RGPD site internet : la conformité d'une TPE en clair

Le RGPD s’applique au site d’une TPE dès qu’un visiteur y laisse une trace : formulaire, cookie, statistique de fréquentation. Cinq chantiers couvrent l’essentiel : mentions légales, politique de confidentialité, bandeau de consentement, formulaires minimisés et registre des traitements. Comptez deux journées de travail, pas un budget de grand groupe.

Ce que le RGPD exige du site d’une TPE

Le règlement européen ne regarde ni la taille ni le chiffre d’affaires, mais le traitement de données personnelles. Un site en produit dès la première visite : adresse IP, identifiant de session, adresse e-mail saisie dans un formulaire. Le baromètre France Num 2025, réalisé par le Crédoc pour la Direction générale des entreprises auprès de 11 021 répondants, mesure que 65 % des TPE et PME disposent d’un site internet. Autant de responsables de traitement, souvent sans le savoir.

Le risque, lui, a changé d’échelle. La CNIL a enregistré 20 150 plaintes en 2025, mené 323 contrôles et prononcé 83 sanctions pour près de 487 millions d’euros, contre 55,2 millions l’année précédente. Les cookies arrivent en tête des motifs, devant la surveillance des salariés et la sécurité des données. L’article 83 du règlement fixe deux plafonds : 10 millions d’euros ou 2 % du chiffre d’affaires mondial, 20 millions ou 4 % pour les manquements les plus sérieux.

Trois textes qui ne disent pas la même chose

• Le RGPD, applicable depuis mai 2018, encadre la collecte et l’usage des données personnelles : base légale, information, droits des personnes, sécurité
• L’article 82 de la loi Informatique et Libertés, issu de la directive ePrivacy, régit les cookies et traceurs, y compris ceux qui ne traitent aucune donnée personnelle
• La loi pour la confiance dans l’économie numérique impose l’identification de l’éditeur et de l’hébergeur, sans lien avec les données personnelles

Ces trois régimes se contrôlent et se sanctionnent séparément. Un site peut afficher une politique de confidentialité irréprochable et rester en faute sur son bandeau de consentement.

Mentions légales et politique de confidentialité : deux documents distincts

La confusion revient constamment : un seul fichier en pied de page, censé tout couvrir. Les deux documents relèvent pourtant de deux lois distinctes.

La loi pour la confiance dans l’économie numérique impose des mentions légales complètes, qui disent qui édite le site et qui l’héberge :

• Dénomination ou raison sociale, forme juridique, adresse du siège, montant du capital social
• Numéro d’inscription au registre du commerce et des sociétés ou au répertoire des métiers
• Numéro de TVA intracommunautaire pour les assujettis
• Nom du directeur de la publication
• Dénomination, adresse et numéro de téléphone de l’hébergeur
• Pour une profession réglementée, l’ordre de rattachement et le titre professionnel

L’omission n’a rien d’anodin : le texte la punit d’un an d’emprisonnement et de 75 000 euros d’amende pour une personne physique, montant porté à 375 000 euros pour une personne morale.

Ce qu’une politique de confidentialité doit contenir

L’article 13 du RGPD commande, lui, la politique de confidentialité. Elle décrit ce que vous faites réellement des données, pas ce que raconte un modèle téléchargé.

• L’identité et les coordonnées du responsable de traitement, celles du délégué à la protection des données s’il existe
• Chaque finalité poursuivie et sa base légale : consentement, contrat, obligation légale ou intérêt légitime
• Les catégories de données collectées et les destinataires réels, prestataires compris
• La durée de conservation par finalité, ou les critères qui la déterminent
• Les droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité
• Le droit d’introduire une réclamation auprès de la CNIL
• L’existence de transferts hors Union européenne et les garanties qui les encadrent

Une demande d’exercice de droit se traite en un mois, prolongeable de deux mois pour les dossiers complexes : désignez l’adresse qui les recevra avant d’en recevoir une.

Le bandeau cookies, premier motif de sanction

Le 3 septembre 2025, dans le cadre de son plan d’action sur les traceurs, la CNIL a prononcé 325 millions d’euros contre Google et 150 millions contre Shein. Les montants visent des acteurs mondiaux, les règles s’appliquent au site de trois pages d’un artisan. Elles tiennent dans les lignes directrices du 17 septembre 2020.

• Aucun traceur non essentiel déposé avant l’action de la personne
• Un bouton de refus aussi visible et aussi accessible que le bouton d’acceptation, dès le premier niveau
• Une information sur chaque finalité avant le choix : mesure d’audience, publicité, réseaux sociaux
• Un retrait du consentement aussi simple que son recueil
• Une durée de vie des traceurs de treize mois au maximum, des choix conservés autour de six mois, les refus re-sollicités au même rythme

Le piège classique tient au chargement des scripts. Une balise statistique ou une vidéo intégrée se déclenche souvent avant le clic sur le bandeau cookies, qui devient décoratif : le manquement reste entier. La vérification prend cinq minutes, page ouverte en navigation privée, requêtes sortantes sous les yeux.

La mesure d’audience qui échappe au consentement

La délibération n° 2020-091 du 17 septembre 2020 ouvre une exemption pour la statistique de fréquentation, à quatre conditions cumulatives.

• Finalité strictement limitée à la mesure d’audience du site, pour le seul compte de l’éditeur
• Statistiques anonymes, sans recoupement avec d’autres traitements ni suivi de navigation entre plusieurs sites
• Durée de vie du traceur limitée à treize mois, données brutes conservées vingt-cinq mois au maximum
• Information des visiteurs maintenue et droit d’opposition ouvert

Le site qui s’en tient à une mesure d’audience exemptée se dispense de bandeau, si aucun autre traceur n’en impose un. Pour un site vitrine sans publicité ni bouton de partage, la conformité devient un problème de paramétrage, pas de développement.

Formulaires : ne demander que ce qui sert

Chaque champ doit servir la finalité annoncée. Une demande de devis a besoin d’un nom, d’un moyen de contact et d’une description du besoin. La date de naissance, le téléphone obligatoire ou la civilité relèvent du confort commercial. Le principe de minimisation les écarte.

Sous le formulaire, une mention courte suffit, si elle couvre cinq points :

• Qui traite les données et dans quel but
• La base légale, avec les champs obligatoires distingués des champs facultatifs
• La durée de conservation retenue
• Le renvoi vers la politique de confidentialité pour le détail
• L’adresse qui reçoit les demandes d’accès et de suppression

Le consentement, lui, ne se déduit jamais d’une case pré-cochée. La Cour de justice de l’Union européenne l’a jugé le 1er octobre 2019 dans l’affaire Planet49, et la CNIL applique cette lecture sans exception : la case arrive vide, la personne la coche.

Autre point : un formulaire de contact ne vaut pas inscription à une lettre d’information. Deux finalités, deux cases, deux durées de conservation. Cette confusion figure parmi les manquements les plus simples à démontrer lors d’un contrôle, et parmi les erreurs les plus fréquentes dans les campagnes d’email marketing des petites entreprises.

Pour un prospect, la CNIL retient trois ans à compter du dernier contact émanant de la personne. Un clic sur un lien compte comme contact, l’ouverture d’un e-mail non.

Registre des traitements et durées de conservation

L’article 30 du RGPD impose un registre des traitements. La dérogation prévue pour les organismes de moins de 250 salariés ne joue que si les traitements sont occasionnels, sans donnée sensible et sans risque pour les personnes. Une base clients, une paie et un formulaire en ligne suffisent à l’écarter, et la CNIL recommande ce registre à toutes les structures quelle que soit leur taille.

Une ligne de registre, six colonnes

• La finalité : gestion des demandes de contact, envoi de la lettre d’information, mesure d’audience, recrutement
• La base légale retenue pour cette finalité
• Les catégories de personnes et de données concernées
• Les destinataires internes et les prestataires qui y accèdent
• La durée de conservation, puis le sort de la donnée : suppression ou archivage
• Les mesures de sécurité en place

Un tableur suffit : un site vitrine tient en quatre à six lignes. L’exercice révèle presque toujours un traitement oublié : les candidatures spontanées, la liste de diffusion héritée d’un ancien salarié. Le registre dit aussi qui accède à quoi dans votre outil de gestion de la relation client, là où se concentrent les données les plus exposées d’une TPE.

Chaque finalité porte ensuite ses propres durées de conservation : trois ans après le dernier contact pour un prospect, la durée de la relation contractuelle augmentée des délais légaux pour un client, vingt-cinq mois pour les données brutes de mesure d’audience, six mois à un an pour les journaux de connexion selon la recommandation de la CNIL sur la journalisation publiée en novembre 2021.

Hébergement, sous-traitants et transferts hors Europe

Votre hébergeur, votre agence, votre outil d’emailing et votre solution de formulaire sont des sous-traitants au sens de l’article 28. Chacun réclame un contrat écrit qui fixe l’objet, la durée, la nature du traitement, les mesures de sécurité, les conditions de recours à un sous-traitant ultérieur et le sort des données à la fin de la relation.

À vérifier avant de signer, ou à réclamer si le contrat date :

• La localisation des serveurs et des sauvegardes
• L’existence d’un accord de traitement daté et accessible
• La procédure de notification en cas de violation, et son délai
• La liste des sous-traitants ultérieurs et vos droits d’opposition
• L’effacement ou la restitution des données en fin de contrat

Un service hébergé hors de l’Union européenne n’est pas interdit, il est encadré. La Commission européenne a adopté le 10 juillet 2023 une décision d’adéquation pour le cadre EU-US Data Privacy Framework : un transfert vers une organisation américaine certifiée s’y appuie. Hors de ce cadre et des pays reconnus adéquats, restent les clauses contractuelles types de la décision d’exécution 2021/914 du 4 juin 2021, doublées d’une analyse du droit local. Ces arbitrages se posent dès le choix du nom de domaine et de l’hébergement.

La sécurité, elle, relève de l’article 32 : HTTPS sur l’ensemble des pages, mots de passe robustes sur l’administration, mise à jour du gestionnaire de contenu et de ses extensions, sauvegardes testées. En cas de fuite, la notification à la CNIL intervient sous 72 heures. L’autorité a reçu 6 167 notifications de violation en 2025, et un incident sur deux relève d’un piratage. Ces réflexes recoupent les bonnes pratiques de cybersécurité en TPE-PME.

Deux journées de travail, réparties sur trois semaines

1. Inventaire : chaque point de collecte, formulaires, lettre d’information, statistiques, chat, carte, vidéo intégrée, bouton de partage, puis chaque outil tiers destinataire. La liste réelle dépasse presque toujours la liste supposée.
2. Documents : reprenez les mentions légales ligne à ligne, puis réécrivez la politique de confidentialité à partir de cet inventaire.
3. Consentement : configurez le bandeau, vérifiez qu’aucun traceur non essentiel ne se charge avant le choix, basculez la mesure d’audience en mode exempté si vos besoins s’y prêtent.
4. Formulaires : supprimez les champs inutiles, ajoutez la mention d’information, séparez le contact de la lettre d’information.
5. Preuves : remplissez le registre, écrivez les durées, rangez les contrats de vos prestataires au même endroit.

Le risque, pour une petite structure, ne prend pas la forme d’une amende à neuf chiffres. Il passe par la procédure simplifiée créée en 2022, plafonnée à 20 000 euros et non publiée sous le nom de l’organisme : 67 des 83 sanctions prononcées en 2025 ont emprunté cette voie. Les thématiques prioritaires annoncées pour 2026, recrutement, répertoire électoral unique et fédérations sportives, ne couvrent qu’un contrôle sur cinq : les autres répondent surtout aux plaintes.

Prochaine étape : bloquez une demi-journée et produisez l’inventaire des points de collecte. Cette liste devient votre feuille de route, et sa relecture annuelle, calée sur la maintenance du site internet, suffit à tenir la conformité dans la durée.