Un site conforme RGPD recueille un consentement libre et éclairé avant de déposer des cookies non essentiels, ne collecte dans ses formulaires que les données utiles, et explique clairement dans une politique de confidentialité ce qui est fait de ces données. Ces obligations s’appliquent à tous les sites, y compris un simple site vitrine d’artisan ou de profession libérale. La mise en conformité tient souvent en quelques jours de travail, mais elle doit être vérifiée régulièrement.
Quelles obligations pour un site conforme RGPD ?
Deux textes encadrent l’essentiel : le Règlement général sur la protection des données (RGPD) et la directive dite « ePrivacy », transposée dans la loi Informatique et libertés, qui régit les cookies. En France, la CNIL publie des lignes directrices et des recommandations pratiques qui précisent ce qui est attendu. Pour un site d’entreprise, cela se traduit par quatre chantiers : les cookies, les formulaires, la politique de confidentialité et les mentions légales.
Comment gérer les cookies et le consentement ?
Ce qui demande un consentement
Les cookies et traceurs de mesure d’audience non exemptés, de publicité, de reciblage, ainsi que les contenus tiers comme certaines vidéos intégrées ou boutons de partage, nécessitent l’accord préalable du visiteur. Les cookies strictement nécessaires au fonctionnement du site (panier, session, mémorisation du choix de consentement) en sont dispensés. Certains outils de mesure d’audience peuvent être exemptés s’ils sont configurés selon les conditions fixées par la CNIL.
Ce qu’un bandeau conforme doit permettre
- accepter ou refuser aussi facilement, avec des boutons de même niveau visuel ;
- ne déposer aucun traceur soumis à consentement avant le choix ;
- choisir par finalité (mesure, publicité, réseaux sociaux) ;
- retirer son consentement à tout moment, via un lien permanent ;
- conserver une preuve du consentement.
Le piège le plus courant : un bandeau qui s’affiche correctement, mais des balises qui se déclenchent quand même avant tout clic. Il faut donc tester techniquement, pas seulement regarder le bandeau.
Quelles règles pour les formulaires ?
Chaque formulaire (contact, devis, inscription à une lettre d’information, candidature) est une collecte de données personnelles. Les bons réflexes :
- Minimiser : ne demander que ce qui sert. Un formulaire de contact n’a pas besoin de la date de naissance.
- Informer au plus près du formulaire : qui traite les données, pourquoi, combien de temps, et lien vers la politique de confidentialité.
- Séparer les consentements : l’inscription à la lettre d’information doit faire l’objet d’une case non pré-cochée, distincte de l’envoi du message.
- Sécuriser : site en HTTPS, protection contre les envois automatisés, accès restreint aux messages reçus.
- Fixer une durée de conservation et supprimer réellement les données au-delà.
Que doit contenir la politique de confidentialité ?
Elle doit être rédigée simplement et rester accessible depuis toutes les pages. Elle précise notamment :
- l’identité et les coordonnées du responsable du traitement ;
- les données collectées et les finalités de chaque traitement ;
- la base légale (consentement, contrat, intérêt légitime, obligation légale) ;
- les destinataires et les sous-traitants (hébergeur, outil d’emailing, CRM) ;
- les éventuels transferts hors de l’Union européenne ;
- les durées de conservation ;
- les droits des personnes et la façon de les exercer, ainsi que la possibilité de saisir la CNIL.
Une politique copiée d’un autre site est rarement exacte : elle mentionne des outils que vous n’utilisez pas et oublie ceux que vous utilisez.
Checklist de mise en conformité de votre site
- Inventorier tous les cookies et traceurs présents, à l’aide d’un outil d’analyse ou des outils de développement du navigateur.
- Installer ou paramétrer une solution de gestion du consentement et la relier à vos balises.
- Tester le site en navigation privée : aucun traceur soumis à consentement ne doit apparaître avant le choix.
- Revoir chaque formulaire : champs utiles, mention d’information, cases distinctes.
- Rédiger ou mettre à jour la politique de confidentialité et les mentions légales.
- Vérifier les contrats de vos sous-traitants (hébergeur, emailing, CRM).
- Tenir à jour le registre des traitements de l’entreprise.
- Prévoir une revue au moins annuelle, et à chaque ajout d’outil.
Pour une vision plus large que le seul site, notre article sur l’audit RGPD en PME, ses étapes et sa durée vous aidera à cadrer la démarche.
Quelles sanctions en cas de manquement ?
Le RGPD prévoit des amendes administratives pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves. La CNIL dispose aussi d’une procédure simplifiée pour les cas moins complexes, avec des amendes plus limitées, ainsi que de mises en demeure publiques. Au-delà de l’amende, une non-conformité expose à des plaintes de clients, à une perte de confiance et, en cas de fuite de données, à une obligation de notification. Pour une PME, le risque principal est souvent réputationnel.
La conformité n’est pas un réglage fait une fois pour toutes : chaque nouvelle extension, chaque nouvel outil marketing peut la remettre en cause. C’est pourquoi nous l’intégrons à nos contrats de maintenance de site web, avec des vérifications régulières.
Questions fréquentes
Un petit site vitrine est-il concerné ?
Oui, dès qu’il comporte un formulaire, un outil de mesure d’audience ou une vidéo intégrée. La taille de l’entreprise ne change pas les obligations, seulement l’ampleur des démarches.
Google Analytics est-il autorisé ?
Son utilisation est possible à condition de recueillir le consentement du visiteur au préalable et de respecter les règles sur les transferts de données. Des alternatives exemptées de consentement existent si elles sont configurées selon les conditions de la CNIL.
Faut-il désigner un délégué à la protection des données ?
Ce n’est obligatoire que dans certains cas, par exemple pour les organismes publics ou les traitements à grande échelle de données sensibles. La plupart des PME n’y sont pas tenues, mais doivent désigner une personne référente en interne.
Un projet ? Découvrez notre accompagnement : Maintenance de site web, ou contactez-nous pour en parler.