RGPD pour un site web : êtes-vous en règle ? (guide 2026)

Tu reçois un email de la CNIL. Objet : « Demande de précisions concernant le traitement de données personnelles ». Pas une amende. Juste une question. Mais tu réalises d'un coup que tu n'as aucune idée de ce que ton site collecte, où ça part, ni comment tu le justifies juridiquement.

Ce scénario n'a rien d'exceptionnel. La CNIL a prononcé plus de 80 sanctions en 2024, dont une bonne partie contre des petites structures et des sites e-commerce. Et le plafond fait réfléchir : jusqu'à 20 millions d'euros, ou 4 % du chiffre d'affaires annuel mondial (article 83 du RGPD), le montant le plus élevé étant retenu.

La bonne nouvelle : la conformité RGPD d'un site, ce n'est pas un mur infranchissable. C'est une liste finie de choses à faire. Dans ce guide, je te montre exactement quand le RGPD s'applique à ton site, ce que tu dois mettre en place, et comment vérifier que tu es en règle.

Le RGPD s'applique à ton site dès la première donnée

Première erreur classique : croire que le RGPD ne concerne que les grosses boîtes ou les sites qui « vendent des données ».

Faux. Le Règlement Général sur la Protection des Données s'applique dès que tu traites une seule donnée personnelle. Et une donnée personnelle, c'est toute information qui permet d'identifier une personne, directement ou indirectement.

Concrètement, ton site est concerné si tu as au moins un de ces éléments :

• Un formulaire de contact (nom, email, message).
• Une inscription à une newsletter.
• Des comptes utilisateurs ou un espace membre.
• Un outil d'analytics (Google Analytics, Matomo, Plausible...).
• Des cookies publicitaires ou de mesure d'audience.
• Un tunnel de commande e-commerce (adresse de livraison, paiement).
• De simples logs serveur qui enregistrent les adresses IP.

Autrement dit : 99 % des sites web sont concernés. Même un blog vitrine avec un formulaire de contact traite des données personnelles.

Et le RGPD s'applique à toi même si ton entreprise est hors d'Europe, dès lors que tu cibles des personnes situées dans l'UE (article 3). Avoir un site en français qui livre en France suffit largement.

La politique de confidentialité : la pièce maîtresse

C'est le document que la CNIL regarde en premier. La politique de confidentialité (ou politique de protection des données) doit informer clairement les visiteurs de ce que tu fais de leurs données. C'est l'application directe des articles 13 et 14 du RGPD.

Une politique de confidentialité conforme doit contenir, au minimum :

• L'identité du responsable de traitement : qui collecte les données (ton entreprise, ses coordonnées).
• Les finalités : pourquoi tu collectes (gérer les commandes, répondre aux demandes, envoyer la newsletter...).
• La base légale de chaque traitement (j'y reviens juste après).
• Les destinataires des données : tes sous-traitants (hébergeur, outil d'emailing, solution de paiement, analytics).
• Les durées de conservation de chaque catégorie de données.
• Les transferts hors UE éventuels et les garanties associées.
• Les droits des personnes et comment les exercer.
• La possibilité de réclamer auprès de la CNIL.

Un point qui coince souvent : une politique de confidentialité copiée-collée depuis un autre site n'est presque jamais conforme. Elle ne reflète ni tes vrais outils, ni tes vraies finalités, ni tes vraies durées. En cas de contrôle, c'est immédiatement repéré.

C'est exactement ce que Lumiq automatise : l'analyse gratuite scanne ton site en 30 secondes, repère les traitements réels (formulaires, analytics, cookies) et génère une politique de confidentialité conforme adaptée à ce que ton site fait vraiment.

Les bases légales : tu dois justifier chaque traitement

Voici le point que la plupart des sites zappent. Tu ne peux pas collecter des données « parce que c'est pratique ». Chaque traitement doit reposer sur l'une des six bases légales de l'article 6 du RGPD. En pratique, pour un site web, quatre reviennent tout le temps :

• Le consentement : la personne a dit oui de façon libre, spécifique et éclairée. C'est la base pour la newsletter, les cookies publicitaires, le marketing. Le consentement doit pouvoir être retiré aussi facilement qu'il a été donné.
• L'exécution d'un contrat : tu as besoin des données pour fournir un service. C'est la base d'une commande e-commerce (sans adresse, pas de livraison) ou d'un compte client.
• L'obligation légale : la loi t'impose de conserver certaines données. Exemple : garder les factures 10 ans pour le fisc.
• L'intérêt légitime : un intérêt réel de ton entreprise qui ne porte pas une atteinte disproportionnée aux droits des personnes. Exemple : la sécurité de ton site, la prévention de la fraude. Cette base demande de documenter un « test de mise en balance ».

La règle d'or : pour chaque type de donnée, tu dois pouvoir dire sur quelle base tu t'appuies. Et attention, certaines bases ne se mélangent pas : tu ne peux pas envoyer de la prospection commerciale en t'appuyant sur l'« intérêt légitime » si la loi exige un consentement.

Les droits des personnes : ils doivent pouvoir agir

Le RGPD donne aux internautes des droits concrets sur leurs données (articles 15 à 22). Et ton site doit rendre leur exercice possible, simplement, en général via un email de contact dédié.

Les droits à connaître :

• Droit d'accès : la personne peut demander une copie des données que tu détiens sur elle.
• Droit de rectification : corriger des données inexactes.
• Droit à l'effacement (« droit à l'oubli ») : supprimer ses données quand il n'y a plus de raison de les garder.
• Droit d'opposition : refuser un traitement, notamment la prospection.
• Droit à la limitation : « geler » un traitement le temps d'une vérification.
• Droit à la portabilité : récupérer ses données dans un format réutilisable pour les transférer ailleurs.

Tu as un mois pour répondre à une demande (délai prolongeable en cas de complexité). En pratique, il te faut au minimum une adresse de contact dédiée (du type privacy@tonsite.com) bien visible dans ta politique de confidentialité, et un process interne pour traiter les demandes dans les temps.

Durées de conservation : rien n'est gardé « pour toujours »

Le principe de limitation de la conservation (article 5) interdit de garder les données indéfiniment. Tu dois définir une durée pour chaque catégorie, et purger après.

Quelques repères couramment admis :

• Prospect / newsletter : 3 ans après le dernier contact.
• Client : durée de la relation commerciale, puis archivage.
• Données de facturation : 10 ans (obligation comptable).
• Cookies de mesure d'audience : 13 mois maximum pour les traceurs.
• CV / candidatures non retenues : 2 ans après le dernier contact.

L'important n'est pas de connaître chaque durée par cœur, mais de les écrire dans ta politique et de t'y tenir. Une donnée conservée « au cas où », sans durée définie ni justification, est une non-conformité directe.

Transferts hors UE : où partent réellement tes données ?

C'est le point aveugle de presque tous les sites. Dès que tu utilises un outil américain (Google Analytics, Mailchimp, certains hébergements cloud, des pixels publicitaires), tes données peuvent sortir de l'Union européenne.

Or transférer des données hors UE n'est autorisé que si le pays de destination garantit un niveau de protection adéquat. Deux mécanismes principaux le permettent :

• Le Data Privacy Framework (DPF) : depuis 2023, les entreprises américaines certifiées DPF offrent un cadre reconnu adéquat par la Commission européenne. Vérifie que ton prestataire figure bien sur la liste.
• Les Clauses Contractuelles Types (CCT) : un contrat-cadre validé par la Commission qui encadre le transfert quand il n'y a pas de décision d'adéquation.

Le réflexe à avoir : pour chaque outil tiers, savoir où sont hébergées les données et sur quelle garantie repose le transfert. Et le mentionner dans ta politique de confidentialité.

Le registre des traitements : pas optionnel

Beaucoup pensent que le registre des activités de traitement (article 30) ne concerne que les grandes entreprises. C'est faux : il est obligatoire pour quasiment tout le monde.

L'exemption pour les organismes de moins de 250 salariés ne s'applique que si les traitements sont occasionnels, sans données sensibles et sans risque. Or, dès que tu as une newsletter régulière, un fichier clients ou des comptes utilisateurs, tes traitements sont réguliers : le registre devient obligatoire.

Concrètement, c'est un document (un tableur suffit) qui liste, pour chaque traitement : la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. C'est le premier document que la CNIL te demandera en cas de contrôle.

Le DPO : quand est-il obligatoire ?

Le Délégué à la Protection des Données (DPO) n'est obligatoire que dans trois cas (article 37) :

• Tu es un organisme public.
• Ton activité de base consiste en un suivi régulier et systématique à grande échelle des personnes (ex. : une plateforme qui traque massivement le comportement de millions d'utilisateurs).
• Tu traites à grande échelle des données sensibles (santé, opinions, données judiciaires).

Pour la grande majorité des sites e-commerce ou vitrines, le DPO n'est pas obligatoire. Mais désigner un référent RGPD en interne, même sans titre officiel, reste une excellente pratique : quelqu'un doit être responsable du sujet.

Checklist de mise en conformité RGPD

Pour savoir où tu en es, voici la liste à cocher :

• Cartographier tous les traitements de ton site (formulaires, comptes, analytics, cookies, logs).
• Tenir un registre des traitements à jour.
• Associer une base légale à chaque traitement.
• Publier une politique de confidentialité complète et à jour.
• Mettre en place un bandeau cookies conforme (consentement libre, refus aussi simple que l'acceptation).
• Définir et appliquer des durées de conservation.
• Recenser les transferts hors UE et vérifier leurs garanties (DPF ou CCT).
• Prévoir un canal pour les droits des personnes (email dédié, process de réponse sous un mois).
• Signer un contrat de sous-traitance (DPA) avec chaque prestataire qui traite des données pour toi.
• Sécuriser les données (HTTPS, accès restreints, mots de passe solides).
• Désigner un référent (et un DPO si tu es dans l'un des cas obligatoires).

Si cette liste te donne le vertige, c'est normal : la difficulté n'est pas chaque point pris isolément, mais de savoir où tu en es sur l'ensemble. L'analyse gratuite de Lumiq scanne ton site en 30 secondes, te donne un score de conformité et te génère les documents manquants, dont une politique de confidentialité conforme. Tu vois en un coup d'œil ce qui est en règle et ce qui ne l'est pas, sans avocat.

Questions fréquentes

Le RGPD s'applique-t-il à un simple site vitrine ?

Oui, dès qu'il traite la moindre donnée personnelle. Un formulaire de contact, un outil d'analytics ou même les logs serveur (qui enregistrent les adresses IP) suffisent à déclencher l'application du RGPD. Un site totalement statique, sans aucune collecte ni cookie tiers, est l'exception rare.

Quelle est l'amende maximale en cas de non-respect du RGPD ?

L'article 83 du RGPD prévoit jusqu'à 20 millions d'euros, ou 4 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. En pratique, la CNIL prononce des sanctions proportionnées, mais elle sanctionne aussi les petites structures, et peut commencer par une mise en demeure publique.

Politique de confidentialité et mentions légales, c'est pareil ?

Non, ce sont deux documents distincts. Les mentions légales identifient l'éditeur et l'hébergeur du site (obligation issue de la loi pour la confiance dans l'économie numérique). La politique de confidentialité porte spécifiquement sur le traitement des données personnelles (obligation RGPD). Un site conforme a besoin des deux.

Comment savoir rapidement si mon site est en règle ?

Le plus rapide est de faire scanner ton site par un outil dédié. L'analyse gratuite de Lumiq vérifie en 30 secondes la présence et la conformité de tes documents légaux (politique de confidentialité, mentions légales, gestion des cookies), te donne un score et te liste précisément ce qu'il manque pour être en règle.