RGPD et site internet :
la mise en conformité étape par étape

Ce que le RGPD impose concrètement à un site internet

Le RGPD (Règlement 2016/679, applicable dans toute l'Union européenne) encadre la façon dont un site collecte, utilise et conserve les données personnelles de ses visiteurs. Concrètement, pour un site internet, cela veut dire qu'un formulaire de contact, un cookie de mesure d'audience ou même une simple adresse IP journalisée par le serveur constituent déjà un traitement de données soumis à des obligations précises. Le sujet ne concerne donc pas uniquement les grands groupes : il touche tout site professionnel, y compris un site vitrine de TPE.

Le premier principe à comprendre est celui de la base légale du traitement. Chaque fois qu'un site collecte une donnée personnelle, il doit pouvoir justifier pourquoi il le fait, sur l'une des six bases prévues par le règlement : le consentement de la personne, l'exécution d'un contrat, une obligation légale, la sauvegarde d'intérêts vitaux, une mission d'intérêt public, ou l'intérêt légitime de l'entreprise. Dans la pratique d'un site vitrine ou e-commerce, trois bases reviennent presque systématiquement : le consentement pour les cookies non essentiels et la newsletter, l'exécution d'un contrat pour les données de commande ou de facturation, et l'intérêt légitime pour certaines statistiques de fréquentation anonymisées.

Le second principe central est la minimisation des données. Le RGPD interdit de collecter plus d'informations que ce qui est strictement nécessaire à la finalité annoncée. Un formulaire de contact qui exige un numéro de téléphone, une adresse postale complète et une date de naissance pour simplement répondre à une question pose un problème de conformité, même si chaque champ semble anodin pris isolément. La règle pratique est simple : pour chaque champ d'un formulaire, il faut pouvoir répondre à la question « à quoi sert précisément cette donnée, et puis-je m'en passer ? ».

Cette exigence de minimisation s'accompagne d'une durée de conservation limitée : les données collectées via un formulaire de contact n'ont, par exemple, aucune raison d'être conservées indéfiniment si aucune relation commerciale n'en découle. Un site conforme documente, même sommairement, combien de temps chaque catégorie de données est gardée et pourquoi. C'est un point que l'ANSSI, l'agence française de cybersécurité, recoupe d'ailleurs avec ses propres recommandations : moins un site stocke de données inutiles, moins il expose de surface en cas d'incident de sécurité.

Les éléments obligatoires sur un site internet

Au-delà des principes généraux, le RGPD se traduit sur un site internet par une poignée d'éléments concrets et vérifiables. Les mentions légales et la politique de confidentialité forment le socle documentaire, complété par un bandeau de consentement aux cookies et par des cases de consentement explicites sur chaque formulaire de collecte de données. Ces éléments doivent être facilement accessibles, rédigés en langage clair, et à jour.

Les mentions légales sont une obligation qui découle en réalité du droit français bien avant le RGPD, mais qui recoupe désormais des exigences de transparence proches. Elles doivent identifier l'éditeur du site, l'hébergeur, et les moyens de le contacter. Nos propres mentions légales illustrent ce que cette page doit contenir concrètement : raison sociale, numéro d'immatriculation, adresse, coordonnées de contact et informations sur l'hébergeur.

La politique de confidentialité (parfois appelée politique de protection des données) est, elle, directement issue du RGPD. Elle doit expliquer quelles données sont collectées, dans quel but, sur quelle base légale, pendant combien de temps, et comment un visiteur peut exercer ses droits d'accès, de rectification ou de suppression. Notre politique de confidentialité sert d'exemple concret de structure attendue pour ce type de page.

Le tableau ci-dessous récapitule les éléments les plus souvent attendus sur un site professionnel et où les placer concrètement.

Un point souligné par la CNIL dans ses recommandations : la case à cocher pour donner son consentement doit toujours être décochée par défaut. Une case pré-cochée, ou l'absence totale de case, ne constitue pas un consentement valable au sens du règlement. C'est un détail technique simple à corriger, mais qui figure parmi les manquements les plus fréquemment relevés sur les formulaires de contact mal configurés.

Le cas particulier des cookies et du tracking

Les cookies et traceurs constituent le sujet le plus fréquemment source de non-conformité sur un site internet. La règle de base fixée par la CNIL est celle du consentement préalable : tout cookie non strictement nécessaire au fonctionnement du site (mesure d'audience non exemptée, pixel publicitaire Meta ou LinkedIn, chat tiers, vidéo intégrée) ne doit être déposé qu'après que le visiteur a donné son accord explicite, jamais avant.

Certains cookies échappent à cette obligation de consentement préalable : les cookies strictement techniques (panier d'achat, session de connexion, préférence de langue) ainsi que certains outils de mesure d'audience configurés selon des critères précis fixés par la CNIL, qui les rend exemptés de consentement car jugés peu intrusifs. En dehors de ces cas exemptés, un outil comme Google Analytics dans sa configuration standard, ou tout pixel publicitaire, nécessite un consentement explicite avant tout dépôt de cookie.

• Le bandeau doit proposer un refus aussi simple qu'un acceptation : un bouton « Tout accepter » sans bouton « Tout refuser » de visibilité équivalente est non conforme aux recommandations de la CNIL.
• Aucun traceur non essentiel ne doit se déclencher avant le choix du visiteur, y compris au chargement de la page en arrière-plan.
• Le consentement doit pouvoir être retiré aussi facilement qu'il a été donné, via un lien ou un module accessible en permanence, souvent dans le footer.
• La durée de validité du consentement est limitée, généralement autour de six mois selon les recommandations en vigueur, au-delà de laquelle le bandeau doit être présenté à nouveau.

Sur le plan technique, cette exigence rejoint directement les enjeux de sécurité web : un site mal configuré qui laisse fuiter des identifiants de tracking avant consentement, ou qui expose son module de gestion des cookies à une faille, cumule à la fois un risque RGPD et un risque de sécurité. Les deux sujets sont souvent traités ensemble lors d'un audit technique de site.

Check-list de mise en conformité RGPD

Pour un dirigeant de TPE ou PME qui souhaite passer à l'action sans attendre un audit complet, voici les étapes concrètes à traiter dans l'ordre, des plus urgentes aux plus structurelles.

1. Vérifier l'existence et le contenu des mentions légales : identité de l'éditeur, hébergeur, contact.
2. Rédiger ou mettre à jour la politique de confidentialité : finalités, bases légales, durées de conservation, modalités d'exercice des droits.
3. Auditer le bandeau cookies existant : refus aussi simple que l'acceptation, aucun traceur avant consentement, durée de validité respectée.
4. Vérifier chaque formulaire du site : champs réellement nécessaires, case de consentement décochée par défaut, lien vers la politique de confidentialité.
5. Cartographier les outils tiers connectés au site : Google Analytics, pixels publicitaires, chat en ligne, CRM, newsletter, pour identifier les transferts de données concernés.
6. Définir une durée de conservation par type de donnée et purger les données anciennes sans finalité active.
7. Sécuriser l'accès aux données collectées : mots de passe robustes sur les outils d'administration, accès limité aux personnes qui en ont réellement besoin.
8. Désigner un point de contact interne pour les demandes RGPD des visiteurs, même informel dans une petite structure.
9. Documenter les démarches effectuées, sous forme de registre simple, pour pouvoir justifier la conformité en cas de contrôle.

Aucune de ces étapes ne nécessite un budget considérable prise isolément, mais leur enchaînement demande une vision d'ensemble du site, de son hébergement et de ses outils tiers. C'est pour cette raison que beaucoup d'entreprises préfèrent faire auditer leur site en une seule fois plutôt que de traiter chaque point au fil de l'eau.

Précision importante : cet article a une visée informative et pédagogique. Il ne remplace en aucun cas un conseil juridique personnalisé, adapté à la situation précise de votre entreprise, que seul un avocat spécialisé ou un délégué à la protection des données peut fournir.