Comment rendre un site internet conforme au RGPD ?

Ce qu'un site traite comme données

Même un site vitrine de quelques pages traite des données personnelles : les adresses IP enregistrées dans les journaux du serveur, les messages envoyés par le formulaire de contact, les identifiants déposés par les outils de statistiques, les données transmises aux plateformes de vidéo ou de réseaux sociaux dont les contenus sont intégrés. Un site marchand ajoute les comptes clients, les commandes, le paiement et souvent la prospection. Mettre son site internet en conformité RGPD consiste donc à recenser ces flux, à limiter ce qui n'est pas indispensable, à informer clairement les visiteurs et à sécuriser l'ensemble.

Les guides de la rubrique

Quelles règles pour les cookies et le bandeau de consentement ?Refuser doit être aussi simple qu'accepter. Depuis 2021, la CNIL sanctionne lourdement les bandeaux non conformes. Voici les règles appli…Quelles règles pour la prospection commerciale par e-mail, SMS ou téléphone ?Opt-in, soft opt-in, opt-out : les règles changent selon le canal et selon que l'on s'adresse à un particulier ou à un professionnel. Dep…Comment rédiger une politique de confidentialité conforme ?La politique de confidentialité est le second niveau de l'information des personnes. Bien construite, elle est lisible en quelques minute…

Les mentions légales et la politique de confidentialité

La loi pour la confiance dans l'économie numérique impose à tout éditeur professionnel de publier des mentions légales identifiant l'éditeur, le directeur de la publication et l'hébergeur. Elles ne se confondent pas avec la politique de confidentialité, qui répond aux articles 13 et 14 du RGPD en expliquant quels traitements le site réalise, sur quelle base, pour combien de temps et comment exercer ses droits. Les deux pages doivent être accessibles depuis toutes les pages, en général dans le pied de page. Le guide de la politique de confidentialité propose une structure complète.

Des formulaires sobres et bien informés

Chaque formulaire doit respecter le principe de minimisation : seuls les champs nécessaires sont obligatoires, et les champs facultatifs sont signalés comme tels. Une mention courte sous le formulaire indique qui traite les données, pourquoi, combien de temps elles sont conservées et comment exercer ses droits, avec un lien vers la politique complète. Si le formulaire sert aussi à inscrire à une newsletter, une case distincte, non pré-cochée, doit permettre d'y consentir. Une case « J'accepte la politique de confidentialité » obligatoire n'est pas nécessaire lorsque le traitement repose sur la demande de la personne : l'information suffit.

Les cookies et autres traceurs

Les traceurs qui ne sont pas strictement nécessaires au fonctionnement du site (publicité, mesure d'audience non exemptée, boutons de partage, vidéos intégrées qui déposent des cookies) ne peuvent être utilisés qu'après le consentement du visiteur, recueilli par un bandeau qui permet d'accepter et de refuser aussi facilement. Les traceurs strictement nécessaires (panier, session, choix de langue, sécurité, mémorisation du choix en matière de cookies) sont exemptés de consentement mais doivent être mentionnés. Une solution simple consiste à charger les contenus tiers uniquement au clic de l'utilisateur. Toutes les règles sont détaillées dans le guide des cookies et traceurs.

L'hébergement et les outils tiers

L'hébergeur, le prestataire de l'outil d'envoi de newsletters, l'éditeur du module de prise de rendez-vous ou de chat sont des sous-traitants : il faut un contrat conforme à l'article 28, et vérifier la localisation des données. Lorsque l'outil transfère des données hors de l'Union, ce transfert doit être encadré. Certains services intégrés, comme les plateformes de réseaux sociaux, agissent pour leur propre compte et peuvent faire du site un responsable conjoint de la collecte, selon la jurisprudence Fashion ID. Le choix d'outils qui fonctionnent sans traceur, hébergés en Europe, simplifie considérablement la conformité.

La sécurité du site

Un site est exposé en permanence aux attaques automatisées. Les mesures de base comprennent le chiffrement des échanges en HTTPS, la mise à jour régulière du système de gestion de contenu et de ses extensions, des comptes d'administration individuels protégés par des mots de passe robustes et, si possible, une double authentification, des sauvegardes régulières hors du serveur, le stockage des mots de passe des clients sous forme hachée et la limitation des tentatives de connexion. Le choix de l'outil compte aussi : un système de gestion de contenu sobre, avec peu d'extensions et une surface d'attaque réduite, est plus simple à sécuriser. La page consacrée à la sécurité d'un CMS sans base de données illustre cette approche, sur laquelle repose d'ailleurs le présent site.

Les journaux de connexion

Les serveurs enregistrent automatiquement les adresses IP et les pages consultées. Ces journaux sont utiles pour la sécurité et le diagnostic, et leur conservation repose généralement sur l'intérêt légitime de l'éditeur. Ils doivent être conservés pour une durée limitée, la CNIL recommandant de six mois à un an pour les journaux de traçabilité, et mentionnés dans la politique de confidentialité. Si l'éditeur utilise un service de géolocalisation des adresses IP, il doit s'interroger sur la transmission de ces adresses à un tiers et, idéalement, l'éviter ou tronquer les adresses.

Les comptes clients et le commerce en ligne

Un site marchand doit permettre de commander sans multiplier les données demandées, proposer si possible la commande sans création de compte, ne pas conserver les données de carte bancaire en dehors du prestataire de paiement sauf accord exprès du client, supprimer ou archiver les comptes inactifs et offrir une suppression de compte simple. Les avis clients publiés doivent respecter les droits des auteurs et des personnes citées. La prospection des clients par courriel obéit à des règles particulières, présentées dans le guide de la prospection commerciale.

La check-list du site conforme

Pour vérifier rapidement un site, il suffit de parcourir les points ci-dessous, du plus visible au plus technique. Un site qui coche toutes les cases n'est pas pour autant dispensé du registre des traitements ni de la gestion des droits des visiteurs, mais il présente déjà un niveau de conformité solide.

Un site conforme, étape par étape

La mise en conformité d'un site internet suit une progression logique. Il faut d'abord recenser les données collectées : formulaires, comptes, commandes, lettre d'information, cookies, journaux du serveur, outils intégrés comme les vidéos, les cartes, les polices de caractères ou les modules de réseaux sociaux. Il faut ensuite vérifier, pour chaque collecte, la finalité, la base légale, l'information des personnes et la durée de conservation. Vient ensuite le paramétrage du bandeau de consentement aux cookies, avec un bouton de refus aussi visible que le bouton d'acceptation, puis la rédaction de la politique de confidentialité et la mise à jour des mentions légales. Il faut enfin contrôler les contrats avec l'hébergeur et les prestataires techniques, la sécurité du site et les procédures de réponse aux demandes de droits. Une revue annuelle, et à chaque ajout d'un nouvel outil, permet de maintenir la conformité dans la durée.

Les outils tiers intégrés au site

De nombreux sites intègrent des services tiers qui collectent des données à l'insu des visiteurs : vidéos hébergées sur une plateforme, cartes interactives, polices de caractères chargées depuis un serveur externe, boutons de partage, outils de discussion en ligne, systèmes de protection contre les robots, outils de mesure d'audience, pixels publicitaires. Chacun de ces services peut déposer des cookies ou transmettre l'adresse IP du visiteur à un tiers, parfois établi hors de l'Union. Un tribunal allemand a ainsi jugé en 2022 que le chargement de polices de caractères depuis les serveurs d'un grand fournisseur, transmettant l'adresse IP sans consentement, violait le RGPD. Les solutions consistent à héberger localement les ressources lorsque c'est possible, à charger les contenus tiers seulement après le consentement, par exemple avec un bouton « Afficher la vidéo », et à choisir des services respectueux de la vie privée.

La mesure d'audience sans consentement

La mesure d'audience est utile à tout éditeur pour comprendre la fréquentation de son site. La CNIL admet que certains outils puissent être utilisés sans consentement, à condition de respecter des conditions strictes : finalité limitée à la mesure de l'audience du site pour le compte exclusif de l'éditeur, production de statistiques anonymes, absence de recoupement avec d'autres traitements, absence de transmission des données à des tiers, durée de vie des traceurs limitée à treize mois et conservation des informations collectées limitée à vingt-cinq mois. La CNIL publie une liste de solutions dont elle a vérifié qu'elles pouvaient être configurées pour respecter ces conditions. Un outil de mesure d'audience qui réutilise les données pour ses propres besoins ou les transfère hors de l'Union sans garantie suffisante doit au contraire être soumis au consentement.

Les formulaires de contact et de devis

Les formulaires sont le principal point de collecte de données sur un site vitrine. Ils doivent se limiter aux champs nécessaires : pour un formulaire de contact, un nom, une adresse électronique et un message suffisent généralement ; le téléphone et l'adresse postale ne doivent être obligatoires que si la réponse l'exige. Les champs facultatifs sont signalés comme tels. Une mention d'information de premier niveau, placée sous le formulaire, indique l'identité du responsable, la finalité, la durée de conservation et le moyen d'exercer ses droits, avec un lien vers la politique de confidentialité. Si l'éditeur souhaite utiliser les coordonnées pour envoyer une lettre d'information, une case distincte et non pré-cochée doit recueillir le consentement. Les messages reçus doivent être conservés de façon sécurisée et supprimés après une durée définie.

Le commerce en ligne

Un site marchand traite davantage de données : comptes clients, adresses de livraison, historique des commandes, informations de paiement, avis, données de navigation et de panier. Les données bancaires doivent être confiées à un prestataire de paiement certifié selon la norme PCI DSS, l'éditeur ne conservant au mieux qu'un jeton de paiement. La création d'un compte ne doit pas être imposée pour passer commande lorsque ce n'est pas nécessaire ; la CNIL recommande de proposer un achat en mode invité. La conservation des données bancaires pour faciliter les achats ultérieurs suppose le consentement du client. Les relances de panier abandonné, les recommandations personnalisées et les offres envoyées après achat doivent respecter les règles de la prospection et des cookies.

Les sites des professions libérales et des TPE

Les sites des artisans, commerçants, professions libérales et petites entreprises sont souvent conçus par un prestataire et rarement revus ensuite. Les manquements les plus fréquents y sont l'absence de bouton de refus des cookies, des outils de mesure d'audience non configurés, des formulaires sans mention d'information, des mentions légales incomplètes ou obsolètes, des modules de prise de rendez-vous sans contrat de sous-traitance, et un gestionnaire de contenu jamais mis à jour. Ces sites sont pourtant faciles à mettre en conformité : un site vitrine sobre, sans traceur publicitaire, avec une mesure d'audience exemptée, des formulaires minimalistes et une politique de confidentialité adaptée peut même se passer de bandeau de consentement, puisqu'aucun traceur ne l'exige.

Le site sans bandeau cookies

Un site qui n'utilise que des cookies strictement nécessaires à son fonctionnement et un outil de mesure d'audience exempté n'a pas besoin de bandeau de consentement. C'est une solution élégante pour les sites institutionnels, les blogs et les sites vitrines, qui améliore l'expérience des visiteurs et simplifie la conformité. Elle suppose de renoncer aux outils publicitaires, aux pixels des réseaux sociaux et aux contenus tiers chargés automatiquement, ou de les conditionner à une action explicite du visiteur. L'information sur les traceurs exemptés reste obligatoire, dans la politique de confidentialité ou une page dédiée, avec la possibilité de s'opposer à la mesure d'audience.

Les journaux du serveur et la sécurité

Tout serveur web enregistre des journaux techniques contenant les adresses IP des visiteurs, les pages consultées, la date et l'heure. Ces journaux sont nécessaires à la sécurité et au bon fonctionnement du site, et leur traitement repose sur l'intérêt légitime de l'éditeur. Ils doivent être conservés pendant une durée limitée, de six mois à un an selon la recommandation de la CNIL sur la journalisation, et protégés contre les accès non autorisés. Les hébergeurs sont par ailleurs soumis à une obligation de conservation des données d'identification des personnes ayant contribué à la création de contenus, prévue par la loi pour la confiance dans l'économie numérique et précisée par décret.

Les mentions légales obligatoires

Les mentions légales d'un site ne relèvent pas du RGPD, mais de la loi pour la confiance dans l'économie numérique de 2004. Elles doivent permettre d'identifier l'éditeur du site : pour une personne morale, sa dénomination, sa forme, son siège, son numéro d'immatriculation, son capital et ses coordonnées ; pour une personne physique, son nom, son domicile et ses coordonnées, avec la possibilité pour un éditeur non professionnel de ne communiquer que les coordonnées de son hébergeur. Elles indiquent le nom du directeur de la publication et l'identité de l'hébergeur, avec ses coordonnées. Pour un site marchand, le Code de la consommation ajoute des informations précontractuelles. Les mentions légales ne remplacent pas la politique de confidentialité, mais elles renvoient souvent vers elle, et les deux documents doivent être accessibles depuis toutes les pages, généralement en pied de page.

Les newsletters et l'emailing

L'envoi d'une lettre d'information à des particuliers suppose leur consentement préalable, recueilli par une case dédiée non pré-cochée, sauf exception pour les clients existants recevant des offres sur des produits analogues. La CNIL recommande de confirmer l'inscription par un courriel de validation, pratique dite du double opt-in, qui évite les inscriptions frauduleuses et constitue une preuve solide du consentement. Chaque envoi comporte un lien de désinscription fonctionnel, pris en compte rapidement. L'outil d'envoi est un sous-traitant, avec lequel un contrat conforme doit être conclu, et dont la localisation des serveurs doit être vérifiée. Les statistiques d'ouverture, obtenues par des pixels de suivi, relèvent des règles des traceurs et appellent une information, voire un consentement selon leur usage.

L'accessibilité et la protection des données

L'accessibilité numérique, qui permet aux personnes en situation de handicap d'utiliser un site, rejoint les exigences de transparence du RGPD : une information sur la protection des données doit être compréhensible et accessible à tous. La directive européenne sur l'accessibilité des produits et services, applicable depuis le 28 juin 2025, impose à de nombreux sites de commerce électronique et services numériques de respecter des exigences d'accessibilité. Un bandeau de consentement doit ainsi pouvoir être utilisé au clavier et lu par les lecteurs d'écran, et la politique de confidentialité doit être structurée avec des titres clairs. Un bandeau inaccessible empêche certaines personnes d'exprimer un choix et peut fragiliser la validité du consentement recueilli.

Choisir un CMS respectueux

Le choix de l'outil de gestion de contenu influence la conformité d'un site. Certains CMS chargent par défaut des polices externes, des scripts de statistiques ou des ressources hébergées hors de l'Union, et multiplient les extensions dont la maintenance n'est pas garantie. D'autres, plus sobres, limitent les dépendances externes, n'intègrent aucun traceur par défaut et simplifient les mises à jour. Les CMS statiques ou à fichiers plats réduisent aussi la surface d'attaque, en l'absence de base de données exposée. Avant de choisir, il est utile de vérifier quelles ressources externes l'outil charge par défaut et si son éditeur publie des mises à jour de sécurité régulières.

Le site d'une association ou d'une collectivité

Les sites associatifs et municipaux obéissent aux mêmes règles, avec quelques particularités. Une association qui publie les photos de ses événements doit recueillir l'accord des personnes reconnaissables, et celui des parents pour les mineurs. Une collectivité qui publie des délibérations doit veiller à ne pas diffuser de données personnelles inutiles, comme l'adresse de particuliers ou les noms de bénéficiaires d'aides sociales. Les formulaires d'inscription aux activités ou aux services publics en ligne doivent être accompagnés d'une information claire, et les données ne doivent pas être réutilisées pour une communication politique.