RGPD et site internet : les obligations

Votre site est-il concerné par le RGPD ?

Presque certainement. Le RGPD, règlement général sur la protection des données, s'applique à toute organisation qui traite des données personnelles de personnes situées dans l'Union européenne, quelle que soit sa taille. Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou indirectement.

Sur un site, cela recouvre bien plus de choses qu'on ne l'imagine :

• les nom, e-mail et téléphone saisis dans un formulaire de contact ou de devis ;
• les inscriptions à une newsletter ;
• les comptes clients et l'historique des commandes d'une boutique ;
• les rendez-vous pris en ligne ;
• les adresses IP et identifiants collectés par certains outils de mesure d'audience ou de publicité.

Un site vitrine sans formulaire ni outil de suivi collecte peu de choses, mais rarement rien. L'hébergeur enregistre par exemple des journaux techniques qui contiennent des adresses IP. Mieux vaut donc partir du principe que vous êtes concerné et faire le point.

Cet article présente les principes généraux. Il ne remplace pas un conseil adapté à votre situation : pour valider votre conformité, faites appel à un juriste, un avocat ou un délégué à la protection des données.

Quels sont les grands principes à respecter ?

Le RGPD repose sur quelques principes simples, que l'on peut traduire en questions pratiques pour chaque donnée collectée par votre site. Si vous savez répondre à chacune, vous êtes sur la bonne voie.

1. Pourquoi je collecte cette donnée ? Chaque collecte doit avoir un objectif précis et légitime, par exemple répondre à une demande de devis.
2. Sur quelle base légale ? Le texte prévoit plusieurs fondements : le consentement de la personne, l'exécution d'un contrat, une obligation légale ou votre intérêt légitime, notamment. Il faut en identifier un pour chaque usage.
3. Ai-je vraiment besoin de tout ça ? C'est le principe de minimisation : ne demander que ce qui est utile. Un formulaire de contact n'a pas besoin de la date de naissance.
4. Combien de temps je la garde ? Les données ne doivent pas être conservées indéfiniment. On fixe une durée cohérente avec l'objectif, puis on supprime ou on archive.
5. Qui y a accès et comment est-elle protégée ? Les données doivent être sécurisées et accessibles aux seules personnes qui en ont besoin.

Comment informer les visiteurs de votre site ?

Par une politique de confidentialité, une page accessible depuis tout le site, souvent dans le pied de page. Elle explique en langage clair quelles données vous collectez, pourquoi, sur quelle base, combien de temps vous les gardez, à qui vous les transmettez et comment exercer ses droits.

Cette page ne doit pas être un copier-coller d'un modèle trouvé en ligne. Elle doit décrire ce que fait réellement votre site : si vous utilisez un outil de prise de rendez-vous, une newsletter ou un outil de statistiques, ils doivent y figurer. Une politique générique qui ne correspond pas à la réalité ne vous protège pas.

Une information courte doit aussi apparaître au moment de la collecte, par exemple sous le formulaire : une phrase qui résume l'usage des données et renvoie vers la politique complète. Ne la confondez pas avec les mentions légales, qui présentent l'éditeur du site et sont une obligation distincte.

Quels droits les personnes peuvent-elles exercer ?

Toute personne dont vous traitez les données peut vous demander d'y accéder, de les corriger ou de les effacer, et dans certains cas de s'opposer à leur utilisation ou de les récupérer dans un format réutilisable. Vous devez lui répondre dans un délai raisonnable fixé par le texte.

En pratique, il faut prévoir un moyen simple de vous contacter pour ces demandes, une adresse e-mail dédiée par exemple, et savoir où se trouvent les données pour pouvoir y répondre. Si votre site envoie les demandes de devis dans votre messagerie, dans un tableur et dans un outil de gestion commerciale, ce sont trois endroits à traiter.

Pour les e-mails commerciaux, la règle de base est connue : chaque message doit contenir un moyen simple de se désinscrire, et la désinscription doit être prise en compte.

Et les outils tiers branchés sur votre site ?

Chaque outil externe qui reçoit des données de vos visiteurs est un sous-traitant au sens du RGPD : hébergeur, service d'envoi de newsletter, outil de réservation, solution de paiement, outil de gestion de la relation client. Vous restez responsable du choix de ces partenaires.

Vérifiez pour chacun qu'il propose des garanties sérieuses, en général sous forme d'un accord de traitement des données dans ses conditions. Renseignez-vous aussi sur le lieu où les données sont stockées : les transferts hors de l'Union européenne sont encadrés et demandent des garanties particulières.

Les outils de mesure d'audience et de publicité posent une question supplémentaire, celle des cookies et du consentement. Elle est traitée dans l'article bandeau cookies : quand est-il obligatoire.

Que faut-il documenter en interne ?

Le RGPD demande de pouvoir démontrer votre conformité, pas seulement de la respecter. Pour une TPE, l'outil central est le registre des traitements : un document qui liste chaque usage de données personnelles, son objectif, les données concernées, la durée de conservation et les destinataires.

La CNIL, l'autorité française de protection des données, met à disposition sur son site des guides et un modèle de registre simplifié pensé pour les petites structures. C'est un bon point de départ, à compléter avec l'aide d'un professionnel si vos traitements sont nombreux ou sensibles.

Gardez aussi une trace de vos choix : pourquoi telle durée de conservation, quels sous-traitants, quelles mesures de sécurité. En cas de contrôle ou de réclamation, c'est cette documentation qui montre votre bonne foi. Le non-respect du RGPD peut entraîner des sanctions, et ces sanctions s'appliquent aussi aux petites entreprises.

Comment intégrer le RGPD dès la création du site ?

Le plus simple est d'y penser avant la mise en ligne, pas après. Au moment de concevoir le site, listez chaque endroit où une donnée entre : formulaires, inscription, prise de rendez-vous, paiement, outils de statistiques. Pour chacun, notez l'objectif, les champs vraiment utiles et l'outil qui recevra les données.

Cette liste sert ensuite de base à votre registre et à votre politique de confidentialité, que vous ferez valider par un professionnel. Elle évite aussi d'ajouter des champs inutiles par réflexe. Un formulaire de devis bien pensé demande souvent trois ou quatre informations, pas dix, ce qui améliore d'ailleurs le taux de réponse.

Chez OSEOO, nous ne sommes pas juristes et ne délivrons pas d'avis de conformité. Le code, le nom de domaine et les accès de votre site vous appartiennent, ce qui vous permet de savoir précisément où se trouve chaque élément. Pour en parler avant de lancer votre projet de création de site, l'appel découverte est gratuit via la page contact.