RGPD e-commerce : la checklist pour ta boutique en ligne

Une boutique en ligne, c'est une machine à collecter des données personnelles. À chaque commande, tu récupères un nom, une adresse email, une adresse de livraison, un historique d'achat, parfois un compte client et toujours un passage par le paiement. Multiplie par ton nombre de clients : tu gères un fichier qui ferait pâlir bien des PME « classiques ».

C'est exactement pour ça que les sites e-commerce sont dans le viseur de la CNIL. Et le risque n'est pas théorique : l'article 83 du RGPD prévoit jusqu'à 20 millions d'euros, ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

La bonne nouvelle, c'est qu'une boutique en ligne traite presque toujours les mêmes catégories de données, pour les mêmes raisons. Donc la conformité, c'est une liste finie. Voici la checklist concrète pour ta boutique, point par point.

Les données que ta boutique collecte vraiment

Avant toute chose, il faut cartographier. Tu ne peux pas être conforme sur des données dont tu ignores l'existence. Une boutique en ligne collecte typiquement quatre familles de données clients :

• Données de compte : email, mot de passe (haché), nom, parfois numéro de téléphone et préférences.
• Données de commande : produits achetés, montant, historique d'achat, factures.
• Données de livraison : adresse postale, nom du destinataire, instructions de livraison, parfois numéro de téléphone pour le transporteur.
• Données de paiement : ce qui transite vers ta solution de paiement (j'y reviens, car c'est un point sensible).

À ça s'ajoutent les données collectées même sans achat : inscriptions newsletter, paniers abandonnés (email saisi puis commande non finalisée), avis clients, et les données de navigation via les cookies et l'analytics.

Le réflexe à avoir : pour chaque champ que ton formulaire de commande demande, te poser la question « ai-je vraiment besoin de cette donnée ? ». C'est le principe de minimisation (article 5 du RGPD). Demander la date de naissance pour vendre un t-shirt, c'est une donnée de trop.

Une base légale pour chaque traitement

Voici le point que la plupart des boutiques zappent. Tu ne collectes pas des données « parce que c'est une boutique ». Chaque traitement doit reposer sur l'une des six bases légales de l'article 6 du RGPD. Pour un e-commerce, trois reviennent en permanence :

• L'exécution du contrat : c'est la base de la commande elle-même. Sans nom ni adresse, tu ne peux pas livrer. Donc pour les données de compte, de commande et de livraison strictement nécessaires à honorer l'achat, la base est le contrat. Pas besoin de consentement pour traiter l'adresse de livraison d'un client qui a commandé.
• L'obligation légale : la loi t'impose de conserver certaines données. Les factures se gardent 10 ans au titre des obligations comptables et fiscales. Tu n'as pas le choix, et tu n'as pas besoin de consentement.
• Le consentement : c'est la base pour tout ce qui sort de la commande. Newsletter, prospection commerciale, cookies publicitaires, ciblage marketing. Le consentement doit être libre, spécifique, éclairé, et retirable aussi facilement qu'il a été donné.

Une erreur fréquente et coûteuse : précocher la case newsletter au moment de la commande, ou considérer qu'un acheteur a « forcément » accepté de recevoir tes promos. Non. L'achat repose sur le contrat ; le marketing repose sur le consentement. Ce sont deux traitements distincts, avec deux bases différentes.

Petite nuance utile : tu peux envoyer de la prospection par email à un client existant pour des produits analogues à son achat (l'exception « soft opt-in » de la directive ePrivacy), à condition de lui avoir offert un refus simple au moment de la collecte et dans chaque email. Pour un prospect qui n'a jamais acheté, en revanche, le consentement explicite est obligatoire.

Consentement marketing : le découpler du tunnel de commande

Concrètement, sur ta boutique, ça veut dire séparer clairement deux choses :

• La validation de la commande (le client accepte les CGV, c'est l'exécution du contrat).
• L'inscription à la newsletter ou l'acceptation de recevoir des offres (une case décochée par défaut, explicite, facultative).

Le client doit pouvoir finaliser son achat sans s'abonner à quoi que ce soit. Conditionner la livraison à l'acceptation du marketing rendrait le consentement non « libre », donc invalide. Et chaque email marketing doit contenir un lien de désinscription qui fonctionne en un clic.

Tes sous-traitants : le maillon qu'on oublie

Voici une réalité que beaucoup de marchands découvrent trop tard : tu n'es pas seul à traiter les données de tes clients. Chaque outil qui touche ces données pour ton compte est un sous-traitant au sens de l'article 28 du RGPD, et tu dois encadrer la relation par un contrat (un DPA, Data Processing Agreement).

Pour une boutique typique, les sous-traitants sont :

• La plateforme e-commerce : Shopify, WooCommerce (via ton hébergeur), PrestaShop, etc. C'est elle qui stocke ton catalogue clients et tes commandes.
• La solution de paiement : Stripe, PayPal, ou ton prestataire bancaire.
• Les transporteurs : Colissimo, Chronopost, Mondial Relay, DHL... à qui tu transmets nom, adresse et parfois téléphone pour livrer.
• L'outil d'emailing : Mailchimp, Brevo, Klaviyo, pour la newsletter et les emails transactionnels.
• Les outils d'analytics et de marketing : Google Analytics, Meta Pixel, outils de reciblage.

Pour chacun, trois obligations : signer un contrat de sous-traitance, vérifier les garanties de sécurité offertes, et les mentionner dans ta politique de confidentialité comme destinataires des données.

Attention au cas Shopify : la conformité RGPD de Shopify ne te dispense de rien. Shopify te fournit une infrastructure et un DPA, mais c'est toi, en tant que marchand, qui restes responsable de traitement. C'est à toi de configurer le bandeau cookies, de rédiger ta politique, de gérer les durées et de répondre aux demandes des clients. Une plateforme « conforme » n'a jamais rendu une boutique conforme automatiquement.

Transferts hors UE : où partent les données de tes clients ?

Beaucoup de ces outils sont américains (Shopify, Stripe, Mailchimp, Google, Meta). Dès que tu les utilises, les données de tes clients peuvent sortir de l'Union européenne.

Or ce transfert n'est autorisé que si le pays de destination garantit un niveau de protection adéquat. Deux mécanismes le permettent :

• Le Data Privacy Framework (DPF) : depuis 2023, les entreprises américaines certifiées DPF offrent un cadre reconnu adéquat par la Commission européenne. Vérifie que ton prestataire figure bien sur la liste.
• Les Clauses Contractuelles Types (CCT) : un contrat-cadre validé par la Commission pour encadrer le transfert.

Le réflexe : pour chaque outil tiers, savoir où sont hébergées les données et sur quelle garantie repose le transfert, puis le documenter dans ta politique de confidentialité.

Durées de conservation : rien n'est gardé « pour toujours »

Le principe de limitation de la conservation (article 5) interdit de garder les données indéfiniment. Tu dois définir une durée par catégorie, puis purger. Quelques repères couramment admis pour un e-commerce :

• Compte client actif : pendant toute la durée de la relation commerciale.
• Client inactif : suppression ou anonymisation après 3 ans sans achat ni interaction.
• Données de facturation : 10 ans (obligation comptable).
• Prospect / inscrit newsletter non client : 3 ans après le dernier contact.
• Données de carte bancaire : tu ne les conserves pas toi-même (voir section suivante). Le cryptogramme visuel ne doit jamais être stocké.
• Cookies de mesure d'audience : 13 mois maximum pour les traceurs.

L'important n'est pas de retenir chaque durée par cœur, mais de les écrire dans ta politique et de t'y tenir. Une base clients qui grossit sans jamais purger les inactifs est une non-conformité directe.

Sécurité des données de paiement : la règle d'or

C'est le point le plus sensible d'une boutique, et le plus simple à mettre en règle : ne stocke jamais les données de carte bancaire toi-même.

Le bon réflexe est de déléguer tout le paiement à un prestataire certifié PCI-DSS (Stripe, PayPal, ton établissement bancaire). Concrètement, le numéro de carte de ton client est saisi sur l'interface du prestataire de paiement, jamais sur ton serveur. Tu ne reçois qu'un token ou une confirmation de transaction. Résultat : même en cas de piratage de ta boutique, aucune donnée bancaire n'est exposée, parce qu'elle n'y est pas.

À cela s'ajoutent les mesures de sécurité de base attendues par l'article 32 du RGPD :

• HTTPS sur tout le site, pas seulement la page de paiement.
• Mots de passe des comptes clients hachés, jamais en clair.
• Accès restreints à l'administration (comptes nominatifs, double authentification).
• Mises à jour régulières de ta plateforme et de tes extensions.
• Une procédure pour notifier la CNIL sous 72 heures en cas de violation de données (article 33).

Les cookies du tunnel de commande

Un tunnel de commande mélange deux types de cookies, et il faut savoir les distinguer :

• Les cookies strictement nécessaires : le panier, la session, la sécurité du paiement, la langue. Ceux-là ne demandent pas de consentement, car ils sont indispensables au service que le client a demandé.
• Les cookies non essentiels : analytics, reciblage publicitaire (Meta Pixel, Google Ads), tests A/B. Ceux-là exigent un consentement préalable, recueilli via un bandeau où refuser est aussi simple qu'accepter.

Le piège classique de l'e-commerce : déclencher le pixel publicitaire ou le reciblage panier abandonné dès l'arrivée sur le site, avant tout consentement. C'est précisément le type de manquement que la CNIL sanctionne. Tes cookies marketing ne doivent se déclencher qu'après un « oui » explicite du visiteur.

Les droits de tes clients : ils doivent pouvoir agir

Le RGPD donne à tes clients des droits concrets (articles 15 à 22) que ta boutique doit rendre exerçables, simplement, en général via une adresse de contact dédiée du type privacy@taboutique.com visible dans ta politique :

• Droit d'accès : obtenir une copie des données que tu détiens (compte, historique de commandes).
• Droit de rectification : corriger une adresse ou un nom erroné.
• Droit à l'effacement : supprimer un compte. Attention : tu peux refuser d'effacer les factures, conservées au titre de l'obligation légale de 10 ans.
• Droit d'opposition : se désinscrire de la prospection.
• Droit à la portabilité : récupérer ses données dans un format réutilisable.

Tu as un mois pour répondre (délai prolongeable en cas de complexité). Il te faut donc un process : qui reçoit la demande, qui exporte ou supprime, qui répond.

Le registre des traitements : obligatoire pour ta boutique

Beaucoup pensent que le registre des activités de traitement (article 30) ne concerne que les grandes entreprises. Faux. L'exemption pour les organismes de moins de 250 salariés ne s'applique que si les traitements sont occasionnels, sans risque et sans données sensibles.

Or une boutique en ligne traite des données clients en continu : commandes, comptes, newsletter, fichier de prospects. Ses traitements sont réguliers, donc le registre devient obligatoire. C'est un document (un tableur suffit) qui liste, pour chaque traitement, la finalité, les catégories de données, les destinataires, les durées et les mesures de sécurité. C'est le premier document que la CNIL réclamera en cas de contrôle.

La checklist RGPD de ta boutique en ligne

Pour savoir où tu en es, voici la liste à cocher :

• Cartographier toutes les données collectées (compte, commande, livraison, paiement, newsletter, paniers abandonnés, analytics).
• Appliquer la minimisation : ne demander que les champs nécessaires.
• Associer une base légale à chaque traitement (contrat, obligation légale, consentement).
• Découpler l'inscription newsletter de la validation de commande (case décochée par défaut).
• Lister tes sous-traitants et signer un DPA avec chacun (plateforme, paiement, transporteurs, emailing).
• Recenser les transferts hors UE et vérifier leurs garanties (DPF ou CCT).
• Définir et appliquer des durées de conservation (dont 10 ans pour les factures).
• Ne jamais stocker les données de carte bancaire ; déléguer à un prestataire certifié PCI-DSS.
• Sécuriser la boutique (HTTPS, mots de passe hachés, accès restreints, mises à jour).
• Configurer un bandeau cookies conforme (refus aussi simple que l'acceptation, pas de pixel avant consentement).
• Prévoir un canal pour les droits des clients (email dédié, réponse sous un mois).
• Tenir un registre des traitements à jour.
• Publier une politique de confidentialité qui reflète tes vrais outils et tes vraies durées.

Si cette liste te donne le vertige, c'est normal : la difficulté n'est pas chaque point isolé, mais de savoir où tu en es sur l'ensemble. L'analyse gratuite de Lumiq scanne ta boutique en 30 secondes, te donne un score de conformité et génère une politique de confidentialité conforme à ce que ton site fait vraiment, sans avocat.

Questions fréquentes

Une boutique Shopify est-elle automatiquement conforme au RGPD ?

Non. Shopify fournit une infrastructure et un contrat de sous-traitance, mais c'est toi, le marchand, qui restes responsable de traitement. La conformité RGPD de Shopify ne couvre pas la configuration de ton bandeau cookies, ta politique de confidentialité, tes durées de conservation ni la réponse aux demandes de tes clients. Une plateforme conforme n'a jamais rendu une boutique conforme automatiquement.

Puis-je inscrire mes acheteurs à ma newsletter par défaut ?

Non. L'achat repose sur l'exécution du contrat ; le marketing repose sur le consentement, qui doit être libre et explicite. Précocher la case newsletter au moment de la commande n'est pas valable. Seule exception : tu peux envoyer des offres pour des produits analogues à un client existant (« soft opt-in »), s'il a pu refuser facilement dès la collecte et dans chaque email.

Dois-je conserver les données de carte bancaire de mes clients ?

Surtout pas. La bonne pratique est de déléguer tout le paiement à un prestataire certifié PCI-DSS (Stripe, PayPal, ta banque). Le numéro de carte est saisi sur l'interface du prestataire, jamais stocké sur ta boutique. Le cryptogramme visuel ne doit jamais être conservé. Ainsi, même en cas de piratage de ton site, aucune donnée bancaire n'est exposée.

Combien de temps dois-je garder les données de mes clients e-commerce ?

Cela dépend de la catégorie : les factures se conservent 10 ans (obligation comptable), un client inactif est généralement supprimé ou anonymisé après 3 ans sans achat, et un prospect newsletter non client après 3 ans sans contact. L'essentiel est de fixer une durée pour chaque catégorie, de l'écrire dans ta politique de confidentialité et de purger réellement les données échues.