RGPD et site internet
Mettre un site internet en conformité avec le RGPD, c’est d’abord savoir quelles données personnelles il collecte (formulaires, comptes clients, commandes, inscriptions, cookies, outils de mesure, conversations), pourquoi, combien de temps, et avec qui elles sont partagées. Le site doit ensuite informer les visiteurs de façon claire au moment de la collecte : la CNIL liste notamment l’identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation, les droits des personnes et la possibilité de saisir la CNIL, en demandant une information « concise, transparente, compréhensible et aisément accessible ». Il faut aussi limiter les champs des formulaires, fixer des durées de conservation (trois ans après le dernier contact pour un prospect, selon le référentiel de la CNIL sur la gestion commerciale), encadrer par contrat les prestataires qui traitent les données pour vous, sécuriser le site, et recueillir le consentement avant tout cookie non essentiel. Ce n’est pas qu’une contrainte : un site transparent rassure les visiteurs au moment où ils hésitent à laisser leurs coordonnées.
Mis à jour le 23 octobre 2026
Formulaire de contact, prise de rendez-vous, lettre d’information, statistiques, outils publicitaires, chat : même un petit site vitrine traite des données personnelles. Et chaque outil ajouté au fil des années (une extension, un pixel publicitaire, un formulaire de devis) peut en collecter davantage sans que personne ne l’ait vraiment décidé.
Cette page propose une méthode concrète pour faire le point sur son site et le mettre en règle. Le sujet fait partie intégrante d’une stratégie marketing digital durable : la collecte de contacts, la mesure et la publicité reposent toutes sur des données personnelles. Je ne suis pas juriste : pour un cas complexe, faites valider votre situation par un professionnel du droit des données.
Par Alexandre Montenon, consultant en marketing digital depuis 2011
Ce qu’un site collecte, souvent sans le savoir
| Point de collecte | Données concernées | Question à se poser |
|---|---|---|
| Formulaire de contact ou de devis | Nom, e-mail, téléphone, message, parfois adresse | Chaque champ est-il nécessaire ? |
| Inscription à une lettre d’information | E-mail, parfois prénom et centres d’intérêt | Le consentement est-il clair et séparé ? |
| Compte client et commandes | Identité, adresses, historique d’achats | Combien de temps garder ces données ? |
| Outils de mesure d’audience | Identifiants, pages vues, appareil | L’outil peut-il fonctionner sans consentement ? |
| Pixels publicitaires et réseaux sociaux | Identifiants, comportement de navigation | Le consentement est-il recueilli avant dépôt ? |
| Chat, prise de rendez-vous, avis | Échanges, créneaux, coordonnées | Quel prestataire traite ces données, et où ? |
Étape 1 : faire l’inventaire
Listez tout ce qui collecte des données sur votre site : formulaires, extensions, scripts tiers, outils de mesure, outils publicitaires, chat, prise de rendez-vous, outil d’envoi de courriels relié au site. Pour chacun, notez les données collectées, la finalité, l’endroit où elles sont stockées, qui y accède et quel prestataire intervient. Ce tableau est la base de votre registre des traitements, et il révèle presque toujours des outils oubliés, installés pour un test puis jamais retirés.
Gardez ce tableau à jour à chaque ajout d’outil ou de formulaire. Il vous servira à répondre à une demande d’accès, à vérifier vos contrats avec les prestataires, et à montrer, en cas de contrôle ou de question d’un client, que la collecte de données de votre site est maîtrisée.
Étape 2 : informer clairement
Concrètement, sur un site :
- Sous chaque formulaire, une mention courte : qui collecte, pourquoi, combien de temps, et un lien vers la politique de confidentialité.
- Une politique de confidentialité complète, rédigée simplement, accessible depuis toutes les pages.
- Des mentions légales distinctes, avec l’identité de l’éditeur et de l’hébergeur.
Évitez les pavés juridiques illisibles sous les formulaires : la CNIL recommande au contraire un vocabulaire simple, des phrases courtes et une information hiérarchisée.
Étape 3 : limiter la collecte
Ne demandez que ce dont vous avez besoin pour la finalité annoncée. Un formulaire de contact n’a pas besoin de la date de naissance ; une demande de devis n’a pas toujours besoin de l’adresse postale complète. Cette règle de minimisation rejoint l’intérêt commercial : chaque champ en moins réduit les abandons.
Distinguez aussi les finalités : accepter d’être recontacté pour un devis n’est pas accepter de recevoir une lettre d’information. Pour la prospection auprès de particuliers, une case de consentement séparée, non précochée, est nécessaire.
Étape 4 : fixer les durées de conservation
Pour les contacts commerciaux, le référentiel de la CNIL sur la gestion des activités commerciales prévoit en principe trois ans après la fin de la relation pour un client, et trois ans après la collecte ou le dernier contact pour un prospect. Paramétrez ces durées dans vos outils (extension de formulaire, outil de gestion des contacts, outil d’envoi), qui conservent souvent tout par défaut.
Étape 5 : encadrer les prestataires
Hébergeur, éditeur de l’extension de formulaire, outil d’envoi de courriels, outil de gestion des contacts, agence ou consultant qui accède à vos données : ce sont des sous-traitants au sens du RGPD. La CNIL recommande de formaliser la relation par un contrat précisant l’objet, la durée, la nature et la finalité du traitement, les catégories de données, les conditions de recours à un autre sous-traitant, les modalités d’audit, l’assistance pour les demandes des personnes et les garanties de sécurité. Pour les grands outils en ligne, ce contrat prend souvent la forme d’un avenant de traitement des données à accepter dans les paramètres du compte ; vérifiez aussi si des données sont transférées hors de l’Union européenne.
Ouvrez la boîte de réception qui reçoit les messages de votre formulaire de contact et regardez jusqu’où remontent les messages. Beaucoup d’entreprises gardent des années de demandes, avec noms, téléphones et détails de projets, dans une messagerie partagée par plusieurs personnes. Fixer une durée, archiver ou supprimer, et limiter les accès est souvent le chantier RGPD le plus simple et le plus utile.
Étape 6 : les cookies et traceurs
Les traceurs non essentiels (publicité, réseaux sociaux, certaines mesures d’audience) ne peuvent être déposés qu’après un consentement libre et éclairé, et refuser doit être aussi simple qu’accepter. Certains outils de mesure d’audience peuvent être exemptés de consentement s’ils sont configurés de façon stricte. La page consacrée au bandeau de consentement détaille ces règles et les sanctions récentes ; celle sur Google Analytics 4 traite le cas de l’outil de mesure le plus répandu.
Étape 7 : sécuriser et prévoir les incidents
Connexion chiffrée (HTTPS), mises à jour du site et des extensions, mots de passe solides et double authentification pour l’administration, sauvegardes, comptes administrateurs limités aux personnes qui en ont besoin. Prévoyez aussi la marche à suivre en cas de fuite de données : une violation qui présente un risque pour les personnes doit être notifiée à la CNIL, si possible sous 72 heures.
Étape 8 : répondre aux demandes
Toute personne peut demander l’accès à ses données, leur rectification, leur effacement, ou s’opposer à la prospection. Indiquez une adresse de contact claire, désignez qui traite ces demandes dans l’entreprise, et sachez retrouver les données d’une personne dans vos différents outils. Le délai de réponse est d’un mois en principe.
Les erreurs fréquentes
Une politique de confidentialité copiée d’un autre site. Elle décrit des traitements qui ne sont pas les vôtres et oublie les vôtres.
Des cases précochées. Un consentement précoché n’est pas un consentement.
Des formulaires trop gourmands. Des champs sans utilité réelle.
Aucune durée de conservation. Les données s’accumulent pendant des années.
Des scripts tiers oubliés. Un pixel installé pour une campagne passée continue de collecter.
Des accès partagés. Un même identifiant administrateur pour toute l’équipe et les prestataires.
Exemple fictif : un cabinet d’ostéopathie
Pour illustrer, un cas inventé. Un cabinet d’ostéopathie dispose d’un site avec un formulaire de contact, une prise de rendez-vous en ligne et une lettre d’information. L’inventaire révèle un pixel publicitaire installé pour une ancienne campagne, un formulaire qui demande la date de naissance et le motif détaillé de consultation, et des messages conservés depuis cinq ans dans une boîte partagée. Le cabinet retire le pixel, réduit le formulaire, ajoute une mention d’information sous chaque formulaire, fixe des durées de conservation, vérifie le contrat de son outil de rendez-vous et limite les accès à la messagerie. Les éléments de cet exemple sont inventés pour l’illustration.
- Le RGPD sur un site internet commence par l’inventaire de tout ce qui collecte des données.
- L’information doit être concise, claire et accessible, au moment de la collecte.
- Ne collectez que le nécessaire, et séparez les finalités.
- Fixez des durées de conservation : trois ans après le dernier contact pour un prospect, selon la CNIL.
- Encadrez vos prestataires par contrat et recueillez le consentement avant les traceurs non essentiels.
Questions fréquentes sur le RGPD et les sites internet
Mon site vitrine est-il concerné par le RGPD ?
Oui, dès qu’il collecte des données personnelles : formulaire de contact, lettre d’information, outil de mesure d’audience, pixel publicitaire ou prise de rendez-vous.
Que doit contenir la mention sous un formulaire ?
L’identité du responsable, la finalité, la durée de conservation et un lien vers la politique de confidentialité, qui donne le détail des droits, des destinataires et de la base légale.
Combien de temps garder les demandes reçues par le site ?
Le temps nécessaire à leur traitement, puis selon la relation : en principe trois ans après le dernier contact pour un prospect et trois ans après la fin de la relation pour un client, selon le référentiel de la CNIL.
Faut-il un contrat avec son hébergeur et ses outils ?
Oui : ce sont des sous-traitants. Le contrat, souvent un avenant de traitement des données proposé par l’outil, précise l’objet du traitement, la sécurité et les conditions de sous-traitance.
Les cookies relèvent-ils du RGPD ?
Les traceurs relèvent de règles spécifiques sur le consentement, qui complètent le RGPD : les traceurs non essentiels exigent un consentement préalable, et refuser doit être aussi simple qu’accepter.
Vous avez une question, un projet ? Parlons-en ensemble.
On discute ?