prononcé, entre 2021 et 2024, plus de 200 millions d'euros d'amendes liées aux cookies, dont les…
Transfert de nom de domaine OVH : le guide complet 2026
Pourtant, une fois qu'on connaît les étapes exactes, le processus est parfaitement balisé et rarement…
Transférer un nom de domaine OVH : guide étape par étape
C'est une opération qui fait peur à beaucoup de porteurs de projets web, mais qui reste en réalité assez…
À qui appartient un nom de domaine ? Comment vérifier
J'ai perdu le compte du nombre de clients qui m'ont contacté avec la même question : « Thomas, à qui…
Nom de domaine : quelle est la définition exacte ?
Quand un client me demande de créer son site, la première question qui revient presque systématiquement…
