RGPD et site internet professionnel : ce que vous devez vraiment mettre en place

Votre site collecte des données personnelles, même s'il est simple

Une donnée personnelle, c'est toute information qui permet d'identifier une personne, directement ou non : un nom, une adresse email, un numéro de téléphone, mais aussi une adresse IP ou un identifiant de cookie.

Concrètement, votre site en collecte dès qu'il propose :

• un formulaire de contact ou de demande de devis ;
• une prise de rendez-vous en ligne ;
• une inscription à une newsletter ;
• un chatbot qui demande un nom ou un email ;
• un outil de statistiques ou un pixel publicitaire (Google Analytics, Meta, etc.).

1. Les mentions légales : obligatoires pour tout site professionnel

Avant même le RGPD, la loi pour la confiance dans l'économie numérique (LCEN) impose à tout site édité par une entreprise d'afficher des mentions légales accessibles depuis chaque page, généralement via un lien en bas de page. Elles doivent indiquer :

• le nom ou la raison sociale de l'entreprise, sa forme juridique et son capital s'il s'agit d'une société ;
• l'adresse du siège, un numéro de téléphone et une adresse email ;
• le numéro d'immatriculation (SIREN, RCS ou répertoire des métiers) ;
• le nom du directeur de la publication ;
• le nom, l'adresse et le téléphone de l'hébergeur du site.

2. Une politique de confidentialité claire et à jour

Le RGPD impose d'informer les personnes au moment où vous collectez leurs données. Sur un site, cette information prend la forme d'une politique de confidentialité, accessible depuis chaque formulaire et depuis le pied de page. Elle doit répondre simplement à ces questions :

• Qui collecte les données (votre entreprise et ses coordonnées) ?
• Pourquoi (répondre à une demande, envoyer un devis, envoyer une newsletter…) et sur quelle base légale ?
• Qui y a accès (votre équipe, vos prestataires comme l'hébergeur ou l'outil d'emailing) ?
• Combien de temps elles sont conservées ?
• Quels droits la personne peut exercer (accès, rectification, effacement, opposition…) et comment, y compris son droit de saisir la CNIL ?
• Les données sont-elles transférées hors de l'Union européenne ?

3. Le bandeau cookies : refuser doit être aussi simple qu'accepter

C'est le point qui a le plus changé ces dernières années. Selon les recommandations de la CNIL, les cookies qui ne sont pas strictement nécessaires au fonctionnement du site (publicité, réseaux sociaux, la plupart des outils de statistiques) ne peuvent être déposés qu'après le consentement du visiteur. En pratique, votre bandeau doit :

• proposer un bouton « Tout refuser » aussi visible que le bouton « Tout accepter » ;
• ne déposer aucun cookie non essentiel avant le choix du visiteur ;
• permettre de modifier ce choix à tout moment (un lien « Gérer les cookies » en bas de page suffit) ;
• expliquer en une phrase à quoi servent les cookies utilisés.

4. Des formulaires qui ne demandent que l'essentiel

Le RGPD repose sur un principe de bon sens : ne collecter que les données réellement utiles. Pour un formulaire de contact, un nom, un moyen de vous recontacter et un message suffisent généralement. Demander une date de naissance ou une adresse postale complète pour un simple renseignement n'a pas de justification. Quelques règles simples :

• indiquez clairement les champs obligatoires ;
• ajoutez sous le formulaire une phrase courte qui renvoie vers la politique de confidentialité ;
• si vous voulez inscrire la personne à votre newsletter, utilisez une case à cocher distincte et non pré-cochée ;
• protégez le formulaire contre le spam sans recourir à des solutions qui collectent plus de données que nécessaire.

5. Une durée de conservation définie

Les données ne peuvent pas être gardées indéfiniment. Pour un prospect qui vous a contacté sans devenir client, la CNIL retient généralement une durée de trois ans à compter du dernier contact. Pour un client, les données peuvent être conservées pendant la relation commerciale, puis archivées le temps des obligations légales (comptables notamment).

Le plus simple : noter ces durées dans votre politique de confidentialité, puis faire un nettoyage une fois par an dans votre boîte mail, votre CRM et vos fichiers de contacts.

6. Vos prestataires aussi doivent être conformes

Votre hébergeur, votre outil d'emailing, votre CRM, votre outil de prise de rendez-vous ou votre chatbot traitent des données pour votre compte. Le RGPD les qualifie de sous-traitants, et vous devez vous assurer qu'ils offrent des garanties suffisantes, en général via un contrat ou des conditions de traitement des données (souvent appelées DPA).

Vérifiez en particulier où sont hébergées les données. Si elles partent hors de l'Union européenne, le prestataire doit s'appuyer sur un cadre de transfert reconnu, comme le Data Privacy Framework pour les États-Unis.

7. Le cas particulier du chatbot IA

Un chatbot qui demande un nom, un email ou le détail d'un projet collecte des données personnelles, exactement comme un formulaire. Il doit donc être mentionné dans votre politique de confidentialité, et le visiteur doit savoir, avant de saisir quoi que ce soit, que ses messages sont enregistrés et à quoi ils serviront.

Deux points de vigilance supplémentaires : vérifier si le fournisseur du chatbot réutilise les conversations pour entraîner ses modèles, et éviter que le chatbot ne demande des informations sensibles (santé, situation financière détaillée) qui n'ont rien à faire dans un premier échange. Nous détaillons les usages pertinents d'un assistant conversationnel dans notre article « Chatbot IA pour son entreprise : ce qu'il peut vraiment faire en 2026 ».

8. La sécurité de base : HTTPS, mises à jour, accès

Le RGPD impose de protéger les données collectées. Pour un site professionnel, cela passe d'abord par des mesures simples. En cas de fuite de données présentant un risque pour les personnes, l'entreprise doit la notifier à la CNIL dans les 72 heures.

• un site en HTTPS (le cadenas dans la barre d'adresse) ;
• des mises à jour régulières du site et de ses extensions ;
• des mots de passe solides et des accès administrateur limités aux personnes qui en ont besoin ;
• des sauvegardes régulières.

Et le registre des traitements ?

Le registre des traitements est un document interne qui liste les traitements de données de l'entreprise : gestion des clients, des prospects, des salariés, etc. Les structures de moins de 250 salariés en sont dispensées dans certains cas, mais la CNIL rappelle que la gestion de la clientèle et des prospects n'est pas une activité occasionnelle. En pratique, la plupart des TPE ont donc intérêt à en tenir un. La CNIL propose un modèle simplifié, qui se remplit en une heure environ.

Que risque une petite entreprise ?

Les amendes maximales prévues par le RGPD (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial) visent surtout les manquements graves des grandes structures. Pour les petites entreprises, la CNIL dispose depuis 2022 d'une procédure simplifiée, avec des amendes pouvant aller jusqu'à 20 000 euros.

Le risque le plus concret reste toutefois ailleurs : un bandeau cookies trompeur ou une absence de mentions légales donne une mauvaise image à un prospect qui hésite encore à vous contacter.

La liste de vérification à garder sous la main

• Mentions légales complètes, hébergeur compris, accessibles depuis chaque page
• Politique de confidentialité courte, claire et fidèle à ce que fait le site
• Bandeau cookies avec un bouton « Tout refuser » aussi visible que « Tout accepter »
• Aucun cookie non essentiel déposé avant le consentement
• Formulaires limités aux champs utiles, avec un lien vers la politique de confidentialité
• Case newsletter séparée et non pré-cochée
• Durées de conservation définies et nettoyage annuel prévu
• Prestataires vérifiés (contrat, localisation des données)
• Chatbot mentionné dans la politique de confidentialité
• Site en HTTPS, à jour, avec des accès limités
• Registre des traitements tenu à jour

Questions fréquentes

En résumé

Mettre un site professionnel en conformité avec le RGPD n'a rien d'insurmontable. Pour un site vitrine, l'essentiel tient en quelques éléments : des mentions légales complètes, une politique de confidentialité honnête, un bandeau cookies qui respecte le choix du visiteur, des formulaires sobres et des données conservées pour une durée limitée. Ces points sont vérifiés systématiquement dans les sites que nous créons, et nous pouvons les passer en revue sur votre site actuel lors d'un premier échange, sans engagement.

Cet article a une vocation d'information générale et ne remplace pas un conseil juridique personnalisé. Pour les traitements plus complexes (données de santé, profilage, volumes importants), rapprochez-vous d'un professionnel du droit ou consultez directement les ressources de la CNIL.