RGPD et site web : le guide de conformité pour votre entreprise

Vous avez un site vitrine, une boutique en ligne ou une application métier accessible au public ? Alors la question de la conformité RGPD de votre site web vous concerne directement, quelle que soit la taille de votre entreprise. Beaucoup de dirigeants pensent que ces règles ne visent que les grands groupes. C'est une erreur qui coûte cher : les contrôles se sont banalisés et touchent désormais les PME comme les grandes plateformes.

Le sujet fait peur parce qu'il mélange textes juridiques, jargon technique et sanctions potentielles. Pourtant, mettre un site en conformité relève surtout de bon sens et de rigueur : informer clairement, demander le consentement quand il le faut, et respecter les droits de vos visiteurs. Ce guide vous explique concrètement ce que la loi attend de votre site, sans discours anxiogène ni promesse magique.

Nous abordons les quatre piliers de la conformité (mentions légales, cookies, données personnelles, droits des utilisateurs), les erreurs les plus fréquentes, et la manière dont un site bien conçu intègre ces exigences dès le départ plutôt qu'en rustine.

Pourquoi la conformité RGPD de votre site n'est pas optionnelle

Le Règlement général sur la protection des données (RGPD) s'applique dès que votre site collecte la moindre donnée personnelle : un email via un formulaire de contact, une adresse de livraison, une adresse IP loggée par un outil de statistiques. Autant dire : presque tous les sites. En France, l'autorité de contrôle est la CNIL, et elle ne se contente plus de rappels à l'ordre pédagogiques.

Les chiffres du dernier bilan officiel donnent la mesure de l'enjeu. En 2025, 83 sanctions ont été prononcées par la CNIL, pour un montant total de 486 839 500 euros. Une part croissante de ces décisions passe par une procédure simplifiée qui vise des dossiers moins complexes, ce qui signifie que les petites structures ne sont plus à l'abri. Au-delà de l'amende, une sanction publique abîme durablement la confiance de vos clients.

Il faut aussi garder en tête le plafond théorique : pour les manquements les plus graves, les sanctions RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. L'objectif n'est pas de vous effrayer, mais de rappeler que la conformité est à la fois une obligation réglementaire et un choix stratégique de crédibilité.

Les mentions légales : la base incontournable

Avant même de parler données personnelles, tout site accessible au public doit afficher ses mentions légales. Cette obligation découle de la loi pour la confiance dans l'économie numérique (LCEN) de 2004 et ne dépend ni de la taille du site, ni de son chiffre d'affaires. Une simple page vitrine y est soumise.

Concrètement, votre page de mentions légales doit permettre à un visiteur d'identifier qui édite le site et qui l'héberge. On y retrouve en général :

• L'identité de l'éditeur (raison sociale, forme juridique, adresse, numéro RCS pour les sociétés)

• Les coordonnées de contact et le nom du directeur de la publication

• Les informations sur l'hébergeur du site

• Pour les activités réglementées, les mentions spécifiques à la profession

À cela s'ajoute désormais une politique de confidentialité, distincte des mentions légales, qui décrit vos traitements de données. C'est le document où vous expliquez quelles données vous collectez, pourquoi, combien de temps vous les conservez et comment un utilisateur peut exercer ses droits.

Cookies et consentement : là où la CNIL sanctionne le plus

Les cookies et traceurs sont le sujet le plus contrôlé. La règle de base est simple : aucun cookie soumis au consentement ne peut être déposé ou lu sans l'accord explicite de l'internaute. Concrètement, votre bandeau cookies doit apparaître avant tout dépôt de traceur publicitaire ou d'analyse non essentiel.

Le refus doit être aussi simple que l'acceptation

C'est le point sur lequel de nombreux sites se font épingler. La CNIL exige que refuser les cookies soit aussi facile que de les accepter : un bouton « Tout refuser » doit être aussi accessible qu'un bouton « Tout accepter ». Les interfaces trompeuses qui compliquent volontairement le refus (les fameux « dark patterns ») constituent un manquement sanctionnable. Cacher le refus derrière un menu « Paramétrer » n'est pas conforme.

Les cookies exemptés de consentement

Tous les cookies ne nécessitent pas de consentement. Ceux qui sont strictement nécessaires au fonctionnement du service (panier d'achat, authentification, mémorisation d'une langue) en sont dispensés. Les cookies de mesure d'audience peuvent aussi être exemptés, mais uniquement sous conditions strictes définies par la CNIL, notamment une durée de vie plafonnée et une finalité limitée à la seule statistique de fréquentation. Pour connaître les règles à jour, la référence officielle reste la page dédiée de la CNIL sur les cookies et traceurs.

Un dernier point sur le consentement : l'utilisateur doit pouvoir le retirer aussi facilement qu'il l'a donné. Un lien permanent de gestion des préférences, accessible depuis le pied de page, répond à cette exigence.

Sécuriser les données et respecter les droits des utilisateurs

La conformité ne s'arrête pas au bandeau cookies. Dès que vous stockez des données personnelles, vous devenez responsable de leur sécurité et vous devez garantir aux personnes concernées l'exercice de leurs droits.

Les droits que votre site doit permettre d'exercer

Le RGPD confère plusieurs droits à toute personne dont vous détenez les données :

• Droit d'accès : obtenir la confirmation que des données la concernant sont traitées, et y accéder

• Droit de rectification : corriger des informations inexactes

• Droit à l'effacement : demander la suppression de ses données, dans les cas prévus

• Droit d'opposition et droit à la portabilité selon les traitements

En pratique, cela suppose de prévoir un canal clair (souvent une adresse email dédiée ou un formulaire) et de savoir répondre dans les délais légaux. Un site qui centralise proprement ses données, plutôt que de les éparpiller entre un formulaire, un tableur et trois outils tiers, rend cet exercice bien plus simple. C'est aussi un argument fort en faveur d'un CRM sur mesure qui garde la maîtrise de vos données clients.

La sécurité, une obligation continue

Chiffrement des échanges via HTTPS, mots de passe robustes, mises à jour régulières, sauvegardes : la protection des données passe par une hygiène technique constante. Un site laissé sans suivi devient une porte d'entrée pour les fuites, et une fuite de données personnelles doit être signalée à la CNIL. C'est précisément le rôle d'une démarche de modernisation technique ou d'une maintenance sérieuse d'un site existant.

Intégrer la conformité dès la conception du site

Le RGPD parle de « privacy by design » : penser la protection des données dès la conception, plutôt que de bricoler après coup. Un bandeau cookies collé à la va-vite sur un site déjà en ligne laisse souvent passer des traceurs avant le consentement, ce qui vous met en défaut malgré vos efforts.

Concrètement, un projet bien mené prévoit dès le cahier des charges : les formulaires strictement nécessaires, un outil de statistiques configurable pour respecter l'exemption, un gestionnaire de consentement fiable, et une architecture qui minimise la collecte de données. C'est plus efficace, plus rapide et moins coûteux que de corriger un site non conforme. Si vous démarrez un projet, notre offre de création de site web intègre ces exigences par défaut.

Questions fréquentes sur le RGPD et les sites web

Mon petit site vitrine est-il vraiment concerné par le RGPD ?

Oui. Dès qu'un site collecte la moindre donnée personnelle, ne serait-ce qu'un email via un formulaire de contact ou une adresse IP via un outil de statistiques, le RGPD s'applique. La taille de l'entreprise n'entre pas en compte. Les mentions légales, elles, sont obligatoires pour tout site accessible au public, même une simple page vitrine sans formulaire.

Dois-je encore déclarer mon site à la CNIL ?

Non, plus dans la majorité des cas. Depuis l'entrée en vigueur du RGPD en 2018, la déclaration préalable à la CNIL a été supprimée pour la plupart des traitements courants. En contrepartie, vous devez respecter les obligations de fond : tenir un registre de vos traitements, informer les utilisateurs et garantir leurs droits. La logique est passée du contrôle a priori à la responsabilité continue.

Un bandeau cookies « accepter uniquement » est-il autorisé ?

Non. La CNIL exige que le refus soit aussi simple que l'acceptation. Un bandeau qui ne propose qu'un bouton « Accepter », ou qui cache le refus derrière plusieurs clics, n'est pas conforme. Vous devez afficher un bouton « Tout refuser » aussi visible et accessible que le bouton d'acceptation, et permettre à l'utilisateur de retirer son consentement à tout moment.

Que risque concrètement une PME en cas de non-conformité ?

Les risques vont du rappel à l'ordre à l'amende. La CNIL utilise de plus en plus une procédure simplifiée qui vise aussi les petites structures, avec des montants plus modérés mais bien réels. S'ajoute l'impact réputationnel : une sanction publique ou une fuite de données mal gérée entame la confiance des clients, souvent plus durablement que l'amende elle-même.

En résumé : la conformité, un investissement de crédibilité

Mettre son site en conformité RGPD n'a rien d'insurmontable. Cela repose sur quatre réflexes : afficher des mentions légales et une politique de confidentialité claires, gérer le consentement aux cookies dans les règles, sécuriser les données collectées et permettre aux utilisateurs d'exercer leurs droits. Fait dès la conception, c'est simple. Rattrapé après coup, c'est fastidieux. Dans les deux cas, c'est un signal de sérieux envoyé à vos clients.

Vous avez un projet de site web conforme ou une mise en conformité à mener ? Réservez un appel découverte.