Qui est concerné (spoiler : tout le monde)
Dès qu'un site collecte une donnée personnelle — un simple formulaire de contact, une adresse e-mail de newsletter, une adresse IP via un outil de mesure — le RGPD s'applique. Aucun seuil de taille ni de chiffre d'affaires n'exonère une TPE ou un artisan.
« Mon site est une simple vitrine, je ne suis pas concerné. » Faux : un formulaire de contact et un outil d'analytics suffisent à déclencher toutes les obligations.
La checklist conformité, élément par élément
Triez par risque pour traiter en priorité ce qui expose le plus à une sanction.
| Élément | Obligation | Durée de conservation | Risque |
|---|---|---|---|
| Bandeau de consentement | Refus aussi simple que l'acceptation | Choix conservé 6 mois | |
| Mentions légales | Éditeur, hébergeur, contact | Permanent | |
| Politique de confidentialité | Finalités, bases légales, droits | Permanent | |
| Cookies publicitaires | Consentement explicite préalable | 13 mois maximum | |
| Formulaire de contact | Finalité + case non pré-cochée | 3 ans après dernier contact | |
| Mesure d'audience | Consentement sauf exemption CNIL | 13 mois maximum | |
| Sécurité (HTTPS, sauvegardes) | Mesures techniques appropriées | Continu | |
| Registre de traitements | Obligatoire dès qu'il y a collecte | Tenu à jour |
Le bandeau cookies : les 5 règles à respecter
- Refuser doit être aussi simple qu'accepter — 2 boutons de même niveau visuel.
- Aucun cookie non essentiel déposé avant le clic de l'utilisateur.
- Un choix granulaire : nécessaires, statistiques, publicité.
- La possibilité de changer d'avis à tout moment via un lien permanent.
- Une preuve du consentement conservée et un choix re-demandé au bout de 6 mois.
Notre propre implémentation est documentée dans la politique de cookies et la politique de confidentialité du site.
RGPD et SEO : un impact réel
Performance
Une CMP mal intégrée peut ajouter 300 à 800 ms de LCP. Chargez-la en asynchrone et réservez son espace pour éviter tout décalage visuel (voir Core Web Vitals).
Confiance et conversion
Des mentions claires augmentent le taux de conversion des formulaires : l'utilisateur sait ce que devient sa donnée.
Indexation
Un bandeau bloquant mal codé peut masquer le contenu aux robots. Vérifiez systématiquement le rendu dans l'inspecteur d'URL de Search Console.
Sanctions et bonnes pratiques
La CNIL sanctionne d'abord par mise en demeure publique, puis par amende — jusqu'à 4 % du chiffre d'affaires mondial dans les cas les plus graves. Pour une TPE, le risque réel est surtout réputationnel et déclenché par une plainte d'utilisateur. La conformité coûte quelques heures de travail ; la non-conformité peut coûter bien davantage.
- Documentez chaque traitement dans un registre simple, même sous forme de tableur.
- Purgez automatiquement les données au-delà des durées de conservation annoncées.
- Vérifiez que vos sous-traitants (hébergeur, CRM, emailing) sont conformes RGPD.
- Prévoyez une procédure de réponse aux demandes d'accès et de suppression sous 30 jours.
- Faites relire vos mentions légales et vos CGV une fois par an.