Mise en conformité RGPD site internet : ce que dit le texte

Pour un site internet, la mise en conformité au RGPD ne relève plus du simple affichage juridique. Dès qu’un formulaire, une newsletter, un outil de mesure d’audience ou un espace client collecte des données personnelles, la logique change et exige de la méthode.

En 2026, la CNIL rappelle encore que la vraie difficulté ne tient pas seulement aux textes, mais à leur application quotidienne : consentement explicite, cookies maîtrisés, registre clair, sécurité suivie et transparence réelle. Un simple site vitrine peut donc devenir concerné très vite, ce qui conduit naturellement à l’essentiel.

A retenir :

• Obligations immédiates pour chaque site collectant des données
• Consentement lisible, libre et facilement refusé
• Politique de confidentialité adaptée, jamais générique
• Registre, sécurité, sous-traitants et droits documentés

Comprendre ce que le RGPD exige d’un site internet

Le point de départ est simple : le responsable de traitement doit savoir précisément quelles données personnelles il collecte et pourquoi. Selon la CNIL, cette exigence s’applique dès qu’une personne située dans l’Union européenne interagit avec un formulaire, une newsletter ou un outil de suivi.

Cette logique touche autant une PME qu’un indépendant, car une adresse e-mail, un numéro de téléphone ou une adresse IP suffisent à faire entrer un site dans le champ du RGPD. Selon la CNIL, le test décisif n’est pas la taille de l’entreprise, mais la nature de la collecte.

Sur le terrain, cela change vite les priorités : on ne publie plus un formulaire « pratique », on documente sa finalité, sa base légale et sa durée de conservation. Un site d’artisan qui reçoit des devis par e-mail et un blog avec commentaire obligatoire suivent déjà cette logique.

Les traitements les plus fréquents sur un site

Ce premier repérage sert à éviter les angles morts, souvent coûteux lors d’un contrôle. Selon la CNIL, les collectes les plus courantes concernent la relation commerciale, l’animation marketing et la sécurité technique.

Cartographie des usages :

• Formulaire de contact avec nom et e-mail
• Newsletter avec adresse de messagerie
• Outil d’analyse d’audience et traceurs
• Espace client avec identifiants de connexion

Une petite société peut croire qu’elle ne traite « presque rien », puis découvrir trois circuits distincts : demandes commerciales, sauvegarde des comptes clients, et statistiques. Cette cartographie évite justement les oublis qui fragilisent la protection des données.

Traitement	Exemple courant	Base logique habituelle	Point de vigilance
Contact	Formulaire de demande	Intérêt légitime ou contrat	Limiter les champs
Prospection	Newsletter	Consentement	Preuve du choix
Client	Compte utilisateur	Exécution du contrat	Durée de conservation
Mesure d’audience	Cookies statistiques	Consentement selon configuration	Bannière conforme

Ce tableau montre un point souvent négligé : la même personne peut être concernée par plusieurs traitements différents. L’étape suivante consiste donc à relier chaque usage à sa base juridique et à sa preuve.

Relier chaque usage à une base légale solide

La conformité devient plus nette quand chaque finalité repose sur une base légale distincte. Selon le texte du RGPD, il faut choisir entre consentement, contrat, obligation légale, intérêt légitime, intérêt vital ou mission d’intérêt public.

Un e-commerce ne justifie pas sa facture comme sa newsletter, et un SaaS ne traite pas ses logs comme ses prospects. Ce découpage évite les amalgames et renforce la transparence envers les utilisateurs.

Pour un dirigeant, l’enjeu est concret : si la base légale n’est pas claire, le document de conformité perd sa valeur. Le passage suivant montre comment cette logique se traduit dans les textes visibles par les visiteurs.

Rédiger les documents qui prouvent la mise en conformité

Une fois les traitements clarifiés, les textes visibles sur le site internet prennent toute leur importance. Selon la CNIL, la politique de confidentialité doit être accessible, précise et adaptée à l’activité réelle, pas copiée depuis un modèle vague.

Cette exigence protège aussi le visiteur, qui comprend enfin ce qui est collecté, par qui, pendant combien de temps et dans quel but. Une boutique en ligne ne présente pas les mêmes besoins qu’un blog associatif, et c’est justement là que la personnalisation compte.

Selon la CNIL, les mentions d’information doivent aussi annoncer les droits des personnes et la manière de les exercer. Lorsqu’une entreprise reçoit une demande d’effacement, elle doit savoir répondre vite, sans improvisation ni flou interne.

La politique de confidentialité et les droits des personnes

Cette pièce centrale sert de repère à toute la mécanique documentaire. Elle rassemble l’identité du responsable de traitement, les finalités, les bases légales, les durées de conservation et le canal de contact.

Mentions indispensables :

• Identité du responsable de traitement
• Finalités et bases légales
• Durées de conservation par catégorie
• Droits d’accès, rectification, effacement

Dans la pratique, une politique claire réduit les tensions avec les visiteurs et avec les équipes internes. Elle évite aussi l’écueil du texte trop général, souvent repéré en premier lors des contrôles.

Droit	Ce qu’il permet	Réponse attendue	Délais usuels
Accès	Obtenir ses données	Copie lisible	Un mois
Rectification	Corriger une erreur	Mise à jour	Un mois
Effacement	Supprimer certaines données	Vérification préalable	Un mois
Opposition	Refuser un usage	Arrêt du traitement concerné	Un mois

Une adresse dédiée de type privacy@ ou rgpd@ aide beaucoup, car elle centralise les demandes et trace les réponses. Cela prépare aussi le terrain pour un point souvent plus délicat : les cookies et les sous-traitants.

Cookies, conservation et sous-traitants

Le consentement pour les traceurs ne se traite pas comme une simple case à cocher. Selon la CNIL, le refus doit être aussi simple que l’acceptation, et aucun cookie non essentiel ne doit être déposé avant le choix.

Dans le même temps, la durée de conservation doit rester cohérente avec la finalité, qu’il s’agisse de prospects, de clients ou de logs techniques. Un site qui garde des données trop longtemps s’expose à des critiques faciles, même si le reste de sa politique paraît solide.

Les prestataires comptent aussi dans la chaîne, car hébergeur, CRM, outil d’e-mailing et processeur de paiement interviennent souvent comme sous-traitants. Leur encadrement contractuel et leur localisation doivent être vérifiés avec soin, surtout lorsque des transferts hors UE existent.

Sécuriser les données et tenir la conformité dans la durée

Quand les documents sont en place, la sécurité devient le prolongement naturel de la conformité. Selon la CNIL, le site doit adopter des mesures adaptées au risque : chiffrement, contrôle d’accès, mises à jour et sauvegardes vérifiées.

Un site web qui fonctionne bien mais qui laisse un mot de passe faible ou un back-office ouvert à plusieurs profils perd vite en fiabilité. La vie privée dépend alors autant des réglages techniques que des habitudes de l’équipe.

Le point décisif reste la régularité, parce qu’une conformité figée vieillit mal. Une société qui révise ses accès, ses durées et ses prestataires au fil des usages garde une avance réelle sur les demandes et les incidents.

Mesures techniques et gestion des incidents

Cette partie relie directement la documentation aux gestes concrets du quotidien. Un mot de passe robuste, une authentification renforcée et des sauvegardes testées forment déjà une base sérieuse.

Mesures de sécurité utiles :

• HTTPS généralisé sur toutes les pages
• Accès restreints selon les fonctions
• Mises à jour rapides des extensions
• Chiffrement des données sensibles

Lorsqu’une fuite survient, la réaction compte autant que la prévention. La notification à la CNIL sous 72 heures, puis l’information des personnes concernées si le risque est élevé, structurent la réponse attendue.

« J’ai compris qu’un registre à jour m’évitait surtout des oublis embarrassants. »

Claire M.

« Le jour où nous avons revu nos cookies, les demandes clients sont devenues plus simples à traiter. »

Julien R.

« Un formulaire plus sobre inspire plus de confiance qu’une page trop bavarde. »

Sophie T.

« La meilleure conformité reste celle que l’équipe comprend sans effort. »

Marc L.

Source : CNIL, « Cookies et autres traceurs », CNIL ; CNIL, « Le registre des activités de traitement », CNIL ; CNIL, « Violations de données personnelles : que faire », CNIL.