RGPD et site internet : les obligations d'une petite entreprise 🔒

Le RGPD s’applique-t-il au site internet d’une petite entreprise ?

Oui. Dès qu'un site recueille une donnée personnelle, comme un nom, un e-mail ou une adresse IP via des cookies, le RGPD s'applique, quelle que soit la taille de l'entreprise.

Le RGPD, c’est le Règlement général sur la protection des données. Il est européen et s’applique depuis 2018. Il ne vise pas seulement les grands groupes : il vise toute personne qui traite des données personnelles dans un cadre professionnel.

Une donnée personnelle, c’est toute information qui permet d’identifier quelqu’un, directement ou non. Un nom, bien sûr. Mais aussi un numéro de téléphone, une adresse e-mail, une photo, une adresse IP.

Des exemples très concrets

• Un plombier a un formulaire « demande de devis » : il collecte des noms, des adresses et des téléphones.
• Une coiffeuse propose la prise de rendez-vous en ligne : elle collecte des identités et des horaires.
• Un gîte affiche un module de réservation : il collecte des dates de séjour et parfois des informations sur les enfants.
• Un boulanger a juste une vitrine, sans formulaire, mais avec un outil de statistiques : des cookies sont posés.

Dans tous ces cas, le RGPD s’applique.

Ce que ça change pour vous

La bonne nouvelle : pour une petite entreprise, les obligations restent raisonnables. On ne vous demande pas un service juridique. On vous demande d’être transparent, de ne pas collecter plus que nécessaire et de protéger ce que vous collectez.

Le texte complet est publié par l’autorité française de contrôle. Vous pouvez consulter le texte du règlement européen sur la protection des données sur le site de la CNIL si vous voulez la source exacte.

Retenez une chose : avoir un petit site ne vous exonère pas. Mais un petit site bien pensé se met en règle assez vite.

Quelles sont les obligations RGPD d’un site internet ?

Un site doit informer les visiteurs, limiter la collecte au nécessaire, obtenir leur accord pour certains usages, sécuriser les données, les garder pour une durée limitée et respecter leurs droits.

Les obligations RGPD d’un site tiennent en quelques grands principes. Les traduits en langage courant.

Les six règles à retenir

1. Informer : dire clairement quelles données vous collectez, pourquoi, et ce que vous en faites.
2. Collecter le minimum : un formulaire de contact n’a pas besoin de la date de naissance.
3. Avoir une bonne raison : répondre à une demande de devis, exécuter une commande, respecter une loi, ou avoir l’accord de la personne.
4. Limiter la durée : on ne garde pas les coordonnées d’un prospect pour toujours.
5. Sécuriser : site en « https » (le petit cadenas), mots de passe solides, accès limités.
6. Respecter les droits : chacun peut demander à voir, corriger ou effacer ses données.

Ce que cela donne sur le site

Concrètement, ces règles se traduisent par quelques éléments visibles :

• une page « politique de confidentialité » ;
• un bandeau cookies, si vous utilisez des cookies non indispensables ;
• une courte mention sous chaque formulaire ;
• une case à cocher non pré-cochée pour la newsletter.

Et par un élément invisible : un registre, c’est-à-dire une liste écrite de vos usages de données.

Ne confondez pas avec les mentions légales

Les mentions légales sont une autre obligation. Elles disent qui édite le site : nom, adresse, SIRET, hébergeur. Elles relèvent d’une autre loi que le RGPD. Les deux se complètent et on les trouve souvent en pied de page. Pour le détail, consultez notre guide sur ce que doivent contenir les mentions légales d’un site internet.

Beaucoup de petits sites ont des mentions légales mais pas de vraie politique de confidentialité. C’est l’oubli le plus courant.

Quelles données personnelles votre site collecte-t-il sans que vous le sachiez ?

Au-delà des formulaires, un site collecte souvent des données via les statistiques, les cartes intégrées, les vidéos, les boutons de réseaux sociaux, le chat et les outils de réservation.

Beaucoup de patrons pensent : « Je n’ai pas de formulaire, donc je ne collecte rien. » C’est rarement vrai. Un site moderne charge souvent des outils extérieurs qui, eux, récupèrent des informations.

Les sources discrètes les plus fréquentes

Élément sur la page	Ce qu’il peut collecter
Outil de statistiques	Adresse IP, pages vues, appareil utilisé
Carte intégrée	Adresse IP, cookies du fournisseur de la carte
Vidéo intégrée	Cookies de la plateforme vidéo
Boutons de partage social	Suivi par le réseau social concerné
Chat en ligne	Messages, nom, e-mail
Pixel publicitaire	Comportement du visiteur pour la publicité

Un exemple parlant

Un électricien a fait faire son site il y a quelques années. Sur la page contact, une carte montre son atelier. Sur l’accueil, une vidéo présente son métier. En bas, des icônes renvoient vers ses réseaux.

Sans le savoir, il fait charger trois outils extérieurs à chaque visite. Certains posent des cookies dès l’arrivée du visiteur, avant tout accord.

Comment faire l’inventaire

• Ouvrez votre site dans une fenêtre de navigation privée.
• Notez tout ce qui vient d’ailleurs : cartes, vidéos, chat, avis clients intégrés.
• Demandez à la personne qui a fait le site la liste des extensions et outils installés.
• Regardez dans votre outil de création (Wix, WordPress, Shopify…) la liste des applications connectées.

Cet inventaire est la base de tout. Sans lui, impossible d’écrire une politique de confidentialité honnête ou de régler correctement un bandeau cookies.

Que doit contenir une politique de confidentialité ?

Une politique de confidentialité indique qui collecte les données, lesquelles, pourquoi, sur quelle base, pendant combien de temps, qui y accède, et comment exercer ses droits.

La politique de confidentialité est la page centrale du RGPD sur votre site. Elle doit être claire, accessible depuis toutes les pages et écrite pour être comprise.

Les rubriques indispensables

• Qui est responsable : le nom de votre entreprise et un moyen de vous contacter.
• Quelles données : nom, e-mail, téléphone, adresse, données de commande, cookies…
• Pourquoi : répondre aux demandes, établir un devis, livrer une commande, envoyer une newsletter.
• Sur quelle base : votre contrat avec le client, une obligation légale, l’accord de la personne ou votre intérêt légitime.
• Combien de temps : une durée par type de données.
• Qui les reçoit : vous, votre comptable, votre hébergeur, votre outil d’e-mailing.
• Transferts hors Union européenne : si un outil stocke des données ailleurs, il faut le dire.
• Les droits : accès, rectification, effacement, opposition, et le droit de saisir la CNIL.

Des durées réalistes

Pour un artisan, on peut par exemple prévoir :

• demandes de devis sans suite : quelques années au plus après le dernier contact ;
• factures : la durée imposée par la loi comptable ;
• abonnés newsletter : jusqu’à leur désinscription.

La CNIL recommande par exemple de ne pas garder les données d’un prospect inactif plus de trois ans après le dernier contact.

Écrivez simplement

Un avocat pourra entrer dans plus de détails. Un coiffeur peut tenir sa politique en une page. L’essentiel : que le texte décrive ce que vous faites vraiment. Une page de six écrans recopiée d’un grand site, qui cite des outils que vous n’utilisez pas, ne vous protège pas.

Existe-t-il un modèle RGPD pour site internet ?

Oui, des modèles de politique de confidentialité et de mentions de formulaire existent. Ils servent de base, mais doivent être adaptés à vos données, vos outils et vos durées réelles.

Chercher un modèle RGPD pour son site est un bon réflexe. Les générateurs intégrés à Wix, Shopify ou à certaines extensions WordPress proposent des textes de départ. Des modèles circulent aussi sur des sites officiels et professionnels.

Ce qu’un modèle fait bien

• Il donne la structure : les rubriques à ne pas oublier.
• Il propose des formulations juridiquement propres.
• Il fait gagner du temps sur la mise en page.

Ce qu’un modèle ne fait pas

• Il ne connaît pas vos outils : votre logiciel de devis, votre outil de rendez-vous, votre chat.
• Il ne connaît pas vos durées de conservation.
• Il ne sait pas si vous envoyez des données hors d’Europe.

Un squelette simple à adapter

Pour une petite entreprise de services, une politique peut suivre ce plan :

1. Qui sommes-nous et comment nous joindre.
2. Les données collectées via le formulaire de contact.
3. Les données collectées via les cookies et statistiques.
4. Pourquoi nous les utilisons.
5. Combien de temps nous les gardons.
6. Qui peut y accéder.
7. Vos droits et comment les exercer.

Mentions sous un formulaire : un exemple

Les informations saisies servent uniquement à répondre à votre demande de devis. Elles sont conservées le temps nécessaire à notre échange. Pour en savoir plus et exercer vos droits, consultez notre politique de confidentialité.

Court, clair, suffisant pour un formulaire de contact classique.

Si vous êtes micro-entrepreneur, la logique est la même pour la page d’identité de votre site. Vous trouverez un exemple de mentions légales pour un auto-entrepreneur qui complète bien votre politique de confidentialité.

Faut-il un bandeau cookies sur son site ?

Un bandeau cookies est obligatoire dès que le site dépose des cookies non indispensables, comme la publicité ou certaines statistiques. Refuser doit alors être aussi simple qu'accepter.

Un cookie est un petit fichier déposé dans le navigateur du visiteur. Certains sont indispensables : garder un panier, mémoriser une connexion. D’autres servent à mesurer, suivre ou cibler.

Quand le bandeau est nécessaire

• Pas besoin si votre site n’utilise que des cookies techniques indispensables.
• Besoin dès que vous utilisez de la publicité, des pixels de réseaux sociaux, des vidéos ou cartes qui suivent le visiteur, ou certains outils de statistiques.

Pour les statistiques, la CNIL admet que certains outils réglés de façon limitée peuvent se passer d’accord. D’autres, plus complets, demandent le consentement. Tout dépend de l’outil et de son réglage.

Les règles d’un bon bandeau

• Un bouton « Tout refuser » aussi visible que « Tout accepter ».
• Aucun cookie non indispensable déposé avant le choix du visiteur.
• Une possibilité de changer d’avis facilement, par exemple via un lien en pied de page.
• Une explication courte de chaque catégorie de cookies.

Les erreurs fréquentes

• Un bandeau qui dit « En continuant, vous acceptez ». Ce n’est pas un accord valable.
• Un bouton « Refuser » caché dans un deuxième écran.
• Un bandeau joli mais qui laisse les cookies se déposer quand même.

Un restaurant qui affiche une vidéo de sa cuisine et une carte doit donc soit bloquer ces éléments jusqu’à l’accord, soit les remplacer par une image et un lien.

La CNIL détaille ses attentes dans sa page sur les règles applicables aux cookies et autres traceurs. Les outils de bandeau sont souvent gratuits ou coûtent de quelques euros à quelques dizaines d’euros par mois. Les tarifs changent, vérifiez-les avant de choisir.

Comment rendre un formulaire de contact conforme au RGPD ?

Un formulaire conforme demande seulement les informations utiles, affiche une courte mention d'information, renvoie à la politique de confidentialité et n'inscrit personne à une newsletter sans accord.

Le formulaire de contact est souvent la seule vraie collecte de données d’un site d’artisan. C’est donc lui qu’il faut soigner en priorité.

Demandez le strict nécessaire

Pour un couvreur, un formulaire de devis peut demander :

• nom ;
• téléphone ou e-mail ;
• commune du chantier ;
• description des travaux ;
• photos, si le client le souhaite.

Inutile d’exiger l’âge, la profession ou l’adresse complète dès le premier contact. Rendez obligatoires seulement les champs vraiment utiles.

Ajoutez la mention d’information

Sous le bouton « Envoyer », une ou deux phrases suffisent. Elles disent à quoi servent les données et renvoient vers la politique de confidentialité.

Pas de case pré-cochée

Si vous voulez aussi proposer la newsletter :

• ajoutez une case séparée ;
• laissez-la décochée par défaut ;
• écrivez clairement ce que la personne accepte.

Et après l’envoi ?

La conformité ne s’arrête pas à la page web. Pensez à ce que devient la demande :

• Elle arrive par e-mail : protégez votre boîte mail avec un mot de passe solide.
• Elle est stockée dans le site : faites le ménage régulièrement.
• Elle part dans un tableur : limitez qui y a accès.

Cas des données sensibles

Certaines données demandent une prudence renforcée : santé, opinions, religion. Un kinésithérapeute ou un ostéopathe ne doit pas inviter les patients à décrire leurs pathologies dans un formulaire de contact classique. Mieux vaut un simple « motif du rendez-vous » court, et le reste en consultation.

Un formulaire sobre est plus conforme. Et il est souvent plus rempli, car il rassure.

Quelles règles RGPD pour une boutique en ligne et une newsletter ?

Une boutique en ligne doit protéger les données de commande et de paiement, informer les clients et respecter les règles de prospection par e-mail, avec désinscription simple.

Une boutique en ligne collecte plus de données qu’un site vitrine : identités, adresses de livraison, historiques d’achat, parfois comptes clients. Les obligations sont les mêmes, mais il y a plus de choses à couvrir.

Les points propres au e-commerce

• Compte client : proposez si possible la commande sans création de compte.
• Paiement : passez par un prestataire de paiement reconnu, qui gère les données bancaires à votre place.
• Durées : les factures se gardent selon la loi comptable ; les comptes inactifs, pas indéfiniment.
• Paniers abandonnés : les relances doivent être annoncées dans la politique de confidentialité.

La newsletter et la prospection

La règle générale pour les particuliers :

• vous écrivez à un prospect seulement s’il a donné son accord ;
• vous pouvez écrire à un client existant sur des produits similaires, s’il a pu refuser au moment de l’achat ;
• chaque e-mail contient un lien de désinscription qui fonctionne.

Une boutique de thé en ligne peut donc envoyer ses nouveautés à ses clients. Elle ne peut pas acheter un fichier d’adresses et écrire à tout le monde.

Les autres pages qui vont avec

La politique de confidentialité ne remplace pas les conditions de vente. Elles fixent les prix, la livraison, la rétractation, les garanties. Notre guide sur les CGV d’un site e-commerce et ce qu’elles doivent prévoir détaille ce point.

Si votre boutique tourne sur Shopify, la plateforme propose des générateurs de textes. Ils sont utiles mais à relire. Voyez notre page sur les pages légales sur Shopify : mentions, CGV, confidentialité et remboursement pour les régler correctement.

Votre hébergeur et vos outils sont-ils concernés par le RGPD ?

Oui. Vos prestataires qui traitent des données pour vous, comme l'hébergeur ou l'outil d'e-mailing, sont des sous-traitants. Vous devez choisir des outils sérieux et les citer dans votre politique.

Vous restez responsable des données de vos clients, même quand un outil les stocke pour vous. Le RGPD appelle ces prestataires des sous-traitants. Ils doivent protéger les données et ne pas s’en servir pour leur propre compte.

Qui sont vos sous-traitants ?

• l’hébergeur du site ;
• l’outil de création de site (Wix, Shopify, Squarespace…) ;
• l’outil d’e-mailing pour la newsletter ;
• le logiciel de prise de rendez-vous ;
• le logiciel de devis et factures ;
• le CRM, c’est-à-dire le carnet de clients numérique.

Ce qu’il faut vérifier

• L’outil propose un accord de traitement des données (souvent appelé DPA), en général accepté dans les conditions d’utilisation.
• Vous savez où sont stockées les données, en Europe ou ailleurs.
• Le service offre une sécurité correcte : connexion protégée, double authentification.

Le cas des solutions installées chez vous

Avec un site WordPress ou une boutique PrestaShop, vous choisissez vous-même l’hébergeur et les extensions. C’est plus libre, mais vous devez assurer les mises à jour. Une extension oubliée peut ouvrir une faille. Notre avis sur PrestaShop et à qui il convient vraiment aborde aussi cet aspect de maintenance.

Une adresse e-mail professionnelle

Recevoir les demandes de clients sur une adresse gratuite personnelle mélange vie privée et pro. Une adresse liée à votre propre nom de domaine est plus simple à gérer et à sécuriser. Si la notion vous échappe, lisez notre guide sur le nom de domaine et à quoi il sert pour votre entreprise.

Que risque une petite entreprise qui ne respecte pas le RGPD ?

Une petite entreprise risque une mise en demeure ou une amende de la CNIL, mais aussi des plaintes de clients, une perte de confiance et des problèmes en cas de fuite de données.

Soyons honnêtes : la CNIL ne contrôle pas chaque site d’artisan. Mais le risque existe et il ne se limite pas aux amendes.

Les risques officiels

• Plainte : n’importe quel visiteur peut saisir la CNIL.
• Contrôle : la CNIL peut vérifier un site à distance.
• Mise en demeure : on vous demande de corriger dans un délai donné.
• Sanction : le règlement prévoit des amendes. Les plafonds sont très élevés, et la CNIL dispose aussi d’une procédure simplifiée pour les cas plus petits.

Les risques du quotidien

Ce sont souvent les plus concrets :

• un client mécontent qui demande l’effacement de ses données et ne reçoit pas de réponse ;
• une fuite après le piratage d’une boîte mail ou d’un vieux site jamais mis à jour ;
• un concurrent ou un client qui vous signale ;
• la confiance qui baisse quand un visiteur voit un bandeau douteux ou aucune politique.

Que faire en cas de fuite ?

Si des données sont perdues, volées ou exposées :

1. Coupez l’accès en cause (changez les mots de passe, contactez l’hébergeur).
2. Évaluez ce qui a fuité et qui est concerné.
3. Si la fuite présente un risque pour les personnes, signalez-la à la CNIL dans les 72 heures.
4. Prévenez les personnes concernées si le risque est élevé.
5. Notez l’incident et ce que vous avez corrigé.

La bonne façon de voir les choses

Un site propre sur le RGPD n’est pas qu’une contrainte. Pour un avocat, un comptable ou un kiné, c’est un signe de sérieux. Les clients confient plus facilement leurs coordonnées à une entreprise qui explique ce qu’elle en fait.

Comment mettre son site en conformité RGPD étape par étape ?

Faites l'inventaire des données et des outils, nettoyez le superflu, rédigez la politique de confidentialité, réglez le bandeau cookies, revoyez les formulaires et tenez un registre simple.

Une méthode réaliste pour un patron de TPE, à faire en quelques heures pour un site simple.

Étape 1 : l’inventaire

Listez tout ce qui collecte des données : formulaires, réservation, boutique, newsletter, statistiques, cartes, vidéos, chat, pixels publicitaires.

Étape 2 : le ménage

Supprimez ce qui ne sert plus. Un pixel publicitaire d’une campagne arrêtée depuis deux ans ? Dehors. Un champ « date de naissance » inutile ? Supprimé. Moins vous collectez, moins vous avez à justifier.

Étape 3 : la politique de confidentialité

Rédigez-la à partir de votre inventaire réel. Mettez un lien dans le pied de page de toutes les pages.

Étape 4 : les cookies

Installez ou corrigez le bandeau. Vérifiez en navigation privée qu’aucun cookie non indispensable ne se dépose avant le choix.

Étape 5 : les formulaires

Ajoutez la mention d’information. Décochez les cases newsletter. Retirez les champs inutiles.

Étape 6 : la sécurité

• Site en https.
• Mises à jour du site et des extensions.
• Mots de passe solides et double authentification sur les comptes clés.

Étape 7 : le registre

Un simple tableau suffit : quelle donnée, pour quoi faire, combien de temps, qui y accède. La CNIL propose des outils et un parcours d’accompagnement dans sa page RGPD : par où commencer.

Étape 8 : une procédure pour les demandes

Décidez qui répond quand un client demande ses données ou leur effacement. Le délai de réponse est d’un mois en principe.

Notez une date dans votre agenda pour tout revoir une fois par an, ou à chaque nouvel outil ajouté.

Faut-il se faire aider pour la conformité RGPD de son site ?

Pour un site simple, vous pouvez souvent vous en charger seul. Une aide devient utile pour un site ancien, une boutique en ligne, des outils nombreux ou des données sensibles.

Tout le monde n’a pas besoin d’un expert. Mais selon votre situation, une aide fait gagner du temps et évite les angles morts.

Vous pouvez le faire seul si…

• votre site est récent et simple ;
• vous avez un seul formulaire de contact ;
• vous n’utilisez ni publicité ni outils de suivi ;
• vous savez quels outils sont installés.

Une aide est utile si…

• le site a été fait il y a longtemps par quelqu’un que vous ne joignez plus ;
• vous avez une boutique en ligne avec comptes clients et newsletter ;
• vous utilisez beaucoup d’outils connectés ;
• vous traitez des données sensibles (santé, enfants).

Qui peut vous aider ?

Besoin	Qui consulter
Réglages techniques : cookies, formulaires, sécurité	La personne ou l’agence qui gère votre site
Rédaction juridique pointue, données sensibles	Un avocat ou un juriste spécialisé
Premiers repères gratuits	Les ressources de la CNIL

Pour le travail technique d’une agence ou d’un freelance, les tarifs du marché vont en général de quelques centaines à quelques milliers d’euros, selon l’ampleur.

Repartir sur une base propre

Parfois, corriger un vieux site coûte plus cher que d’en faire un nouveau. Un site neuf peut intégrer dès le départ les bonnes pages, des formulaires sobres et un bandeau bien réglé. C’est ce que nous faisons avec notre service de création de site internet pour artisans et TPE.

Un site propre est aussi un site mieux référencé et plus rassurant. Par exemple, pour TB Rénovation & Nettoyage, couvreur en Loire-Atlantique, le travail sur le site et le référencement local a fait passer le site de 2 à 63 visites Google par jour entre juin 2025 et octobre 2026.