RGPD et site internet : ce qu’une TPE doit vraiment respecter

Beaucoup d’indépendants pensent être « trop petits » pour être concernés par le RGPD. D’autres, à l’inverse, imaginent qu’il faut un site juridiquement blindé pour se lancer. La réalité, d’après les recommandations de la CNIL, se situe entre les deux : quelques obligations simples s’appliquent dès qu’un site collecte la moindre donnée (un formulaire de contact suffit), et elles ne dépendent pas de la taille de l’entreprise. Voici ce qui s’applique concrètement à un site vitrine.

Non, votre taille ne vous met pas à l’abri

Le RGPD ne prévoit pas d’exemption générale pour les petites structures : dès qu’un site collecte des données personnelles (un nom et un e-mail dans un formulaire de contact suffisent), les règles s’appliquent, que vous soyez auto-entrepreneur ou grande entreprise. Ce qui change avec la taille, ce sont certaines obligations renforcées (comme la tenue d’un registre plus détaillé), pas le principe lui-même.

Un formulaire de contact doit informer, pas seulement fonctionner

La CNIL recommande d’ajouter, au bas de chaque formulaire, une mention indiquant qui reçoit les données, pourquoi, combien de temps elles sont conservées, et comment un visiteur peut exercer ses droits. Ce n’est pas une simple formalité : c’est ce qui distingue un formulaire conforme d’un formulaire qui ne l’est pas.

Les cookies non essentiels demandent un consentement, pas juste un bandeau

Un bandeau cookies ne suffit pas s’il ne fait qu’informer : pour tout ce qui n’est pas strictement nécessaire au fonctionnement du site (mesure d’audience comme Google Analytics, boutons de réseaux sociaux, vidéos intégrées), le consentement du visiteur doit être recueilli avant le dépôt du cookie, et il doit être aussi facile de refuser que d’accepter.

Mentions légales et politique de confidentialité doivent être accessibles

Deux informations distinctes sont attendues : des mentions légales identifiant l’éditeur du site, et une politique expliquant comment les données des visiteurs sont traitées. Les deux doivent être trouvables facilement, pas enterrées au fond d’un menu.

Un visiteur doit pouvoir exercer ses droits

Accès, rectification, suppression : un canal simple (adresse e-mail dédiée ou formulaire) doit permettre à toute personne de faire valoir ces droits sur les données que vous détenez à son sujet. Pas besoin d’un dispositif complexe, mais le contact doit exister et être traité.

Le RGPD n’est pas une case à cocher une fois pour toutes : c’est une manière de traiter les données de vos visiteurs avec autant de sérieux que vous en attendez pour les vôtres.

Ce qui est souvent complexifié pour rien

Un DPO (délégué à la protection des données) n’est obligatoire que dans des cas précis : organismes publics, suivi régulier et à grande échelle de personnes, ou traitement à grande échelle de données sensibles. Ce n’est pas la situation d’un site vitrine classique. De même, un registre des traitements très simplifié suffit dans la majorité des cas pour une TPE. Chaque activité a ses spécificités : en cas de doute sur votre situation précise, la CNIL propose des fiches pratiques gratuites, et un professionnel du droit reste le bon interlocuteur pour trancher un cas particulier.

Ce que je fais, de mon côté, quand je construis un site : formulaire avec mention d’information intégrée, bandeau de consentement fonctionnel (pas juste cosmétique), mentions légales et politique de confidentialité à jour, dès la mise en ligne.