RGPD et site internet : les obligations d’une petite entreprise

Quelques pages, un formulaire de contact, un outil de statistiques livré avec le thème : le site d’un artisan ou d’un commerçant semble inoffensif. Entre le RGPD et un site internet de petite entreprise, pourtant, les textes s’empilent : mentions légales, information des visiteurs, consentement aux cookies, contrats avec les prestataires. Chaque couche a son texte de référence, son emplacement et ses propres écueils, que l’on découvre trop souvent après la mise en ligne.

Un site vitrine ou marchand est-il soumis au RGPD ?

Oui, dès que le site collecte ou exploite une donnée se rapportant à une personne identifiable. La CNIL définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable » : un nom, une adresse mail, un numéro de téléphone, un identifiant, mais aussi le croisement de plusieurs informations.

Un formulaire de contact, une lettre d’information, un compte client ou une commande en ligne entrent dans ce cadre, comme les traceurs : selon entreprendre.service-public.gouv.fr, les obligations du RGPD s’appliquent dès que ces traceurs collectent des données personnelles.

La première étape consiste à lister ce que le site collecte, pourquoi, et par quel outil. Cet inventaire alimente le registre, la politique de confidentialité et le bandeau cookies. Il se refait après une refonte de site web.

Quelles mentions légales un site internet doit-il afficher ?

Tout site professionnel doit afficher en permanence l’identité de son éditeur et de son hébergeur, en application de la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN). Elles doivent rester accessibles, souvent dans le pied de page, et leur absence est assortie de sanctions pénales.

Statut de l’éditeur	Mentions à afficher
Entrepreneur individuel	Nom, adresse, téléphone, courriel, numéro d’immatriculation (RCS ou RNE) le cas échéant
Société	Dénomination, forme juridique, numéro d’identification, montant du capital, adresse du siège, téléphone
Tous les sites	Nom du directeur de la publication ; nom, raison sociale, adresse, SIRET et téléphone de l’hébergeur
Activité commerciale	Numéro de TVA intracommunautaire

L’hébergeur doit être indiqué même si l’hébergement est gratuit, et un éditeur qui héberge lui-même son site doit le mentionner. Le directeur de publication répond pénalement des contenus, et non leurs auteurs.

Côté sanctions, l’absence de ces informations est punie d’un an d’emprisonnement et de 75 000 € d’amende pour une personne physique, et jusqu’à 375 000 € pour une personne morale, avec une interdiction possible d’exercer certaines activités. Une activité réglementée impose des mentions en plus : l’avis d’un professionnel du droit s’impose pour ces cas.

Que doivent dire la politique de confidentialité et les formulaires ?

Chaque personne doit recevoir, au moment où ses données sont collectées, une information « concise, transparente, compréhensible et aisément accessible ». Pour un formulaire ou une commande, cette information est donnée à la saisie, et non après coup. La CNIL liste ce qu’elle doit toujours comporter :

• l’identité et les coordonnées du responsable du site ;
• les finalités du traitement et sa base légale ;
• les destinataires, sous-traitants compris ;
• la durée de conservation, ou les critères qui la fixent ;
• les droits des personnes et le droit de saisir la CNIL.

La CNIL recommande une information en couches : l’essentiel (qui collecte, pourquoi, quels droits) à côté du formulaire, avec un lien vers la politique de confidentialité complète. Un bloc de texte illisible sous un formulaire n’est pas jugé adéquat. La CNIL fournit des modèles de mentions d’information à adapter.

Les personnes disposent en outre de droits que le site doit leur permettre d’exercer : accès, rectification, opposition, effacement. Il faut leur expliquer comment les exercer et répondre dans un délai d’un mois.

Comment configurer une bannière cookies conforme ?

Une bannière conforme demande le consentement avant tout dépôt de cookie non essentiel et propose le refus aussi simplement que l’acceptation. Les règles reposent sur l’article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy, et sur les lignes directrices de la CNIL du 17 septembre 2020. Le consentement doit être libre, spécifique, éclairé et univoque, donné par une action positive. La simple poursuite de la navigation ne vaut pas consentement, et l’acceptation de conditions générales d’utilisation non plus.

La démarche se déroule en quatre étapes :

1. recenser tous les traceurs du site, avec leur origine (le site lui-même ou un service tiers intégré, comme un lecteur vidéo) et leur finalité ;
2. identifier ceux qui exigent un consentement (en principe les traceurs publicitaires) et ceux qui en sont dispensés ;
3. installer un bandeau qui permet d’accepter, de refuser ou de choisir les finalités, et qui ne dépose rien tant que l’internaute n’a pas répondu ;
4. ajouter un lien du type « Gérer mes cookies », accessible depuis toutes les pages, souvent en pied de page, pour modifier ou retirer le choix.

Le site doit aussi pouvoir prouver le consentement recueilli.

Faut-il un registre des traitements et un contrat avec ses prestataires ?

Oui dans la plupart des cas, car l’exemption pour les organismes de moins de 250 salariés est étroite. Ils doivent tout de même inscrire au registre les traitements non occasionnels, comme la gestion des clients ou la paie, ceux qui présentent un risque pour les droits des personnes et ceux qui portent sur des données sensibles. La CNIL juge cette exemption « limitée à des cas très particuliers » et recommande, dans le doute, d’inscrire le traitement.

Pour chaque traitement, le registre indique les finalités, les catégories de personnes et de données, les destinataires, les durées de conservation et les mesures de sécurité. Le format est libre, et la CNIL propose un modèle simplifié au format ODS. Le registre se met à jour à chaque changement.

Les prestataires qui traitent des données pour votre compte sont des sous-traitants : un hébergeur qui stocke la base clients, un outil d’emailing qui envoie vos messages (voir la campagne emailing). Un contrat écrit est obligatoire et reprend les mentions de l’article 28.3 du RGPD : objet, durée, nature et finalité du traitement, catégories de données et de personnes. Le prestataire ne peut recruter lui-même un autre sous-traitant que sur autorisation écrite du responsable de traitement.

Quelles sanctions et où placer chaque obligation ?

Le RGPD prévoit deux plafonds d’amende administrative, le montant le plus élevé s’appliquant à chaque fois. Le premier est de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83, paragraphe 4), notamment pour la sécurité. Le second est de 20 millions d’euros ou 4 % (article 83, paragraphes 5 et 6), notamment pour les principes de base du traitement, les conditions du consentement et les droits des personnes. Le niveau réel tient compte de la gravité, de la durée et du caractère délibéré du manquement.

Obligation	Où l’afficher ou la conserver	Texte de référence
Mentions légales	Page dédiée, lien permanent en pied de page	Loi du 21 juin 2004 (LCEN)
Information des personnes	Sous chaque formulaire, avec lien vers la politique de confidentialité	RGPD, articles 12 à 22 (droits des personnes)
Consentement aux cookies	Bandeau à la première visite, lien « Gérer mes cookies » sur toutes les pages	Article 82 de la loi Informatique et Libertés ; lignes directrices CNIL du 17 septembre 2020
Registre des traitements	Document interne, non publié	RGPD, article 30
Contrat de sous-traitance	Dossier interne, signé avec chaque prestataire	RGPD, article 28

Questions fréquentes

Un panier d’achat ou un compte client exigent-ils un consentement aux cookies ?

Non. Les cookies strictement nécessaires au service demandé sont dispensés de consentement : panier, facturation, authentification, mémorisation du choix sur les traceurs, répartition de charge. L’information des personnes reste néanmoins due dès que des données personnelles sont collectées.

La mesure d’audience nécessite-t-elle toujours un consentement ?

Non. Certains traceurs de mesure d’audience en sont dispensés, à condition de respecter des conditions précises. La CNIL publie une liste pour vérifier chaque cas.

Comment prouver que le consentement a bien été recueilli ?

Les méthodes admises par la CNIL sont les captures d’écran horodatées, les audits par un tiers et les journaux horodatés conservés par une plateforme de gestion du consentement.

Une adresse mail générique est-elle une donnée personnelle ?

En principe non : les coordonnées génériques d’une entreprise, comme une adresse de type contact@ suivie du nom de domaine, ne sont pas des données personnelles. Une adresse de la forme prenom.nom@ permet en revanche d’identifier une personne.

Que faire si un client demande l’accès à ses données ?

Le responsable du site doit répondre dans un délai d’un mois. Quand un prestataire stocke les données, les modalités de son aide se prévoient dès la signature du contrat.

Sources

Sources consultées le 24 octobre 2026, présentées sans liens cliquables.

• CNIL, « Donnée personnelle », cnil.fr. https://www.cnil.fr/fr/definition/donnee-personnelle
• Service-Public Entreprendre, « Gérer les cookies sur le site d’une entreprise » (fiche F31228), entreprendre.service-public.gouv.fr. https://entreprendre.service-public.gouv.fr/vosdroits/F31228
• Bpifrance Création, « Les mentions légales d’un site professionnel », bpifrance-creation.fr. https://bpifrance-creation.fr/encyclopedie/vendre-ligne/obligations-juridiques-reglementaires/mentions-legales-dun-site
• CNIL, « Conformité RGPD : information des personnes et transparence », cnil.fr. https://www.cnil.fr/fr/conformite-rgpd-information-des-personnes-et-transparence
• CNIL, « Respecter les droits des personnes », cnil.fr. https://www.cnil.fr/fr/respecter-les-droits-des-personnes
• CNIL, « Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles », juillet 2020. https://cnil.fr/fr/node/647
• CNIL, « Cookies et autres traceurs : que dit la loi ? », cnil.fr. https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/que-dit-la-loi
• CNIL, « RGPD : le registre des activités de traitement », cnil.fr. https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement
• CNIL, « Règlement européen sur la protection des données, chapitre VIII », article 83, cnil.fr. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8