Le RGPD est en vigueur depuis mai 2018. Pourtant, la CNIL estime encore aujourd'hui que la moitié des sites vitrines TPE en France ne sont pas totalement conformes. Certains ne le savent pas, d'autres espèrent que le contrôle ne tombera jamais sur eux.
C'est un pari risqué : les amendes peuvent atteindre 4 % du chiffre d'affaires annuel ou 20 millions d'euros pour les grands groupes. Pour un TPE, la CNIL sanctionne plus généralement par des mises en demeure publiques qui font tache dans les moteurs de recherche.
Voici la check-list en 10 points pour vérifier rapidement si votre site est conforme.
Point 1 : le bandeau de consentement cookies
Votre site pose-t-il un bandeau dès la première visite ? Ce bandeau propose-t-il de refuser aussi facilement que d'accepter ?
Ce qui doit être présent :
Un bouton "Accepter" au même niveau visuel qu'un bouton "Refuser".
Un lien vers les détails des cookies utilisés.
Une possibilité de personnaliser le consentement par catégorie (essentiels, analytics, marketing).
Ce qui est interdit :
Un bouton "OK" seul, sans possibilité de refuser explicitement.
Un bandeau avec juste "En continuant, vous acceptez" : c'est illégal depuis 2020.
Un bandeau qui bloque totalement l'accès au site tant qu'on n'a pas cliqué "OK".
Point 2 : la politique de confidentialité
Votre site a-t-il une page dédiée à la politique de confidentialité ? Est-elle à jour ?
Ce qui doit y figurer :
Les données collectées (nom, email, adresse IP, etc.).
La finalité de la collecte (envoi de réponse aux contacts, statistiques anonymes de visite).
La durée de conservation des données.
Les tiers auxquels les données peuvent être transmises (hébergeur, prestataire d'analytics).
Les droits de la personne (accès, rectification, suppression, opposition).
Le contact du DPO ou de la personne responsable RGPD chez vous.
Point 3 : les mentions légales
Les mentions légales sont une obligation distincte du RGPD, mais souvent traitées ensemble.
Elles doivent contenir :
Votre raison sociale complète.
Votre SIREN ou SIRET.
Votre adresse professionnelle.
Votre email et téléphone de contact.
Le nom du directeur de publication (souvent vous, dirigeant).
Les coordonnées de l'hébergeur du site (raison sociale, adresse).
Votre numéro d'inscription au RCS (sociétés commerciales) ou au répertoire des métiers (artisans).
Votre numéro de TVA intracommunautaire si vous êtes assujetti.
Point 4 : le formulaire de contact
Votre formulaire de contact respecte-t-il le principe de minimisation ?
Ce qu'il faut faire :
Ne demander que les informations strictement nécessaires : nom, email, sujet et message suffisent la plupart du temps.
Ne pas rendre obligatoires des champs qui ne sont pas indispensables (l'âge, l'adresse postale complète, le numéro de téléphone).
Ajouter une case à cocher explicite pour l'acceptation de la politique de confidentialité AVANT l'envoi du formulaire.
Confirmer visuellement l'envoi et rappeler la durée de réponse.
Point 5 : Google Analytics ou outil de tracking
Si vous utilisez Google Analytics, Facebook Pixel ou tout autre outil qui identifie les visiteurs, vous devez :
Attendre l'acceptation explicite dans le bandeau cookies avant de charger le script de tracking.
Configurer Google Analytics en mode "IP anonymisée" (paramètre standard depuis 2020).
Ne pas utiliser les fonctionnalités de retargeting sans consentement explicite.
Alternative Piikivi : notre analytics interne est RGPD compatible par défaut, sans stocker d'IP ni d'identifiant personnel. Il ne nécessite pas de bandeau cookies.
Point 6 : la newsletter et les inscriptions emails
Si vous proposez une newsletter, elle doit respecter le principe du double opt-in :
L'utilisateur donne son email sur le site.
Vous lui envoyez un email de confirmation avec un lien de validation.
Ce n'est qu'après qu'il clique sur ce lien que vous pouvez l'ajouter à votre liste.
Vous devez aussi permettre à tout moment un désabonnement facile en un clic depuis les emails. La CNIL contrôle régulièrement cette obligation.
Point 7 : l'hébergement des données
Où sont hébergées les données collectées via votre site ? Cette question est cruciale depuis l'arrêt Schrems II de 2020 qui a invalidé le Privacy Shield américain.
Ce qu'il faut savoir :
Un hébergeur européen est préférable pour éviter les transferts de données vers les États-Unis.
Si vous utilisez un hébergeur américain (AWS, Google Cloud, Azure), vérifiez que les serveurs sont bien situés en Europe (zone eu-west-1 par exemple).
Votre politique de confidentialité doit mentionner explicitement le pays d'hébergement.
Piikivi utilise Render.com avec des serveurs situés en Europe. Nous vous aidons à rédiger votre politique de confidentialité en y mentionnant correctement le pays d'hébergement.
Point 8 : la durée de conservation des données
Pour chaque type de donnée que vous collectez, vous devez définir une durée de conservation raisonnable et l'annoncer dans votre politique de confidentialité.
Exemples courants :
Les messages du formulaire de contact : conservation pendant 3 ans à compter du dernier contact.
Les cookies de statistiques : 13 mois maximum selon la recommandation CNIL.
Les emails de prospection : 3 ans à compter du dernier contact avec le prospect.
Les factures et documents commerciaux : 10 ans conformément au Code de commerce.
Point 9 : le droit à l'oubli et à l'accès
Toute personne dont vous collectez des données peut demander à tout moment :
Un accès à l'ensemble des données que vous détenez sur elle (droit d'accès).
Une correction des données inexactes (droit de rectification).
Une suppression complète des données (droit à l'oubli).
Une portabilité des données dans un format lisible (droit à la portabilité).
Vous devez disposer d'un processus documenté pour répondre à ces demandes sous 30 jours maximum. Sans ce processus, vous n'êtes pas conforme.
Point 10 : le registre des traitements
Si vous employez au moins 250 personnes ou si vous traitez des données sensibles (santé, opinions politiques, orientation sexuelle), vous devez tenir un registre des traitements.
Pour les TPE avec moins de 250 salariés, ce registre n'est pas obligatoire mais la CNIL le recommande fortement. Il vous permet, en cas de contrôle, de prouver rapidement que vous savez ce que vous faites de la donnée.
Le registre doit contenir :
La liste des traitements (formulaire de contact, newsletter, analytics, etc.).
La finalité de chacun.
Les données collectées.
Les personnes ayant accès.
Les mesures de sécurité mises en place.
Notre approche chez Piikivi
La conformité RGPD est un cauchemar pour les TPE : trop de textes, trop de détails, trop de décisions techniques.
Chez Piikivi, on prend le problème à la racine : bandeau cookies conforme par défaut, analytics interne sans cookies, hébergement européen, et un accompagnement à la rédaction de vos mentions légales et politique de confidentialité. Vous n'avez pas à devenir juriste pour avoir un site conforme.
Si vous voulez juste faire vérifier votre site actuel, on peut vous faire un audit gratuit de conformité. Contactez-nous et on regarde ensemble en 15 minutes.