Service associé Audit de site web gratuit SEO, vitesse et sécurité, rapport sous 48 h
Sommaire
- L’essentiel
- Qu’est-ce que le RGPD impose concrètement à un site web ?
- Comment gérer les cookies et le consentement selon la CNIL ?
- Que doit contenir une politique de confidentialité ?
- Comment rendre vos formulaires conformes ?
- Quelles mesures de sécurité le RGPD exige-t-il ?
- Comment répondre aux droits des personnes ?
- Quels points vérifier sur un site WordPress ?
- Quelles sanctions en cas de manquement ?
- Exemple réel : un RGPD traité en profondeur sur une landing page
- La checklist RGPD de votre site en 2026
- FAQ
- Votre site est-il vraiment en règle ?
Vous avez une bannière cookies, une page « Politique de confidentialité » copiée d’un modèle et un formulaire de contact. Vous pensez donc être tranquille. Puis vous ouvrez les outils de développement de votre navigateur et vous découvrez que Google Analytics, un pixel publicitaire et une police Google sont chargés avant même que le visiteur ait cliqué sur quoi que ce soit. C’est le scénario le plus courant que nous rencontrons en reprenant un site existant.
Un site web conforme au RGPD, c’est un site qui ne collecte que les données nécessaires, qui informe clairement le visiteur, qui recueille un consentement valable avant tout traceur non essentiel, qui protège ce qu’il stocke et qui permet à chacun d’exercer ses droits. Ces obligations s’appliquent à toutes les entreprises, des indépendants aux PME, dès la première adresse e-mail collectée.
Ce guide reprend les textes qui font foi (RGPD, loi Informatique et Libertés, lignes directrices de la CNIL sur les cookies), les traduit en actions concrètes sur un site, avec un focus sur WordPress, puis vous laisse une checklist à appliquer. Il ne remplace pas l’avis d’un juriste ou d’un avocat pour les traitements sensibles ou les cas particuliers.
L’essentiel
- Le RGPD s’applique à tout site qui collecte une donnée personnelle, y compris une simple adresse IP ou un e-mail de contact, quelle que soit la taille de l’entreprise.
- Aucun traceur non essentiel avant l’accord du visiteur, et refuser doit être aussi simple qu’accepter : c’est la ligne de la CNIL depuis ses lignes directrices et sa recommandation de septembre 2020.
- La politique de confidentialité doit reprendre les mentions de l’article 13 du RGPD : responsable, finalités, base légale, destinataires, durées, droits, réclamation auprès de la CNIL.
- Sécurité et conformité sont liées : l’article 32 exige des mesures adaptées et l’article 33 impose de notifier une violation de données à la CNIL dans les 72 heures.
- Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (article 83), et la CNIL dispose depuis 2022 d’une procédure simplifiée pour les manquements les moins graves.
Qu’est-ce que le RGPD impose concrètement à un site web ?
Le RGPD impose à un site de traiter les données personnelles de façon licite, transparente, limitée à ce qui est nécessaire et sécurisée. Le Règlement général sur la protection des données (règlement UE 2016/679), applicable depuis le 25 mai 2018, encadre toute collecte et tout traitement de données de personnes situées dans l’Union européenne.
Une donnée personnelle est toute information qui permet d’identifier une personne, directement ou indirectement : nom, e-mail, numéro client, mais aussi adresse IP ou identifiant de cookie. Un site vitrine en collecte donc presque toujours, ne serait-ce que par ses journaux serveur et son formulaire de contact.
Les six principes de l’article 5
Tout traitement doit respecter les principes posés par l’article 5 du RGPD :
| Principe | Ce que cela signifie sur votre site |
|---|---|
| Licéité, loyauté, transparence | Le visiteur sait ce que vous collectez et pourquoi, avant de le donner |
| Limitation des finalités | Une adresse donnée pour un devis ne sert pas d’office à une newsletter |
| Minimisation | Le formulaire ne demande que les champs utiles à la demande |
| Exactitude | Les données peuvent être corrigées |
| Limitation de la conservation | Chaque donnée a une durée de conservation définie |
| Intégrité et confidentialité | Les données sont protégées contre l’accès non autorisé et la perte |
Une base légale pour chaque traitement
L’article 6 exige que chaque traitement repose sur une base légale : consentement, exécution d’un contrat ou de mesures précontractuelles (répondre à une demande de devis), obligation légale, intérêt légitime, notamment. Le choix se documente traitement par traitement. Les cookies non essentiels, eux, relèvent obligatoirement du consentement, en vertu d’un texte spécifique que nous détaillons plus bas.
Le registre des traitements
L’article 30 prévoit la tenue d’un registre des activités de traitement. Les structures de moins de 250 salariés en sont partiellement dispensées, sauf pour les traitements non occasionnels, ce qui couvre en pratique la gestion des contacts et des clients. Concrètement, la plupart des PME doivent tenir un registre. La CNIL met à disposition un modèle gratuit sur son site. Pour un site, il recense au minimum :
- le type de données collectées (identité, e-mail, IP, navigation) ;
- la finalité de chaque collecte (contact, newsletter, statistiques) ;
- la base légale retenue ;
- la durée de conservation ;
- les destinataires et prestataires (hébergeur, outil d’e-mailing, CRM) ;
- les mesures de sécurité en place.
Comment gérer les cookies et le consentement selon la CNIL ?
Les cookies et traceurs non essentiels ne peuvent être déposés qu’après un consentement libre, spécifique, éclairé et univoque, et le refus doit être aussi simple que l’acceptation. Cette règle découle de l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy, et elle est précisée par les lignes directrices et la recommandation publiées par la CNIL en septembre 2020.
Ce qui exige un consentement, et ce qui en est exempté
| Type de traceur | Consentement requis ? |
|---|---|
| Cookie de session, panier, préférence de langue, cookie qui mémorise le choix cookies | Non, strictement nécessaire |
| Mesure d’audience configurée selon les conditions d’exemption de la CNIL | Non, si les conditions sont respectées |
| Google Analytics dans sa configuration standard | Oui |
| Pixels publicitaires (Meta, LinkedIn, Google Ads) | Oui |
| Vidéos YouTube, cartes, boutons de partage qui déposent des traceurs | Oui, ou chargement au clic |
La CNIL publie la liste des outils de mesure d’audience qui peuvent bénéficier de l’exemption lorsqu’ils sont correctement paramétrés. En dehors de ces cas, le traceur attend l’accord.
Les règles d’une bannière conforme
- Un bouton « Tout refuser » au même niveau que « Tout accepter », avec la même visibilité. C’est précisément ce que la CNIL a sanctionné chez Google et Facebook en décembre 2021.
- Aucun dépôt avant le choix : le traceur est bloqué techniquement, pas seulement mentionné.
- Des choix par finalité (statistiques, publicité, contenus tiers), sans case pré-cochée.
- La poursuite de la navigation ne vaut pas accord.
- Un moyen permanent de modifier son choix, par exemple un lien en pied de page ou une pastille.
- Une preuve du consentement conservée par l’outil.
Les durées recommandées
La CNIL recommande de conserver le choix du visiteur pendant 6 mois avant de le solliciter à nouveau, et préconise une durée de vie maximale de 13 mois pour les traceurs. Indiquez ces durées dans votre politique cookies.
Les outils de gestion du consentement
Axeptio, Cookiebot et tarteaucitron.js (solution libre et française) sont parmi les plus utilisés. Le critère qui compte n’est pas la marque, c’est le blocage effectif : après installation, ouvrez le site en navigation privée et vérifiez dans l’onglet réseau qu’aucune requête vers un service tiers ne part avant votre clic.
Que doit contenir une politique de confidentialité ?
Une politique de confidentialité doit fournir toutes les informations prévues par l’article 13 du RGPD, dans un langage clair, et être accessible depuis chaque page du site. Un modèle générique copié d’un autre site décrit rarement vos vrais traitements, ce qui revient à ne pas informer.
Les mentions obligatoires :
- l’identité et les coordonnées du responsable de traitement ;
- les coordonnées du délégué à la protection des données, s’il en existe un ;
- les finalités de chaque traitement et leur base légale ;
- l’intérêt légitime poursuivi, lorsque c’est la base retenue ;
- les destinataires ou catégories de destinataires (hébergeur, prestataires) ;
- les éventuels transferts hors Union européenne et les garanties associées ;
- la durée de conservation de chaque catégorie de données ;
- les droits des personnes et la manière de les exercer ;
- le droit d’introduire une réclamation auprès de la CNIL.
Politique de confidentialité et mentions légales : deux pages distinctes
Les mentions légales relèvent de la loi pour la confiance dans l’économie numérique (LCEN) : identité de l’éditeur, immatriculation, directeur de la publication, coordonnées de l’hébergeur. La politique de confidentialité relève du RGPD. Les deux sont obligatoires et se complètent. Pensez aussi à dater votre politique et à garder une trace des versions successives.
Le cas des professions réglementées
Pour un cabinet d’avocats ou d’expertise comptable, distinguez clairement les données collectées par le site (formulaire, statistiques), qui suivent les règles ci-dessus, de celles du dossier client, soumises au secret professionnel et aux durées de conservation propres à la profession. Votre ordre professionnel publie des recommandations sur ce point ; en cas de doute, faites valider la rédaction par un juriste.
Comment rendre vos formulaires conformes ?
Un formulaire conforme ne demande que les données nécessaires, indique à quoi elles serviront, renvoie vers la politique de confidentialité et ne présume jamais un consentement. Chaque formulaire du site (contact, devis, newsletter, rendez-vous, candidature) est un point de collecte à examiner.
- Minimisez les champs : pour une demande de contact, un nom, un e-mail et un message suffisent souvent. Le téléphone ou la société peuvent être facultatifs.
- Informez au plus près du bouton d’envoi : une phrase courte sur la finalité, la durée de conservation et un lien vers la politique de confidentialité.
- Ne pré-cochez jamais une case de consentement. La Cour de justice de l’Union européenne l’a confirmé dans son arrêt Planet49 du 1er octobre 2019.
- Séparez les finalités : répondre à une demande ne demande pas de consentement, mais l’inscription à une newsletter, si. Une case dédiée, non cochée, pour la seconde.
- Contrôlez le parcours de la donnée : où arrive le message ? Dans une boîte e-mail, dans la base WordPress, dans un CRM, chez un service tiers de formulaires ? Chaque étape est un destinataire à mentionner.
- Validez côté serveur et protégez contre le spam sans recourir systématiquement à un service tiers qui dépose ses propres traceurs.
Quelles mesures de sécurité le RGPD exige-t-il ?
L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque pour protéger les données. Une fuite de données issue d’un site mal maintenu est à la fois un incident de sécurité et un manquement au RGPD.
Les mesures de base sur un site
- HTTPS sur toutes les pages, avec un certificat valide et une redirection automatique.
- Mises à jour régulières du CMS, du thème et des extensions : un composant non mis à jour est une porte d’entrée classique pour une intrusion.
- Comptes d’administration nominatifs, mots de passe robustes, double authentification et limitation des tentatives de connexion.
- Sauvegardes régulières, testées et protégées, stockées hors du serveur principal, avec une durée de rétention définie.
- Un hébergement documenté, de préférence dans l’Union européenne, avec un contrat de sous-traitance conforme à l’article 28.
Pour aller plus loin sur les menaces concrètes, lisez notre analyse des menaces cyber qui visent les sites de cabinets et de PME.
En cas de violation de données
L’article 33 impose de notifier la CNIL dans les 72 heures après en avoir pris connaissance, lorsque la violation présente un risque pour les personnes. L’article 34 impose d’informer les personnes concernées si le risque est élevé. Tenez un registre interne des incidents, même ceux que vous ne notifiez pas, et préparez une procédure écrite à l’avance : le jour de l’incident, personne n’a le temps de la rédiger.
Les transferts hors Union européenne
Polices, statistiques, outils d’e-mailing, chat : beaucoup de services sont opérés depuis les États-Unis. Le cadre de protection des données UE-États-Unis, reconnu par la Commission européenne le 10 juillet 2023, couvre les entreprises américaines certifiées. Pour les autres, des garanties comme les clauses contractuelles types sont nécessaires. Le plus simple reste de limiter les dépendances : héberger ses polices sur son propre serveur évite par exemple une connexion à un service tiers à chaque visite.
Comment répondre aux droits des personnes ?
Le site doit permettre aux personnes d’exercer facilement leurs droits, et vous devez répondre dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes (article 12). Prévoyez une adresse e-mail dédiée ou un formulaire spécifique, indiqués dans la politique de confidentialité.
| Droit | Article du RGPD | Ce que vous devez pouvoir faire |
|---|---|---|
| Accès | 15 | Fournir une copie des données détenues sur la personne |
| Rectification | 16 | Corriger une donnée inexacte |
| Effacement | 17 | Supprimer les données, sauf obligation légale de conservation |
| Limitation | 18 | Geler un traitement contesté |
| Portabilité | 20 | Remettre les données dans un format structuré et lisible par machine |
| Opposition | 21 | Cesser un traitement, notamment de prospection |
Avant de répondre, vérifiez l’identité du demandeur de façon proportionnée. Et gardez trace de chaque demande et de la réponse apportée : c’est votre preuve en cas de contrôle.
Quels points vérifier sur un site WordPress ?
WordPress peut être parfaitement conforme, mais sa richesse en extensions multiplie les collectes invisibles. Depuis la version 4.9.6, le cœur de WordPress intègre des outils dédiés : une page de politique de confidentialité préremplie à adapter, et des outils d’export et d’effacement des données personnelles dans le menu Outils.
Les points qui posent le plus souvent problème :
- Les commentaires : WordPress enregistre l’adresse IP de l’auteur et peut afficher un Gravatar, ce qui transmet un identifiant à un service tiers. Désactivez les commentaires s’ils ne servent pas, ou informez et paramétrez.
- Les extensions : chaque extension peut déposer un traceur, appeler une API externe ou stocker des données. Faites l’inventaire et supprimez ce qui ne sert pas.
- Les formulaires stockés en base : certaines extensions conservent tous les messages indéfiniment. Définissez une purge automatique.
- Les polices et scripts tiers chargés par le thème ou le constructeur de pages.
- Les vidéos et cartes intégrées, à charger au clic ou en mode respectueux de la vie privée.
- Les comptes utilisateurs : supprimez les comptes inutiles, notamment ceux d’anciens prestataires, et évitez l’identifiant « admin ».
Après toute mise à jour majeure ou nouvelle extension, refaites le test en navigation privée. La conformité n’est pas un état acquis à la livraison, c’est un entretien. C’est l’objet de notre maintenance à 79 € par mois : mises à jour, sauvegardes et contrôle régulier du site.
Quelles sanctions en cas de manquement ?
L’article 83 du RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, et jusqu’à 10 millions d’euros ou 2 % pour certains manquements. Le montant réel est fixé au cas par cas selon la gravité, la durée, la taille de l’organisme et sa coopération.
Des sanctions cookies très publiques
La CNIL a fait des cookies une priorité de contrôle. Deux décisions font référence :
- Décembre 2020 : 100 millions d’euros contre Google et 35 millions d’euros contre Amazon, pour dépôt de cookies publicitaires sans consentement préalable.
- Décembre 2021 : 150 millions d’euros contre Google et 60 millions d’euros contre Facebook, parce que refuser les cookies était plus compliqué que les accepter.
La procédure simplifiée pour les petits manquements
Depuis la loi du 24 janvier 2022, la CNIL dispose d’une procédure de sanction simplifiée pour les affaires les moins complexes, avec des amendes plafonnées à 20 000 euros. C’est cet outil qui lui permet de traiter les manquements des petites structures. Au-delà de l’amende, une plainte d’un visiteur ou d’un salarié suffit à déclencher un contrôle, et une décision rendue publique pèse sur la réputation.
Exemple réel : un RGPD traité en profondeur sur une landing page
Pour la landing page Salle Réunion Marseille, l’une des contraintes posées dès le départ était d’aller au-delà du bandeau cookies cosmétique.
Ce que nous avons mis en place :
- Google Analytics 4 chargé seulement après accord explicite, avec purge des traceurs en cas de refus.
- Une pastille de préférences permanente pour modifier son choix à tout moment.
- Trois pages juridiques complètes.
- Un formulaire traité en PHP maison, sans service tiers : validation côté serveur, champ piège anti-spam, protection contre l’injection d’en-têtes.
- Zéro dépendance externe : la page ne charge que ses propres ressources, ce qui sert à la fois la performance, la sécurité et la conformité.
Le résultat est une page qui convertit sans transmettre la moindre donnée à un tiers tant que le visiteur ne l’a pas décidé. La conformité devient un argument de confiance, pas une contrainte subie.
La checklist RGPD de votre site en 2026
| Point de contrôle | Fait ? |
|---|---|
| Aucun traceur non essentiel déposé avant le choix du visiteur (vérifié en navigation privée) | ☐ |
| Boutons « Tout accepter » et « Tout refuser » au même niveau | ☐ |
| Choix modifiable à tout moment depuis chaque page | ☐ |
| Politique de confidentialité à jour, reprenant les mentions de l’article 13 | ☐ |
| Mentions légales LCEN distinctes et complètes | ☐ |
| Formulaires minimisés, information au plus près du bouton, aucune case pré-cochée | ☐ |
| Durées de conservation définies et purge automatique des messages | ☐ |
| Registre des traitements tenu à jour | ☐ |
| HTTPS partout, CMS et extensions à jour, double authentification | ☐ |
| Sauvegardes testées et stockées hors du serveur | ☐ |
| Contrats de sous-traitance avec l’hébergeur et les prestataires | ☐ |
| Procédure écrite pour les demandes de droits et les violations de données | ☐ |
Si plusieurs lignes restent vides, commencez par la première : c’est la plus visible lors d’un contrôle et la plus simple à vérifier pour n’importe qui. La conformité touche aussi l’accessibilité, devenue une obligation pour de nombreuses entreprises : voir notre point sur l’accessibilité numérique obligatoire. Et si vous prévoyez une page de campagne, notre guide pour structurer une landing page qui convertit intègre ces exigences dès la conception.
FAQ
Une petite entreprise doit-elle vraiment respecter le RGPD sur son site ?
Oui. Le RGPD s’applique dès qu’un site collecte une donnée personnelle, quelle que soit la taille de l’entreprise : une adresse e-mail dans un formulaire de contact, une adresse IP dans un outil de statistiques ou un cookie publicitaire suffisent. Seules certaines modalités sont allégées pour les structures de moins de 250 salariés, notamment sur le registre des traitements.
Google Analytics est-il interdit sur un site français ?
Non, mais il ne peut pas être déposé sans consentement préalable, car il ne figure pas parmi les outils de mesure d’audience que la CNIL considère comme exemptés. Le sujet des transferts vers les États-Unis a aussi évolué avec le cadre de protection des données UE-États-Unis adopté par la Commission européenne le 10 juillet 2023. En pratique : chargement uniquement après accord, ou recours à un outil de mesure configuré pour bénéficier de l’exemption.
Combien de temps garder le choix d’un visiteur sur les cookies ?
La CNIL recommande de conserver le choix, qu’il s’agisse d’un accord ou d’un refus, pendant 6 mois avant de redemander. Elle préconise aussi une durée de vie maximale de 13 mois pour les traceurs eux-mêmes. Ces durées sont des recommandations de l’autorité, à documenter dans votre politique cookies.
Faut-il un DPO pour le site d’une PME ?
Pas systématiquement. L’article 37 du RGPD impose un délégué à la protection des données aux organismes publics et aux structures dont l’activité de base implique un suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles. Une PME qui gère un site vitrine et un formulaire de contact n’y est généralement pas tenue, mais elle doit désigner une personne qui répond aux demandes.
Quel délai pour répondre à une demande d’accès ou de suppression ?
L’article 12 du RGPD fixe un délai d’un mois à compter de la réception de la demande. Il peut être prolongé de deux mois en cas de demande complexe ou de volume important, à condition d’en informer la personne dans le premier mois. Prévoyez une adresse dédiée et une procédure écrite pour tenir ce délai.
Un plugin cookies suffit-il à rendre un site WordPress conforme ?
Non. Un plugin affiche une bannière, mais il ne garantit ni que les traceurs sont réellement bloqués avant l’accord, ni que les formulaires, les extensions, l’hébergement et la politique de confidentialité sont en règle. Il faut tester le site après installation, extension par extension, et vérifier ce qui est déposé avant tout clic.
Votre site est-il vraiment en règle ?
Chez Hezign, la conformité est intégrée dès la conception : consentement réellement bloquant, formulaires sans dépendance inutile, pages juridiques à jour, hébergement et sauvegardes documentés. Que vous partiez de zéro avec une création de site web ou que votre site actuel accumule les extensions et les traceurs, une refonte est souvent l’occasion de remettre tout à plat. Nous travaillons depuis 2018 depuis Lyon et Montpellier, avec plus de 300 projets livrés.
Pour faire le point sur votre site, réservez un appel découverte gratuit de 20 minutes : nous regardons ensemble ce qui est déposé, ce qui manque et ce qui peut attendre.
Besoin d'aide pour votre projet ?
Discutons de vos objectifs et voyons comment nous pouvons vous accompagner.
Réserver un appel gratuit
