RGPD et site internet : les obligations d'un artisan ou d'un commerçant

Oui, le RGPD s'applique à un artisan ou à un commerçant dès que son site ou son activité collecte des données de personnes : formulaire de contact, demande de devis, prise de rendez-vous, fichier clients, newsletter. Les obligations de base tiennent en cinq points : informer, ne collecter que le nécessaire, conserver peu de temps, sécuriser, et respecter les droits des personnes.

Ce texte ne remplace pas un conseil juridique et ne couvre que les cas courants d'un site vitrine ou d'une petite boutique. Pour toute question précise, la référence reste le site de la CNIL. Pour la mise à jour des obligations au fil des années, notre article RGPD et site web en 2026 fait le point sur les évolutions ; celui-ci est un guide de mise en conformité, point par point.

RGPD et site vitrine : qu'est-ce qu'il faut faire ?

Voici la liste de base, dans l'ordre où les traiter.

1. Savoir quelles données vous collectez et pourquoi : formulaire de contact, devis, rendez-vous, newsletter, avis, statistiques de visite, cookies.
2. Ne demander que le nécessaire. Pour un devis, un nom, un moyen de contact et la description du besoin suffisent. Une date de naissance n'a rien à y faire.
3. Afficher une politique de confidentialité claire et accessible depuis toutes les pages.
4. Gérer les cookies selon la règle du consentement (voir plus bas).
5. Sécuriser le site : HTTPS, mises à jour, mots de passe solides, sauvegardes.
6. Tenir un registre des traitements, même simple.
7. Prévoir comment répondre à une demande d'accès ou de suppression.
8. Savoir quoi faire en cas de fuite de données.

La plupart de ces points se règlent en quelques heures sur un site simple. Pour les mentions légales, qui sont une obligation distincte, le générateur de mentions légales donne une base.

Pourquoi faut-il une politique de confidentialité ?

Parce que le RGPD impose d'informer les personnes dont vous collectez les données, au moment de la collecte. C'est l'objet de la politique de confidentialité. Elle doit être compréhensible, et indiquer au minimum :

• qui est responsable (votre entreprise, vos coordonnées) ;
• quelles données sont collectées et pourquoi (finalités) ;
• sur quelle base (votre intérêt légitime, l'exécution d'un contrat, le consentement) ;
• combien de temps elles sont conservées ;
• qui les reçoit (hébergeur, outil d'envoi d'e-mails, prestataire) ;
• les droits des personnes et comment les exercer ;
• le droit de saisir la CNIL.

Elle n'est pas facultative pour une boutique en ligne, ni pour un site avec simple formulaire de contact : dès qu'on collecte une donnée personnelle, l'information est due. Le texte peut être court sur un site simple. Sur Wix, Shopify ou WordPress, la plateforme propose parfois un modèle ; il doit être adapté à ce que vous faites réellement, pas copié tel quel. Un modèle trouvé sur un autre site, avec le mauvais nom d'entreprise ou des outils que vous n'utilisez pas, est pire que rien.

Politique de confidentialité d'un formulaire de contact

Au-dessus ou sous le bouton d'envoi, ajoutez une phrase courte : pourquoi vous demandez ces informations, qui les reçoit, combien de temps, et un lien vers la politique complète. Exemple type : « Les informations saisies servent à répondre à votre demande. Elles sont conservées le temps du traitement de votre demande, puis supprimées. En savoir plus. »

Quelles données peut-on collecter avec un formulaire de devis ?

Seulement celles qui servent à répondre. Le principe de minimisation veut que chaque champ ait une raison d'être.

• Utiles : nom, e-mail ou téléphone, adresse du chantier si nécessaire, description du besoin, photos si elles aident à chiffrer.
• Rarement justifiées : date de naissance, situation familiale, pièce d'identité, données de santé.

Si vous demandez des informations sensibles (par exemple dans le secteur de la santé ou du bien-être), le niveau d'exigence monte. Un champ « message libre » peut recevoir n'importe quoi : prévenez le visiteur de ne pas y écrire de données sensibles.

Faut-il demander le consentement pour envoyer un devis par e-mail ?

Non. Répondre à une demande de devis relève de la réponse à la demande de la personne (mesures précontractuelles). Un consentement n'est pas nécessaire, mais l'information l'est. En revanche, utiliser l'adresse pour envoyer ensuite des offres promotionnelles est une autre finalité, avec ses propres règles (voir newsletter).

Quels cookies nécessitent le consentement ?

La règle générale : tout cookie ou traceur non indispensable au fonctionnement du site demande le consentement préalable du visiteur. Cela concerne notamment les cookies publicitaires, de réseaux sociaux, de profilage et la plupart des outils de statistiques.

Exemptés de consentement (cookies « strictement nécessaires ») : ceux qui servent à fournir le service demandé, comme garder le panier d'une boutique, mémoriser une session de connexion, assurer la sécurité du site ou retenir le choix cookies lui-même.

Un bandeau conforme permet de refuser aussi facilement qu'accepter, n'installe rien avant le choix et laisse le visiteur revenir sur sa décision. Sur un site qui ne dépose aucun cookie non essentiel, aucun bandeau n'est nécessaire, ce qui est la configuration la plus simple. Les règles précises et leur évolution sont sur cnil.fr.

Cookies strictement nécessaires : où est la limite ?

Un cookie qui sert à mesurer la fréquentation n'est pas « strictement nécessaire » au sens strict, sauf si l'outil respecte les conditions de l'exemption décrite ci-dessous. Une vidéo intégrée, un widget de réseau social ou un plan interactif peuvent aussi déposer des traceurs : pensez-y.

Peut-on utiliser Google Analytics sans demander le consentement ?

En pratique, non. La CNIL ne range pas Google Analytics parmi les outils de mesure d'audience exemptés, et son usage a fait l'objet de décisions relatives au transfert de données hors de l'Union européenne. Si vous l'utilisez, un recueil du consentement est à prévoir. Vérifiez la position actuelle de la CNIL avant de décider.

Mesure d'audience sans consentement : l'exemption de la CNIL

La CNIL admet que certains outils de mesure d'audience soient exemptés de consentement s'ils respectent des conditions strictes : finalité limitée à la mesure de l'audience du site, données non croisées avec d'autres traitements, pas de suivi du visiteur d'un site à l'autre, information et possibilité de s'opposer. Elle publie des critères et des listes d'outils concernés.

Alternative gratuite à Google Analytics respectueuse du RGPD

Plusieurs outils de statistiques sont conçus pour respecter ces critères, dont certains en logiciel libre. Matomo, par exemple, peut être configuré pour entrer dans l'exemption ; ce n'est pas automatique, il faut le paramétrer (anonymisation partielle des adresses IP, durée de conservation limitée, pas de partage des données). Pour choisir, vérifiez la documentation de l'outil et les recommandations actuelles de la CNIL. Pour décider de ce qu'il faut réellement suivre, voir Google Analytics 4 pour les TPE, qui détaille les indicateurs utiles.

Faut-il un registre des traitements quand on est une TPE ?

Le registre est une obligation de principe du RGPD, assortie d'une dérogation pour les organismes de moins de 250 personnes, qui ne joue pas si le traitement n'est pas occasionnel, ou porte sur des données sensibles, ou présente un risque. Or tenir un fichier clients ou une liste de salariés n'est pas occasionnel : en pratique, presque toutes les petites structures y sont soumises, et la CNIL recommande à toutes d'en tenir un.

Un registre est un simple tableau, qui décrit pour chaque activité :

| Activité | Données | Pourquoi | Base | Durée | Qui y accède | Où | |---|---|---|---|---|---|---| | Devis et facturation | Identité, adresse, historique | Contrat, obligations comptables | Contrat, loi | Durée de la relation puis durée légale | Vous, comptable | Logiciel de facturation | | Formulaire de contact | Nom, e-mail, message | Répondre | Demande de la personne | Temps de traitement | Vous | Messagerie | | Newsletter | E-mail | Informer | Consentement | Jusqu'au désabonnement | Vous | Outil d'envoi | | Paie | Identité, salaire | Obligations sociales | Loi | Durée légale | Vous, comptable | Logiciel de paie |

Pour tenir le registre simplement : un tableur mis à jour quand vous changez d'outil ou de pratique. La CNIL propose un modèle gratuit sur son site.

Qu'est-ce qu'un registre des traitements, au fond ?

C'est la preuve que vous savez ce que vous faites des données. Il ne se dépose nulle part : il se tient à jour et se montre en cas de contrôle.

Faut-il déclarer un fichier clients ou un site à la CNIL ?

Non. Depuis l'entrée en application du RGPD, la déclaration préalable de la plupart des fichiers n'existe plus. Elle a été remplacée par la responsabilité de l'organisme (registre, information, sécurité). Ne vous laissez pas démarcher par des sociétés qui vous proposent une « déclaration CNIL » payante : la démarche n'est plus requise dans ce cas, vérifiez sur cnil.fr.

Combien de temps conserver les données personnelles de ses clients ?

Il n'existe pas de durée unique : elle doit être proportionnée à la finalité. Quelques repères :

• Prospects : la CNIL indique en général une durée de l'ordre de trois ans après le dernier contact.
• Clients : pendant la relation, puis, en archivage limité, le temps des obligations légales (prescription, comptabilité).
• Pièces comptables : durée fixée par le Code de commerce (voir Légifrance).
• Formulaire de contact sans suite : supprimez après le traitement de la demande, sans attendre.
• Candidatures non retenues : durée courte.

Fixez des durées, écrivez-les dans votre politique et programmez une purge annuelle.

Quels sont les droits d'un client sur ses données ?

Toute personne peut demander :

• l'accès à ses données ;
• la rectification de données inexactes ;
• l'effacement, dans certains cas ;
• l'opposition à un traitement, notamment à la prospection ;
• la limitation du traitement ;
• la portabilité, quand le traitement repose sur son consentement ou un contrat.

Demande de suppression de données client : que faire ?

1. Vérifiez l'identité du demandeur (sans lui demander plus que nécessaire).
2. Cherchez les données dans tous vos outils : messagerie, tableur, logiciel de facturation, outil de newsletter, téléphone.
3. Supprimez ce qui peut l'être, et conservez ce que la loi vous impose de garder (factures), en expliquant pourquoi.
4. Répondez par écrit, dans le délai d'un mois, éventuellement prolongeable dans les cas complexes.
5. Notez la demande et la réponse dans un petit journal.

Newsletter : le consentement est-il obligatoire ?

Pour envoyer des offres commerciales par e-mail à un particulier, il faut son accord préalable et explicite (case non précochée), sauf exception pour vos clients existants à propos de produits ou services analogues, avec possibilité de se désinscrire à chaque envoi. Pour un professionnel, l'envoi est admis si le message est en rapport avec son activité, avec information claire et possibilité de s'opposer.

Chaque message doit permettre de se désabonner facilement. Envoyer des mails de prospection sans base légale expose à des plaintes et à des sanctions de la CNIL. Pour la mise en pratique, voir l'emailing de prospection pour TPE et la newsletter intégrée au site.

Mon hébergeur est-il conforme au RGPD ?

Votre hébergeur est un sous-traitant : il traite des données pour votre compte. Le RGPD demande un contrat ou des conditions qui encadrent ce traitement. Chez la plupart des hébergeurs, c'est un document d'accord sur le traitement des données à accepter dans l'espace client.

Le RGPD n'impose pas un hébergeur situé dans un pays précis. Il encadre les transferts de données hors de l'Union européenne et exige des garanties. Posez-vous trois questions : où sont stockées les données, quelles garanties l'hébergeur fournit, et quels sous-traitants intervient-il. Pour choisir, voir quel hébergement choisir.

Les formulaires de mon site sont-ils conformes ?

Vérifiez cette liste.

• Chaque champ est utile.
• Une mention d'information accompagne le formulaire.
• Aucune case pré-cochée pour un consentement.
• La protection anti-spam ne dépose pas de traceur non exempté. Un service de captcha tiers peut en déposer : lisez sa documentation ou préférez un champ piège et un contrôle de durée de remplissage.
• Les messages arrivent dans une boîte sécurisée, et pas dans une adresse partagée sans contrôle.
• Les prises de rendez-vous en ligne respectent les mêmes règles ; si elles touchent à la santé, la vigilance est plus grande.

Que faire en cas de fuite de données clients ?

Une violation de données, c'est la perte, le vol, la divulgation ou la modification non autorisée de données personnelles : un site piraté, un ordinateur volé, un e-mail envoyé à la mauvaise personne.

1. Contenir : changer les mots de passe, couper l'accès, isoler le site.
2. Évaluer : quelles données, combien de personnes, quel risque pour elles.
3. Notifier la CNIL si la violation présente un risque pour les personnes, dans un délai de 72 heures après en avoir pris connaissance, via le téléservice de cnil.fr.
4. Informer les personnes si le risque est élevé.
5. Documenter : même si vous ne notifiez pas, inscrivez la violation dans un registre interne.

Que se passe-t-il si un client se plaint à la CNIL ?

La CNIL contacte généralement l'organisme pour lui demander des explications. Répondez dans les délais, avec des éléments concrets : politique de confidentialité, registre, preuve de la réponse apportée au plaignant. Un dossier simple et à jour règle la plupart des situations. Un contrôle peut aussi avoir lieu en ligne (examen du site, du bandeau, des mentions), sur pièces, sur place ou sur convocation. Dans tous les cas : coopérer, ne rien détruire, documenter.

Faut-il un DPO, ou déclarer l'usage de l'IA à la CNIL ?

Un délégué à la protection des données n'est obligatoire que dans des cas précis (autorités publiques, suivi systématique à grande échelle, données sensibles à grande échelle). Un artisan ou un commerçant n'en a généralement pas. Il n'existe pas de déclaration spécifique à la CNIL pour « utiliser l'IA ». En revanche, saisir des données clients dans un outil d'IA grand public sans cadre est un risque : voir ChatGPT et Gemini pour les TPE.

Combien coûte une mise en conformité RGPD de site ?

Il n'existe pas de tarif standard, et nous n'en inventerons pas. Le coût dépend du nombre de formulaires et d'outils tiers, de la présence d'une boutique ou d'un espace client, de la configuration des cookies et de la rédaction des textes. Pour un site vitrine simple, la conformité se construit en même temps que le site, sans surcoût important, notamment si le site évite les traceurs inutiles. Pour les sites existants, un audit du site permet de lister les points. Si vous cherchez un prestataire, demandez-lui précisément ce qu'il livre : politique rédigée, bandeau paramétré, formulaires vérifiés. Pour un projet, voir la page des tarifs ou contactez-nous.

Questions fréquentes

Mon site WordPress est-il conforme au RGPD par défaut ? Non. Le logiciel de base est neutre, mais les extensions, les polices externes, les vidéos intégrées et les statistiques peuvent déposer des traceurs ou envoyer des données à des tiers. Il faut contrôler chaque composant.

Et un site vitrine accessible, est-il aussi tenu au RGPD ? Les deux sujets sont distincts. L'accessibilité numérique répond à ses propres règles, plus strictes pour certains organismes ; voir le guide d'accessibilité. Le RGPD s'applique dès qu'il y a des données personnelles.

Comment être conforme au RGPD quand on est coiffeur ou restaurateur ? Les principes sont les mêmes : informer à la prise de rendez-vous ou de réservation, ne noter que le nécessaire dans la fiche client, limiter la durée de conservation, sécuriser les outils. Les fiches de coloration ou les allergies déclarées demandent plus de prudence, car elles touchent à la santé.

Puis-je garder indéfiniment mon fichier clients ? Non. Les données doivent être supprimées ou archivées après la durée utile. Un client inactif depuis longtemps ne justifie pas une conservation sans limite.

Une photo de client sur mon site est-elle une donnée personnelle ? Oui, dès qu'une personne est identifiable. Il faut son accord écrit, et la possibilité de le retirer.