Dès qu’un site collecte la moindre information identifiant un visiteur, il devient concerné par le RGPD. Ce guide complet explique ce que cela implique concrètement, du simple formulaire de contact au bandeau cookies conforme aux recommandations de la CNIL.

Qu’est-ce que le RGPD, exactement ?

Le RGPD (Règlement (UE) 2016/679) encadre depuis le 25 mai 2018 la collecte et le traitement des données personnelles au sein de l’Union européenne. Il s’applique dès qu’une information permet d’identifier une personne physique, directement ou indirectement : nom, e-mail, adresse IP ou identifiant de connexion.

Un simple formulaire de contact suffit à déclencher le RGPD

« Mon site est trop petit pour être concerné » est une idée reçue fréquente. Dès qu’un champ « nom » ou « e-mail » enregistre une information, le RGPD s’applique, quelle que soit la taille de votre audience. Notre article « RGPD pour un petit site » détaille les obligations minimales à respecter dans ce cas très répandu.

Qui est responsable du traitement des données ?

Dans la grande majorité des cas, c’est vous, en tant qu’éditeur du site, qui êtes le responsable de traitement. Ce statut implique d’informer clairement les visiteurs, de sécuriser les données collectées et de répondre à leurs demandes d’exercice de droits dans un délai d’un mois.

Faut-il pour autant désigner un délégué à la protection des données ? Non, sauf pour les organismes publics ou les entreprises traitant des données à grande échelle. La quasi-totalité des petits sites en sont dispensés.

Les droits des personnes concernées

Toute personne dispose d’un droit d’accès à ses données, de rectification, d’effacement (« droit à l’oubli »), de portabilité et d’opposition. Ces droits s’exercent en général via votre page de contact, et doivent recevoir une réponse rapide et claire.

Cookies : quand le consentement est-il requis ?

Les cookies strictement nécessaires au fonctionnement du site (panier, session de connexion) sont exemptés de consentement. Les cookies de mesure d’audience non anonymisés et les cookies publicitaires nécessitent en revanche un consentement préalable et explicite, conforme aux recommandations de la CNIL.

L’erreur la plus fréquente reste un bouton « accepter » visible accompagné d’un refus rendu volontairement plus compliqué. La CNIL exige que les deux options soient d’égale simplicité. Notre article « Bandeau cookies conforme CNIL : le guide pratique » détaille chaque point à vérifier sur votre propre bandeau.

Le rôle central de la CNIL

La CNIL est l’autorité française chargée de veiller au respect du RGPD. Elle publie des recommandations pratiques gratuites, contrôle la conformité des sites et peut être saisie directement par un visiteur en cas de litige non résolu. Notre article « CNIL : quand et comment la contacter » détaille la marche à suivre, côté éditeur comme côté visiteur.

Que risque-t-on en cas de non-conformité ?

Les sanctions peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires mondial pour les manquements les plus graves. En pratique, la CNIL privilégie d’abord la pédagogie et la mise en demeure pour les petites structures, avant d’envisager une sanction financière. Cependant, ignorer un rappel à l’ordre aggrave nettement la situation.

RGPD, cookies et mentions légales : bien distinguer les documents

Vos mentions légales identifient l’éditeur du site. Votre politique de confidentialité détaille le traitement des données personnelles. Votre bandeau cookies gère spécifiquement le consentement aux traceurs. Ces trois éléments sont complémentaires, mais répondent chacun à un objectif distinct et ne doivent pas être fusionnés sans discernement.

Durées de conservation : combien de temps garder les données ?

La durée de conservation doit rester proportionnée à la finalité du traitement. Pour des données de contact commercial, une conservation de trois ans après le dernier contact est généralement considérée comme raisonnable par la CNIL. Pour des données liées à une simple demande d’information ponctuelle, quelques mois suffisent en général. Passé ce délai, les données doivent être supprimées ou anonymisées, sauf obligation légale contraire imposant une conservation plus longue, par exemple à des fins comptables.

Sécuriser les données collectées : les bonnes pratiques

Le chiffrement des échanges via HTTPS constitue un prérequis minimal pour tout site collectant des données. L’accès aux données doit être restreint aux seules personnes habilitées, avec des mots de passe robustes et, idéalement, une authentification à deux facteurs pour les accès sensibles. Le choix de prestataires eux-mêmes conformes au RGPD, qu’il s’agisse de votre hébergeur ou de votre outil d’emailing, complète ce dispositif de sécurité de base.

Cookies tiers : une vigilance particulière

Les cookies déposés par des services tiers intégrés à votre site, comme une vidéo YouTube ou un bouton de partage sur les réseaux sociaux, nécessitent également un consentement préalable dès lors qu’ils ne sont pas strictement nécessaires. Beaucoup d’éditeurs oublient ces cookies indirects, pourtant soumis aux mêmes règles que les cookies déposés directement par leur propre site. Une vérification technique régulière de tous les traceurs actifs reste recommandée.

Foire aux questions

Un site sans formulaire est-il concerné par le RGPD ?

Oui, dès qu’un outil de mesure d’audience ou un cookie technique traite une adresse IP ou un identifiant, même sans formulaire visible. Cependant, les obligations restent alors très limitées.

Faut-il redemander le consentement cookies régulièrement ?

La CNIL recommande de renouveler la demande environ tous les six mois, notamment si les cookies utilisés évoluent entre-temps.

Une politique de confidentialité générique trouvée en ligne est-elle suffisante ?

Non. Chaque politique doit refléter précisément les traitements réellement effectués sur votre site, sous peine d’être jugée trompeuse en cas de contrôle.

Transferts de données hors Union européenne

Si vous utilisez des prestataires établis hors de l’Union européenne, par exemple un outil d’analyse ou d’emailing américain, vérifiez qu’ils offrent des garanties suffisantes, comme des clauses contractuelles types approuvées par la Commission européenne. Un transfert de données personnelles sans garantie adéquate constitue un manquement distinct, régulièrement sanctionné par la CNIL ces dernières années, y compris pour des structures de taille modeste utilisant des outils grand public.

Registre des traitements : obligatoire ou non ?

Les entreprises de moins de 250 salariés sont dispensées de tenir un registre complet des traitements, sauf si le traitement est susceptible de comporter un risque pour les droits des personnes, s’il est non occasionnel, ou s’il porte sur des données sensibles. En pratique, la majorité des petits sites vitrines restent dispensés, mais un registre simplifié reste une bonne pratique recommandée par la CNIL, même sans obligation stricte.

Une checklist pour démarrer

Formulaire de contact avec finalité claire, durée de conservation raisonnable, bandeau cookies conforme, politique de confidentialité à jour et point de contact identifié pour l’exercice des droits : voilà les cinq piliers d’un site en conformité. Le générateur de mentions légales inclut une section de base conforme au RGPD, à adapter à votre situation exacte.