Conformité RGPD pour un site indépendant : consentement aux cookies, droits des personnes, DPA et politique de confidentialité
1. L’échelle des amendes RGPD : pourquoi une simple politique de confidentialité ne suffit pas
Le RGPD (Règlement général sur la protection des données) s’applique à tout site indépendant visant des utilisateurs de l’Union européenne, où que soit située votre entreprise. Les amendes se répartissent en deux niveaux : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour une infraction courante, et jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel pour une infraction grave, le montant le plus élevé étant retenu. Google a été condamné par la DPC irlandaise à une amende de 50 millions d’euros pour infraction en matière de technologies publicitaires, et Amazon à 746 millions d’euros pour manque de transparence dans le traitement des données.
Le constat contre-intuitif est le suivant : la cause la plus fréquente des amendes n’est pas une politique de confidentialité mal rédigée, mais une bannière cookies non conforme. Beaucoup de sites chargent les scripts Google Analytics et Facebook Pixel en arrière-plan dès l’arrivée de l’utilisateur, puis affichent une fenêtre “Accepter les cookies”. C’est illégal au regard du RGPD, car les scripts d’analyse sont des cookies non essentiels et ne doivent se charger qu’après le consentement explicite de l’utilisateur. Pour une présentation complète des fondations de la conformité, voir Les fondations de la conformité pour un site à l’international : RGPD, cookies et transferts de données.
| Type d’infraction | Niveau d’amende | Déclencheur typique |
|---|---|---|
| Chargement de cookies sans consentement | Infraction grave, jusqu’à 20 M€ ou 4 % | GA/Pixel chargés avant l’affichage de la bannière |
| Absence de bouton “Refuser” | Infraction grave | Seuls “Accepter” et “Poursuivre la navigation” sont proposés |
| Politique de confidentialité opaque | Infraction courante, jusqu’à 10 M€ ou 2 % | Finalités du traitement et destinataires non mentionnés |
| Absence de réponse aux demandes des personnes | Infraction grave | Aucune réponse à une demande d’accès ou de suppression sous 30 jours |
| DPA non signé | Infraction courante | Aucun DPA signé avec les prestataires d’analyse, d’e-mailing ou de CRM |
2. Comment mettre en place la gestion du consentement aux cookies (CMP)
La plateforme de gestion du consentement aux cookies (CMP) est le composant central de la conformité. Elle remplit trois fonctions. Premièrement, afficher une bannière cookies à l’arrivée de l’utilisateur, en classant les cookies en trois catégories (nécessaires, analyse, marketing) qu’il coche séparément. Deuxièmement, ne pas charger les scripts non essentiels tels que GA, Facebook Pixel ou LinkedIn Insight Tag tant que l’utilisateur n’a pas consenti à la catégorie analyse. Troisièmement, enregistrer les choix de consentement et leur horodatage comme preuve.
Trois exigences non négociables : premièrement, le bouton « Refuser » doit être aussi visible que le bouton « Accepter », interdiction de cacher le refus dans un sous-menu. Deuxièmement, aucune case ne doit être cochée par défaut, l’utilisateur doit faire un choix actif. Troisièmement, « Continuer la navigation » ne vaut pas consentement : faire défiler la page ne peut pas être considéré comme un accord. Outils CMP recommandés : Cookiebot (la version gratuite suffit pour un petit site), OneTrust (niveau entreprise), CookieYes (extension WordPress). Pour la surveillance du site, voir Surveillance et alertes du site.
| Type de cookie | Consentement requis | Exemple | Mesure à prendre |
|---|---|---|---|
| Cookies nécessaires | Non | Session, panier, CSRF | Chargés directement, sans bannière |
| Cookies analytiques | Oui | Google Analytics | Chargés après consentement |
| Cookies marketing | Oui | Facebook Pixel、LinkedIn Tag | Chargés après consentement |
| Cookies fonctionnels | Oui | Préférence de langue, choix de région | Chargés après consentement |
Trois. Droits des personnes concernées : la procédure de réponse sous 30 jours
Le RGPD accorde sept droits aux utilisateurs de l’UE : accès, rectification, effacement, limitation du traitement, portabilité, opposition et décision automatisée. Sur un site e-commerce indépendant, les demandes les plus fréquentes sont le droit d’accès (« montrez-moi quelles données vous conservez sur moi ») et le droit à l’effacement (« supprimez toutes mes données »). Ces deux droits doivent être traités sous 30 jours ; pour une demande complexe, vous pouvez prolonger de 2 mois, à condition d’en informer l’utilisateur au préalable.
Exemple concret : un utilisateur allemand vous écrit pour demander la suppression de toutes ses données. Trois choses à faire. Premièrement, vérifier son identité (demandez l’e-mail de compte et le numéro de commande). Deuxièmement, supprimer ou anonymiser ses données dans le back-office du site, le CRM, l’outil d’e-mailing et les logs du CDN. Troisièmement, lui répondre par écrit que la suppression est faite, en précisant les systèmes concernés. Toute la procédure doit suivre un SOP standard, sans chercher les données à la dernière minute. Pour la fiabilité du formulaire de contact, voir Fiabilité du formulaire de demande de devis l’article sur la gouvernance des données du même site.
| Type de droit | Contenu de la demande | Délai de réponse | Action à mener |
|---|---|---|---|
| Droit d’accès | Montrez-moi quelles données vous conservez sur moi | 30 jours | Exporter les données utilisateur de tous les systèmes |
| Droit à l’effacement | Supprimez toutes mes données | 30 jours | Supprimer ou anonymiser dans tous les systèmes |
| Droit de rectification | Mes informations sont erronées, corrigez-les | 30 jours | Mettre à jour le CRM et le système de commandes |
| Droit d’opposition | Ne m’envoyez plus d’e-mails marketing | Immédiat | Désinscrire de la liste d’e-mails, marquer l’opposition |
| Droit à la portabilité | Exportez mes données et transmettez-les moi | 30 jours | Export dans un format lisible par machine |
Quatre. DPA et politique de confidentialité : deux documents incontournables
Le DPA (accord de traitement des données) est le contrat que vous signez avec tout tiers traitant des données d’utilisateurs de l’UE. Les sous-traitants les plus courants pour un site e-commerce indépendant sont : Google Analytics, Google Tag Manager, les outils d’e-mailing Mailchimp/SendGrid, les solutions de paiement Stripe/PayPal, les CRM HubSpot/Salesforce et les fournisseurs de CDN. Vous devez signer un DPA avec chacun d’eux, vérifier qu’ils traitent les données conformément au RGPD et lister leurs sous-traitants ultérieurs.
Une politique de confidentialité ne se copie pas depuis un site de modèles. Elle doit préciser : qui est le responsable du traitement, quelles données sont traitées, dans quel but, à qui elles sont transmises (en nommant Google, Stripe, etc.), combien de temps elles sont conservées, quels droits ont les utilisateurs, comment les exercer, et le contact du DPO. Le langage doit rester simple, sans jargon juridique à chaque ligne. Présentez l’information par niveaux : un résumé en page d’accueil, le détail en sous-page. Voir aussi l’accessibilité du site Accessibilité du site (WCAG).
| Tiers | Type de données | DPA déjà en place | Remarque |
|---|---|---|---|
| Google Analytics | Données comportementales | Signable depuis la console Google | Anonymisation IP requise |
| Stripe/PayPal | Données de paiement | DPA standard du prestataire de paiement | Aucune négociation nécessaire |
| Outil d’emailing | Données d’e-mail et d’abonnement | Signable depuis la console de l’outil | Sous-traitants à lister |
| CRM (HubSpot, etc.) | Données clients et prospects | Signable en version entreprise | DPA incomplet en version gratuite |
| CDN (Cloudflare, etc.) | Données de logs | DPA standard | Durée de conservation des logs à confirmer |
5. Feuille de route pour les petites équipes : quatre étapes
Une petite équipe ne doit pas essayer de tout faire en une fois. Procédez en quatre étapes. Première étape : installez un outil CMP et configurez les catégories de cookies et le chargement différé des scripts. Deuxième étape : signez un DPA avec chaque tiers et établissez la liste des sous-traitants. Troisième étape : rédigez une politique de confidentialité claire qui couvre toutes les mentions obligatoires. Quatrième étape : mettez en place une procédure de traitement des demandes des personnes concernées, incluant la vérification d’identité, la suppression dans tous les systèmes et la réponse écrite.
Les erreurs à éviter : premièrement, considérer le « poursuite de la navigation » comme un consentement, c’est une infraction. Deuxièmement, charger les scripts d’analyse avant l’affichage de la bannière, c’est le déclencheur d’amende le plus fréquent. Troisièmement, copier sa politique de confidentialité depuis un site de modèles sans préciser les finalités ni les destinataires. Quatrièmement, ne pas savoir où sont stockées les données quand un utilisateur demande leur suppression, faute d’inventaire des données. Cinquièmement, transférer des données européennes vers des serveurs en Chine sans clauses contractuelles types (CCT), alors qu’un transfert transfrontalier exige un mécanisme légal. Voir aussi la sauvegarde et la restauration Sauvegarde et restauration : s’entraîner à réagir.
| Phase | Action | Livrable | Fréquence conseillée |
|---|---|---|---|
| Première étape | Installer un CMP et configurer les catégories de cookies | Bannière cookies conforme | 1 semaine |
| Deuxième étape | Signer tous les DPA tiers | Liste des sous-traitants | 2 semaines |
| Troisième étape | Rédiger la politique de confidentialité | Page de politique de confidentialité par niveaux | 1 semaine |
| Étape 4 | Mettre en place la procédure de demandes de données | Document de procédure de réponse sous 30 jours | 1 semaine |
FAQ — Questions fréquentes
Quelle est l’amende maximale au titre du RGPD et dans quels cas est-elle infligée ?
La bannière cookies doit-elle comporter un bouton de refus, et peut-il être caché dans un sous-menu ?
Quand le script Google Analytics peut-il se charger ?
L’utilisateur demande la suppression de ses données : sous quel délai dois-je répondre ?
Qu’est-ce qu’un DPA, et avec qui le signer ?
Comment démarrer la conformité RGPD dans une petite équipe ?
Pour conclure
La conformité RGPD ne repose pas sur la beauté des documents juridiques, mais sur ce qui est fait techniquement : aucun cookie chargé à l’avance, consentement tracé, DPA signés avec les tiers, procédure en place pour les demandes des utilisateurs. Le problème de nombreux sites : une politique de confidentialité de plusieurs dizaines de pages, mais un script GA qui s’exécute avant l’affichage de la bannière. C’est là que naissent les vraies sanctions.
Quatre étapes concrètes : installer un CMP et configurer les catégories de cookies, signer un DPA avec tous les tiers, rédiger une politique de confidentialité claire, mettre en place une procédure de réponse aux demandes de données sous 30 jours. Dans une petite équipe, ne cherchez pas à tout faire d’un coup : réglez d’abord le consentement aux cookies, le point de sanction le plus fréquent.
Une phrase à retenir : la conformité RGPD, ce n’est pas écrire une politique de confidentialité, c’est faire en sorte que votre site ne charge aucun cookie non essentiel en douce avant que l’utilisateur ait dit « non ».