RGPD et site internet : les obligations légales d'une entreprise roannaise

Un contrôle CNIL, ça ne commence jamais par une lettre recommandée

Ça commence par un clic. Quelqu'un, quelque part, remplit le formulaire de plainte en ligne de la CNIL. Trois minutes, montre en main.

En 2024, l'autorité a prononcé 87 sanctions pour un montant cumulé dépassant les 55 millions d'euros, et la tendance ne s'est pas inversée en 2025. Ce qui frappe, quand on regarde le détail, ce n'est pas le montant. C'est la répartition. Les procédures dites simplifiées, celles qui plafonnent à 20 000 euros et qui se règlent sans audience publique, visent très majoritairement des structures modestes. Des sociétés de dix, vingt, cinquante salariés. Des entreprises qui ressemblent beaucoup à celles du bassin roannais.

Et le motif numéro un ? Les cookies. Loin devant tout le reste.

Il faut poser une chose tout de suite, parce qu'elle circule mal : le RGPD ne comporte aucun seuil d'effectif. Aucun seuil de chiffre d'affaires non plus. Un menuisier de Riorges avec un site vitrine et un formulaire « demande de devis » est soumis au même règlement qu'un groupe du CAC 40. Les obligations concrètes diffèrent, bien sûr, l'intensité aussi. Mais le principe s'applique dès le premier champ « email ».

Alors autant en faire quelque chose d'utile. Ce qui suit n'est pas un commentaire de texte juridique. C'est une mise en conformité hiérarchisée par le risque réel, réalisable par une PME sans juriste interne, avec les points où ça coince vraiment.

Pourquoi une entreprise de Roanne est concernée, même sans base clients

Le critère n'est pas la taille, c'est le traitement

Une donnée personnelle, au sens du règlement, c'est toute information se rapportant à une personne physique identifiée ou identifiable. La définition est volontairement large. Elle englobe l'évidence : nom, prénom, email, téléphone, adresse.

Elle englobe surtout ce à quoi personne ne pense. L'adresse IP du visiteur. L'identifiant stocké dans un cookie analytics. Le CV reçu via la page « recrutement ». Les logs du serveur. Le numéro de sécurité sociale sur un bulletin de paie stocké dans un espace partagé.

Un dirigeant nous disait récemment, très sincèrement : « nous, on ne fait pas de fichier client, on est en B2B, on travaille avec quinze donneurs d'ordres. » Il avait sur son site un formulaire de candidature spontanée qui recevait une trentaine de CV par an, stockés dans une boîte Gmail depuis 2019. Trente CV par an sur six ans, ça fait un fichier. Un vrai. Avec des données que les candidats n'ont jamais consenti à voir conservées aussi longtemps.

Les activités du bassin les plus exposées

Le tissu économique roannais présente des profils de risque très inégaux. Quelques cas typiques.

Le commerce et l'e-commerce. Comptes clients, historiques de commandes, données de paiement transitant par un prestataire. C'est le profil le plus lourd, avec le plus grand volume et les finalités les plus nombreuses.

L'industrie textile et mécanique. On pense souvent que le sujet ne les touche pas. Erreur. Candidatures spontanées, extranets fournisseurs avec comptes nominatifs, badgeuses, parfois vidéosurveillance des ateliers. Le site internet n'est que la partie visible.

La santé et le paramédical. Prise de rendez-vous en ligne, un module apparemment anodin. Sauf que le motif de consultation, dès qu'il est renseigné, devient une donnée de santé. Article 9 du RGPD, catégorie particulière, régime renforcé. C'est le point le plus sous-estimé du secteur.

L'immobilier et les agences. Fichiers prospects volumineux, alertes email, durées de conservation quasi jamais définies, revente ou partage de fichiers entre réseaux.

La restauration et l'hôtellerie. Réservations, préférences alimentaires (là encore, potentiellement des données sensibles quand elles révèlent une conviction religieuse ou une pathologie), programmes de fidélité.

Ce que change la proximité

Voilà l'aspect qu'on néglige presque toujours en province. Un contrôle CNIL sur une PME ne tombe pratiquement jamais du ciel. Il découle d'une plainte. Et cette plainte vient rarement d'un inconnu.

Elle vient d'un ancien salarié qui découvre que son adresse figure encore dans la newsletter interne. D'un candidat éconduit qui demande la suppression de son dossier et n'obtient pas de réponse. D'un client mécontent qui, faute d'obtenir gain de cause sur un litige commercial, ouvre un second front sur le terrain des données.

Dans un bassin où tout le monde se connaît, où les carrières se croisent, où l'on retrouve son ancien collègue chez un concurrent, ce risque est structurellement plus élevé qu'ailleurs. La plainte CNIL est devenue un levier de pression accessible. Gratuit, anonyme dans les faits vis-à-vis de l'entreprise, et redoutablement efficace.

La CNIL dispose par ailleurs de délégués régionaux et travaille en lien avec les chambres consulaires. La CCI Lyon Métropole Saint-Étienne Roanne relaie régulièrement des sessions d'information sur le sujet. Autant y aller.

Les six obligations socles, par ordre de priorité

1. Le registre des traitements

C'est la colonne vertébrale. Et c'est aussi la première chose que demande un contrôleur, avant même de regarder le site.

L'article 30 prévoit théoriquement une dispense pour les organismes de moins de 250 salariés. En pratique, cette dispense ne s'applique presque jamais : elle tombe dès que le traitement n'est pas occasionnel, ce qui est le cas d'une gestion de paie ou d'un fichier client. Autant considérer le registre comme obligatoire et passer à autre chose.

Ce qu'il doit contenir, au minimum : la finalité de chaque traitement, les catégories de personnes concernées, les catégories de données, les destinataires, les durées de conservation, les mesures de sécurité, et le cas échéant les transferts hors UE.

Le format ? Un tableur suffit. La CNIL publie un modèle simplifié pour les petites structures, et il est correct pour démarrer. Sa limite : il pousse à traiter chaque traitement de façon isolée, alors que la vraie difficulté est de repérer ceux qu'on a oubliés. Le registre qu'on rédige en une heure oublie systématiquement la vidéosurveillance, les badges d'accès, le fichier Excel des visiteurs à l'accueil et la sauvegarde chez un prestataire américain.

Une méthode qui marche : au lieu de partir des traitements, partir des personnes. Qui interagit avec l'entreprise ? Clients, prospects, salariés, candidats, fournisseurs, visiteurs. Pour chaque catégorie, quelles données on détient et pourquoi. On en trouve toujours deux ou trois qu'on n'avait pas vus.

2. La base légale de chaque traitement

Il y en a six dans le règlement, quatre concernent réellement une PME : le consentement, l'exécution d'un contrat, l'obligation légale, l'intérêt légitime.

L'erreur la plus répandue, et de très loin, consiste à tout fonder sur le consentement. Ça part d'une bonne intention. C'est contre-productif.

Pourquoi ? Parce que le consentement est révocable à tout moment, et qu'il doit être aussi facile à retirer qu'à donner. Si vous fondez la gestion de votre facturation sur le consentement du client, il peut le retirer demain et vous vous retrouvez juridiquement dans l'incapacité de conserver des pièces que le Code de commerce vous impose de garder dix ans. Absurde, mais c'est la conséquence logique.

La facturation relève de l'obligation légale. La gestion d'une commande relève du contrat. La sécurité du site relève de l'intérêt légitime. Le consentement est réservé à ce qui n'est indispensable ni au contrat ni à la loi : la newsletter, les cookies non essentiels, la prospection vers des particuliers.

Cas particulier qui revient sans arrêt en B2B, et qui mérite qu'on s'y arrête. La prospection commerciale par email vers des professionnels relève de l'article L.34-5 du Code des postes et communications électroniques, qui autorise l'envoi sans consentement préalable à condition que le message porte sur l'activité professionnelle de la personne démarchée, et qu'un moyen de désinscription figure dans chaque message. Envoyer une offre de logiciel de gestion de production à contact@usine-roannaise.fr, c'est possible. Envoyer une offre de croisière à marie.durand@usine-roannaise.fr, non : le message ne concerne pas son activité professionnelle.

La nuance paraît subtile. Elle est pourtant au cœur de la plupart des mises en demeure en matière de prospection.

3. La politique de confidentialité

Deux documents distincts, régulièrement confondus, y compris par des agences web.

Les mentions légales relèvent de la loi pour la confiance dans l'économie numérique. Elles identifient l'éditeur du site : raison sociale, siège, RCS, directeur de publication, hébergeur.

La politique de confidentialité relève des articles 13 et 14 du RGPD. Elle informe sur le traitement des données : identité du responsable, finalités, bases légales, destinataires, durées, droits, coordonnées du DPO s'il existe, existence de transferts hors UE, droit de réclamation auprès de la CNIL.

Les fusionner n'est pas illégal, mais ça produit en général un document où l'information RGPD est noyée. Deux pages valent mieux.

Reste le péché mignon du secteur : le copier-coller. Prendre la politique de confidentialité d'un confrère, remplacer le nom, mettre en ligne. Le problème n'est pas moral, il est opérationnel. Ce document décrit vos traitements. S'il décrit ceux d'une autre entreprise, il est faux. Et un document faux, en cas de contrôle, c'est bien pire qu'un document absent : il démontre que vous saviez que l'obligation existait et que vous l'avez traitée par-dessus la jambe.

On a vu, sur un site d'artisan du Roannais, une politique mentionnant un délégué à la protection des données inexistant et un transfert de données vers Singapour. Copiée sur un site d'éditeur SaaS. Personne n'avait relu.

4. Les cookies et traceurs

Le poste le plus sanctionné. Pour une raison très simple : c'est le seul qui se vérifie depuis un navigateur, en trente secondes, sans mettre un pied dans l'entreprise. Un agent de la CNIL peut auditer deux cents sites dans sa journée.

Les règles, telles qu'elles s'appliquent aujourd'hui :

• Aucun traceur non essentiel ne doit être déposé avant le choix de l'utilisateur. Pas au chargement, pas « en attendant ». C'est le manquement le plus fréquent, et il se voit dans l'onglet réseau du navigateur.
• Refuser doit être aussi simple qu'accepter. Concrètement : un bouton « Tout refuser » au premier niveau, de même visibilité que « Tout accepter ». Pas un lien gris en petits caractères qui ouvre un panneau de préférences à douze curseurs.
• La poursuite de la navigation ne vaut pas consentement. Cette pratique est morte depuis 2020, elle survit pourtant sur beaucoup de sites.
• Le choix doit être conservé, et pouvoir être modifié à tout moment. La CNIL recommande six mois pour la durée de vie du consentement.
• Le cookie wall, qui conditionne l'accès au site à l'acceptation, n'est pas interdit de façon absolue mais il est encadré très strictement. Pour une PME, considérez-le comme inaccessible.

Sur Google Analytics : après les décisions de 2022, la version GA4 correctement paramétrée et l'entrée en vigueur du Data Privacy Framework en juillet 2023 ont rétabli un cadre exploitable. Mais GA4 reste soumis au consentement, ce qui signifie que vous perdez la mesure sur tous les visiteurs qui refusent. Selon les secteurs, entre 20 et 50 % de l'audience.

Alternative sérieuse : les solutions de mesure d'audience exemptées de consentement. Matomo en configuration exemptée, AT Internet, Piano Analytics, Wysistat, entre autres. La CNIL publie la liste des solutions qui remplissent les conditions. Elles mesurent 100 % du trafic parce qu'elles ne nécessitent pas de bandeau. Pour un site vitrine qui a besoin de savoir quelles pages fonctionnent, c'est souvent le meilleur arbitrage. On y revient plus loin, parce que ça touche directement au SEO.

5. La sécurité et l'hébergement

L'article 32 impose des « mesures techniques et organisationnelles appropriées ». Formulation volontairement souple, qui s'apprécie au regard du risque. Pour un site d'entreprise, le socle attendu :

HTTPS sur l'intégralité du site, y compris les pages sans formulaire. Certificat valide, redirection systématique. Mises à jour du CMS et des extensions : un WordPress avec dix plugins non mis à jour depuis deux ans, c'est une porte ouverte, et la CNIL considère l'absence de mise à jour comme un manquement caractérisé. Mots de passe robustes et distincts, avec authentification à deux facteurs sur les accès administrateurs. Sauvegardes régulières, testées (une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une croyance). Journalisation des accès, avec conservation de six mois à un an.

Sur la localisation : un hébergement en France ou dans l'UE simplifie beaucoup de choses, mais ne rend pas conforme à lui seul. Question inverse, plus pertinente : vos données sortent-elles de l'UE par ailleurs ? Un formulaire qui envoie vers un CRM américain, une newsletter gérée depuis les États-Unis, un chat en ligne hébergé outre-Atlantique, tout ça constitue un transfert.

Depuis juillet 2023, le Data Privacy Framework permet ces transferts vers les entreprises américaines certifiées. Point de vigilance : la certification se vérifie, entreprise par entreprise, sur le registre officiel du Département du commerce américain. Et ce cadre reste contesté devant les juridictions européennes, comme l'ont été le Safe Harbor puis le Privacy Shield avant lui. Deux invalidations en dix ans, ça invite à ne pas construire toute son architecture dessus.

6. Les droits des personnes

Accès, rectification, effacement, limitation, opposition, portabilité. Le délai de réponse est d'un mois à compter de la demande, prolongeable de deux mois pour les demandes complexes, à condition d'en informer la personne dans le premier mois.

La vraie question dans une PME de dix personnes n'est pas juridique, elle est organisationnelle. Qui répond ?

Si la réponse est « ça dépend », vous avez un problème. Une demande d'effacement arrive sur l'adresse contact générique, un lundi de forte activité. Elle est lue, jugée bizarre, laissée de côté. Trois semaines plus tard, personne ne s'en souvient. Le mois est écoulé. Et l'absence de réponse est, en elle-même, un manquement sanctionnable, indépendamment du bien-fondé de la demande.

La parade tient en trois lignes de procédure : une adresse dédiée (donnees@ ou rgpd@), une personne nommément responsable avec un suppléant, un modèle de réponse préparé. Un quart d'heure de travail. Ça évite l'essentiel des ennuis sur ce volet.

Les points de friction propres aux sites vitrines et e-commerce

Le formulaire de contact et la fameuse case à cocher

Case pré-cochée : interdite, sans discussion possible. La CJUE a tranché en 2019 (arrêt Planet49) et la CNIL applique.

Une case, une finalité. C'est la règle qu'on voit le plus souvent violée. « J'accepte que mes données soient traitées et je souhaite recevoir la newsletter » : deux finalités, une case, consentement nul. Il en faut deux, dont une seule, éventuellement, obligatoire.

Et encore : pour un simple formulaire de contact, la case de consentement n'est même pas nécessaire. Le traitement repose sur l'intérêt légitime ou sur les mesures précontractuelles. Ce qu'il faut, c'est une mention d'information sous le formulaire, avec un lien vers la politique de confidentialité. La case reste utile pour la newsletter, qui elle est bien du consentement.

Beaucoup de sites font l'inverse : une case obligatoire pour envoyer le message (ce qui vicie le consentement, puisqu'il n'est pas libre) et aucune information sur l'usage réel des données. Le pire des deux mondes.

Les durées de conservation

Le point que tout le monde repousse, parce qu'il oblige à trancher. Quelques repères usuels, à ajuster selon l'activité :

• Prospect sans suite : 3 ans à compter du dernier contact.
• Client : durée de la relation, puis archivage intermédiaire selon la prescription applicable.
• Pièces comptables et factures : 10 ans, obligation du Code de commerce.
• Candidature non retenue : 2 ans maximum, et seulement si le candidat a été informé de cette conservation.
• Cookies : 13 mois pour le traceur, 6 mois recommandés pour le consentement.

Un argument qui convainc plus que le juridique : un fichier prospects purgé des contacts inactifs depuis trois ans coûte moins cher en routage email, affiche de meilleurs taux d'ouverture, dégrade moins la réputation d'expéditeur, et donne des indicateurs commerciaux enfin lisibles. La conformité rejoint l'hygiène de base du fichier. Ce n'est pas si fréquent, autant en profiter.

Les outils tiers embarqués, ce cimetière de scripts

Ouvrez le code source de votre page d'accueil. Comptez les domaines externes appelés. Le résultat surprend presque toujours.

Chat en ligne, pixel Meta installé pour une campagne de 2021 et jamais retiré, iframe Google Maps, polices Google chargées depuis les serveurs de Google, widget d'avis clients, outil de heatmap, script de reciblage, extension de partage social. Chacun de ces éléments est soit un sous-traitant qui reçoit des données, soit un transfert vers un pays tiers, souvent les deux.

Le cas des Google Fonts mérite mention : un tribunal allemand a condamné en 2022 un éditeur de site pour avoir chargé une police depuis les serveurs de Google, transmettant ainsi l'adresse IP du visiteur sans base légale. La solution tient en une heure de travail : héberger les fichiers de police sur son propre serveur. Bénéfice collatéral, la page se charge plus vite.

Chaque script tiers doit figurer au registre, être mentionné dans la politique de confidentialité, et faire l'objet d'un contrat.

Le contrat avec l'agence web, celui que personne ne signe

Article 28 : la relation entre le responsable de traitement (l'entreprise) et son sous-traitant (l'agence, l'hébergeur, le développeur, le prestataire SEO qui accède à l'analytics) doit être encadrée par un contrat écrit.

Ce contrat, ou cet avenant, doit préciser l'objet et la durée du traitement, la nature des données, les obligations du sous-traitant, son engagement de confidentialité, ses mesures de sécurité, ses conditions de recours à des sous-traitants ultérieurs, son obligation d'assistance en cas de demande d'exercice de droits ou de violation, et le sort des données en fin de contrat.

Ce qu'une entreprise roannaise doit exiger par écrit : la liste des sous-traitants ultérieurs (l'hébergeur de l'agence, son prestataire de sauvegarde), la localisation effective des données, le délai d'alerte en cas d'incident (48 heures est un maximum raisonnable, compte tenu du délai de 72 heures qui pèse sur vous), et la restitution ou suppression des données à la fin du contrat.

Un prestataire qui ne sait pas répondre à ces questions ou qui n'a pas de clause type à proposer, c'est un signal. Pas rédhibitoire, mais un signal.

Le DPO : obligatoire ou pas pour une PME du Roannais ?

Trois cas de désignation obligatoire

La désignation d'un délégué à la protection des données s'impose lorsque le traitement est effectué par une autorité ou un organisme public ; lorsque l'activité de base consiste en un suivi régulier et systématique de personnes à grande échelle ; ou lorsque l'activité de base porte sur des données sensibles ou relatives à des condamnations, à grande échelle.

« Activité de base » et « grande échelle » sont les deux notions qui excluent l'essentiel du tissu local. L'activité de base d'un fabricant de composants, c'est fabriquer des composants, pas suivre des personnes. Un cabinet de kinésithérapie traite des données de santé, mais pas à grande échelle au sens du règlement.

Conclusion pragmatique : la grande majorité des PME roannaises n'a pas l'obligation de désigner un DPO. Un hôpital, une mutuelle, une plateforme de services numériques, oui. Un négoce de matériaux avec un site vitrine, non.

Et la désignation volontaire ?

Elle a du sens dans certains contextes, notamment pour un sous-traitant industriel qui répond à des appels d'offres exigeants. Afficher un DPO déclaré à la CNIL, c'est un signal de maturité qui fait gagner des points dans les questionnaires fournisseurs.

Attention au revers : une fois désigné et déclaré, le DPO est soumis à l'intégralité du régime des articles 37 à 39. Indépendance, moyens, absence de conflit d'intérêts, rattachement au plus haut niveau. Il ne peut pas être le DSI ni le directeur commercial, puisqu'il contrôlerait ses propres décisions. Désigner le gérant est également problématique pour la même raison.

Les options réalistes, avec des ordres de grandeur :

Référent interne non déclaré comme DPO. Coût : du temps, une formation d'un à trois jours. Convient à la majorité des PME. La CNIL propose des parcours en ligne gratuits, sérieux et bien faits.

DPO mutualisé, partagé entre plusieurs entreprises, parfois via un groupement professionnel ou une chambre consulaire. Compter 2 000 à 6 000 euros par an selon le temps alloué.

DPO externalisé auprès d'un cabinet. De 3 000 à 12 000 euros par an pour une PME, selon le périmètre. Pertinent quand le risque est élevé ou que les clients l'exigent.

Sanctions et risques réels, au-delà de l'amende

L'échelle des suites d'un contrôle

On brandit toujours le chiffre spectaculaire : 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Pour une PME, ce plafond ne veut rien dire. La réalité est plus graduée, et souvent plus embêtante que coûteuse.

La mise en demeure arrive d'abord : un délai, souvent d'un à trois mois, pour se mettre en conformité. Non publique dans la majorité des cas. Si l'entreprise s'exécute, l'affaire s'arrête là.

Vient ensuite l'injonction sous astreinte, avec un montant par jour de retard. Puis l'amende administrative. Puis, dans certains cas, la publicité de la décision, qui est en réalité la sanction la plus redoutée par les dirigeants. Elle inscrit durablement le nom de l'entreprise dans les résultats de recherche.

La procédure simplifiée, créée en 2022, permet de sanctionner rapidement jusqu'à 20 000 euros sans séance publique. Elle a été conçue pour les manquements simples et fréquents : registre absent, cookies non conformes, droits non respectés. Autrement dit, exactement le profil d'une petite structure qui n'a rien fait. En 2024, cette procédure a représenté la majorité des sanctions prononcées.

Le risque commercial, celui dont on parle le moins

Pour beaucoup de sous-traitants industriels de la Loire, le vrai risque n'est pas l'amende. C'est le questionnaire.

Un grand donneur d'ordres, un groupe automobile, un acteur de la santé, un opérateur d'importance vitale, envoie à ses fournisseurs un questionnaire de conformité. Vingt à cinquante questions. Avez-vous un registre ? Un DPO ? Une procédure de notification de violation ? Où sont hébergées les données ? Vos sous-traitants sont-ils encadrés par contrat ?

Une entreprise qui ne peut pas répondre perd des points, parfois le marché. Et ce n'est pas de la théorie : ces questionnaires se sont généralisés depuis 2023, portés par les exigences de la directive NIS 2 qui font ruisseler les obligations le long de la chaîne d'approvisionnement.

Vu sous cet angle, la mise en conformité n'est plus une dépense de protection. C'est une condition d'accès au marché. Le calcul change du tout au tout.

La violation de données et les 72 heures

Une violation, ce n'est pas seulement le piratage spectaculaire. C'est aussi l'ordinateur portable oublié dans le train, l'email envoyé en copie visible à trois cents clients, le ransomware qui chiffre le serveur, le stagiaire qui repart avec le fichier commercial.

Dès qu'il y a un risque pour les personnes, la notification à la CNIL est due dans les 72 heures après la prise de connaissance. Et si le risque est élevé, les personnes concernées doivent être informées individuellement.

Soixante-douze heures, c'est court. Ça inclut les week-ends. Le vendredi soir à 19 h, la découverte d'une intrusion laisse jusqu'au lundi soir. Personne n'improvise correctement dans ces conditions.

Ce qui se prépare à froid, en une demi-journée : qui décide de qualifier l'incident, qui contacte l'hébergeur, qui rédige la notification, où se trouve le formulaire de télédéclaration, quelles preuves conserver, comment isoler le système sans détruire les traces. Un document d'une page, imprimé, connu de trois personnes. C'est tout ce qu'il faut, et ça change absolument tout le jour J.

Plan d'action en 8 étapes, du plus urgent au plus structurant

1. Auditer ce que le site collecte réellement. Charge : une demi-journée. Ouvrir chaque formulaire, lister les champs, ouvrir l'onglet réseau du navigateur, relever tous les domaines tiers appelés. Risque couvert : celui de traiter à l'aveugle. Tout le reste dépend de cette étape.

2. Mettre le bandeau cookies en conformité. Charge : une demi-journée à deux jours selon la solution retenue. Bouton refuser au premier niveau, blocage effectif avant consentement, conservation du choix, lien de modification accessible. Risque couvert : le plus contrôlé et le plus sanctionné. À faire en premier après l'audit.

3. Rédiger une politique de confidentialité qui décrit vos traitements. Charge : une journée. Sur la base de l'audit, pas d'un modèle. Risque couvert : le manquement à l'information, systématiquement relevé en contrôle.

4. Construire le registre. Charge : une à deux journées. En partant des catégories de personnes. Risque couvert : l'incapacité à démontrer la conformité, qui est en soi un manquement au principe de responsabilité.

5. Fixer et appliquer les durées de conservation. Charge : une journée, puis une purge. Risque couvert : la conservation illimitée, deuxième motif de mise en demeure. Bénéfice immédiat sur la qualité des fichiers.

6. Encadrer les sous-traitants. Charge : quelques heures par prestataire. Avenant RGPD avec l'agence, l'hébergeur, l'outil d'emailing, le CRM. Risque couvert : la responsabilité en cascade lors d'un incident chez un prestataire.

7. Remonter le niveau de sécurité. Charge : variable, une à trois journées. Mises à jour, double authentification, test de restauration d'une sauvegarde, revue des comptes actifs. Risque couvert : la violation de données, et l'aggravation de sanction pour négligence.

8. Écrire les deux procédures. Charge : une demi-journée. Exercice des droits et notification de violation. Une page chacune. Risque couvert : le dépassement des délais, qui transforme un incident gérable en manquement caractérisé.

Au total : entre six et douze jours de travail pour une PME au périmètre classique. Étalés sur un trimestre, c'est absorbable. Sur une semaine, dans l'urgence d'une mise en demeure, beaucoup moins.

Ce que la conformité apporte au référencement et à la conversion

Un bandeau mal conçu détruit votre mesure d'audience

Voilà le sujet dont on parle trop peu, et qui devrait pourtant intéresser tout dirigeant qui investit dans son SEO.

Quand un visiteur refuse les cookies, Google Analytics ne le voit pas. Selon les secteurs, le taux de refus s'établit entre 20 et 50 %. Ce qui signifie qu'une partie substantielle du trafic disparaît des rapports. Et ce n'est pas une part aléatoire : les visiteurs les plus attentifs à leur vie privée refusent davantage, ce sont souvent des profils techniques ou des acheteurs avertis.

Conséquence directe : un article de blog peut sembler contre-performant alors qu'il attire un trafic qui refuse simplement d'être mesuré. On arbitre, on réoriente la stratégie éditoriale, on abandonne un sujet rentable. Sur des données amputées de 40 %.

Trois arbitrages possibles.

Le consent mode v2 de Google, qui remonte des données modélisées pour les visiteurs non consentants. Ça reconstitue partiellement les volumes, mais avec une part d'estimation qu'il faut assumer, et un paramétrage technique non trivial.

La mesure exemptée avec un outil configuré selon les critères de la CNIL : pas de bandeau requis, 100 % du trafic mesuré, données brutes et fiables. Le compromis porte sur les fonctionnalités avancées de segmentation et sur l'intégration avec l'écosystème publicitaire Google.

La configuration mixte : mesure exemptée pour le pilotage SEO quotidien, GA4 sous consentement pour les campagnes payantes et les conversions. C'est le montage qu'on recommande le plus souvent aux entreprises dont l'enjeu principal est le référencement naturel.

Pour un site vitrine qui veut savoir quelles pages génèrent des demandes de devis, la mesure exemptée est presque toujours le meilleur choix. Elle donne des chiffres complets, elle simplifie le bandeau, et elle réduit le nombre de scripts chargés.

La confiance et le taux de transformation

Un formulaire accompagné d'une phrase claire (« vos coordonnées servent uniquement à répondre à votre demande, elles ne sont ni revendues ni utilisées pour de la prospection ») convertit mieux qu'un formulaire nu. Ce n'est pas de la conformité, c'est de la réassurance, et les deux se rejoignent naturellement.

L'inverse se vérifie aussi. Un bandeau cookies envahissant, en trois écrans, qui rend le refus laborieux, produit des sorties immédiates. Ces sorties dégradent les signaux comportementaux que Google observe. Personne n'a envie de se battre contre une fenêtre modale pour lire une page de présentation.

La performance technique, effet secondaire agréable

L'audit des traceurs se termine presque toujours par une découverte : la moitié des scripts chargés ne sert plus à rien. Un pixel de campagne terminée, un outil de heatmap testé pendant trois semaines en 2022, deux widgets sociaux devenus inutiles.

Les retirer, c'est moins de requêtes HTTP, moins de JavaScript à exécuter, un Largest Contentful Paint amélioré et un Interaction to Next Paint plus stable. Les Core Web Vitals étant des signaux de classement, l'effet se lit dans les positions.

Le nettoyage RGPD produit ainsi, sans qu'on l'ait cherché, une optimisation de performance. Sur des sites WordPress chargés d'extensions accumulées au fil des ans, on a vu des gains de plusieurs dixièmes de seconde. Ce n'est pas anecdotique.

Questions fréquentes

Une simple vitrine sans formulaire est-elle concernée ?

Oui, mais très légèrement. Même sans formulaire, le serveur enregistre les adresses IP dans ses logs, et le site dépose probablement des cookies techniques. Il faut donc des mentions légales, une politique de confidentialité courte et une ligne au registre. Comptez une demi-journée. C'est le cas le plus simple qui existe.

Peut-on réutiliser la politique de confidentialité d'un confrère ?

Techniquement rien ne l'empêche. Concrètement, c'est une mauvaise idée. Ce document décrit vos traitements, vos durées, vos destinataires. Copié, il devient un document mensonger, ce qui aggrave la situation en cas de contrôle plutôt que de la sauver. S'inspirer d'une structure existante, oui. Copier le contenu, non.

Le RGPD s'applique-t-il à mes prospects professionnels ?

Oui. Une adresse professionnelle nominative identifie une personne physique, elle est donc protégée. Ce qui change en B2B, c'est le régime de la prospection : l'article L.34-5 du CPCE autorise l'envoi sans consentement préalable si le message concerne l'activité professionnelle du destinataire et comporte un lien de désinscription. Une adresse générique de type contact@ échappe au régime des données personnelles, mais uniquement tant qu'elle ne permet pas d'identifier quelqu'un.

Combien coûte une mise en conformité pour une TPE ?

En interne, avec un dirigeant ou un assistant qui s'y consacre : six à douze jours de travail, plus éventuellement une solution de gestion du consentement (de gratuite à quelques centaines d'euros par an). Accompagné par un prestataire : de 1 500 à 5 000 euros pour un site vitrine, de 4 000 à 15 000 euros pour un e-commerce avec plusieurs outils connectés. Ces fourchettes varient beaucoup selon l'état de départ et le nombre de traitements.

Que faire si un client demande la suppression de ses données de facturation ?

On refuse, et on explique. Le droit à l'effacement ne s'applique pas lorsque la conservation répond à une obligation légale, et le Code de commerce impose dix ans pour les pièces comptables. La bonne réponse consiste à supprimer ce qui peut l'être (fiche prospect, inscription newsletter, historique de navigation) et à conserver les seules pièces obligatoires, en archivage à accès restreint, en le disant clairement au client. Ce qui est sanctionné, ce n'est pas le refus motivé, c'est le silence.

Un hébergeur français suffit-il à me rendre conforme ?

Non. C'est un bon point de départ, qui règle la question des transferts pour l'hébergement du site lui-même. Mais votre outil d'emailing, votre CRM, votre analytics, votre chat en ligne peuvent parfaitement être américains. Et l'hébergement ne dit rien du registre, des durées, des droits ou des cookies. C'est une brique, pas la maison.

Une hygiène, pas un dossier juridique

Voilà le déplacement qui rend tout le reste plus simple.

Tant que le RGPD est perçu comme un dossier juridique, il reste au fond d'un tiroir en attendant qu'un événement le fasse ressortir. Un client qui demande, un salarié qui menace, une lettre de la CNIL. Toujours au mauvais moment, toujours dans l'urgence.

Traité comme une hygiène de site, au même titre que les sauvegardes ou les mises à jour, il occupe deux heures par trimestre. On vérifie que le bandeau fonctionne toujours après la dernière mise à jour du CMS, on purge les prospects inactifs, on retire le pixel de la campagne terminée, on relit le registre. C'est tout.

Et cette régularité produit un effet inattendu : un site plus rapide, un fichier plus propre, des indicateurs plus fiables, un argument commercial en plus face aux donneurs d'ordres qui posent la question.

Une entreprise roannaise qui souhaite savoir où elle en est peut commencer par le plus rapide : un audit croisé de son site, sur le double axe conformité et performance. Une demi-journée d'analyse suffit à établir la liste des points bloquants, à les hiérarchiser par risque réel, et à chiffrer la remise à niveau. Sans engagement, et surtout sans jargon.