"On n'est qu'une petite entreprise, le RGPD c'est surtout pour les grands groupes" : c'est l'une des idées reçues les plus répandues chez nos clients, et l'une des plus risquées. La CNIL contrôle et sanctionne aussi des TPE et des PME — souvent après une simple plainte d'un visiteur agacé par un bandeau cookies mal conçu. Voici ce qu'un site professionnel doit réellement respecter, sans y passer un diplôme de droit.
Le bandeau cookies : accepter et refuser doivent être aussi simples l'un que l'autre
C'est le point que la CNIL sanctionne le plus souvent. Un bandeau qui propose un bouton "Tout accepter" bien visible et relègue le refus à un lien discret en petits caractères est non conforme — et c'est pourtant encore la norme sur une majorité de sites de PME françaises.
Les règles concrètes :
- aucun cookie non essentiel (statistiques, publicité, réseaux sociaux) ne doit se déposer avant que le visiteur ait donné son consentement,
- refuser doit être aussi facile qu'accepter : un bouton "Refuser" au même niveau visuel que "Accepter", pas caché dans un sous-menu "Paramétrer",
- le consentement doit pouvoir être retiré à tout moment, via un lien accessible en pied de page,
- les cookies strictement nécessaires (panier e-commerce, session de connexion) n'ont pas besoin de consentement, mais doivent rester listés dans votre politique de confidentialité.
Les mentions obligatoires que beaucoup de sites oublient
Au-delà du bandeau, un site conforme doit publier une politique de confidentialité claire qui précise, pour chaque traitement de données (formulaire de contact, newsletter, création de compte) :
- la finalité exacte de la collecte (pourquoi vous demandez cette information),
- la base légale (consentement, exécution d'un contrat, intérêt légitime),
- la durée de conservation des données,
- les droits du visiteur : accès, rectification, effacement, opposition, portabilité,
- le contact à utiliser pour exercer ces droits.
Une mention légale générique copiée sur un autre site ne suffit pas : la CNIL attend une description qui correspond réellement à ce que fait votre site.
Le formulaire de contact, un point sensible souvent négligé
Un formulaire de devis ou de contact collecte des données personnelles — il est donc directement concerné par le RGPD, même sans case à cocher visible. Trois réflexes simples :
- Ne collectez que ce qui est nécessaire. Demander la date de naissance ou l'adresse postale complète pour un simple devis pose une question de minimisation des données que la CNIL peut relever.
- Aucune case pré-cochée pour un consentement marketing (newsletter, prospection) : la case doit être décochée par défaut.
- Séparez le consentement marketing du reste. Cocher "j'accepte d'être recontacté pour mon devis" ne doit pas être fusionné avec "j'accepte de recevoir la newsletter" — ce sont deux finalités différentes.
Où sont hébergées les données de vos visiteurs ?
Depuis les décisions successives autour du Privacy Shield, l'hébergement des données en dehors de l'Union européenne (notamment aux États-Unis) est devenu un sujet de vigilance renforcée. Ce n'est pas interdit dans l'absolu, mais cela impose des garanties contractuelles supplémentaires (clauses contractuelles types) et complique la conformité.
Par simplicité et par sécurité juridique, nous hébergeons systématiquement les sites que nous livrons chez des prestataires basés dans l'Union européenne.
Ce que nous mettons en place sur chaque site que nous livrons
Chaque site que nous concevons inclut par défaut une politique de confidentialité et des mentions légales rédigées pour votre activité réelle (pas un modèle générique), un bandeau cookies conforme aux recommandations CNIL, et un hébergement européen. Ce n'est pas une option facturée à part : c'est la base de ce que doit être un site professionnel en 2026.
Vous avez un doute sur la conformité de votre site actuel ? Contactez-nous pour un diagnostic rapide, sans jargon juridique.