RGPD et site web : les obligations légales que vous ne pouvez pas ignorer

La CNIL a infligé 101 millions d'euros d'amendes en France en 2024. Et les PME ne sont plus épargnées : 40% des sanctions prononcées visaient des entreprises de moins de 250 salariés. La conformité RGPD n'est plus une option — c'est un impératif légal et commercial.

Ce guide vous donne les obligations concrètes à respecter sur votre site web, sans jargon juridique inutile.

RGPD en 2026 : le niveau de contrôle augmente

Le RGPD (Règlement Général sur la Protection des Données) est en vigueur depuis 2018. Mais la CNIL a renforcé ses contrôles et ses sanctions depuis 2023 :

• Contrôles proactifs : la CNIL peut désormais initier des contrôles sans plainte préalable, notamment via des outils d'analyse automatisée des sites web.
• Sanctions plus rapides : procédure simplifiée pour les infractions "courantes" (cookies, mentions légales insuffisantes).
• Amendes proportionnelles : jusqu'à 4% du chiffre d'affaires mondial ou 20 millions d'euros (le montant le plus élevé des deux).

Les infractions les plus sanctionnées en France : gestion des cookies non conforme, absence de base légale pour les traitements de données, non-respect des droits des personnes.

Les mentions légales : ce que doit contenir votre page

Toute personne publiant un site web accessible au public doit afficher des mentions légales (Loi pour la Confiance dans l'Économie Numérique - LCEN). Le contenu obligatoire :

• Pour une entreprise : dénomination sociale, forme juridique, adresse du siège social, numéro SIRET/SIREN, capital social, numéro de TVA intracommunautaire.
• Hébergeur : nom, raison sociale, adresse et numéro de téléphone de l'hébergeur.
• Directeur de publication : nom et prénom (ou dénomination sociale pour les personnes morales).
• Activités réglementées : si vous exercez une profession réglementée, mentionnez l'autorité de tutelle et le titre professionnel.

Attention : les mentions légales ne se confondent pas avec la politique de confidentialité. Ce sont deux documents distincts obligatoires.

En 2024, 78% des sites web français présentaient au moins une non-conformité RGPD identifiable. Les amendes pour les PME atteignent en moyenne 15 000 à 50 000€ pour une première infraction. (CNIL Rapport annuel 2024)

La gestion des cookies : bannière et consentement

C'est le point le plus contrôlé par la CNIL. Les règles à respecter impérativement :

• Recueil du consentement avant le dépôt : aucun cookie non essentiel (analytics, publicité, réseaux sociaux) ne peut être déposé avant que l'utilisateur ait donné son accord explicite.
• Refus aussi simple qu'accepter : le bouton "Refuser" doit être aussi visible et accessible que le bouton "Accepter".
• Consentement granulaire : l'utilisateur doit pouvoir accepter ou refuser chaque catégorie de cookies séparément.
• Retrait du consentement : l'utilisateur doit pouvoir retirer son consentement aussi facilement qu'il l'a donné, à tout moment.
• Durée de conservation du consentement : 13 mois maximum. Après, vous devez re-demander le consentement.

Les outils conformes : Axeptio, Cookiebot, Didomi, OneTrust. Évitez les solutions maison qui ne gèrent pas correctement les cas limites.

Formulaires et données personnelles : les règles

Chaque formulaire de contact, d'inscription ou de commande collecte des données personnelles. Les obligations :

• Information des personnes : indiquer sur le formulaire qui collecte les données, pour quelle finalité, quelle est la base légale, combien de temps elles sont conservées et quels sont les droits de l'utilisateur.
• Minimisation des données : ne collecter que les données nécessaires à la finalité. Pas de champ "date de naissance" si c'est juste pour envoyer un email.
• Cases à cocher distinctes : une case pour les CGU/mentions légales, une case séparée pour le marketing. Ne jamais les fusionner.
• Pas de cases pré-cochées : pour tout ce qui n'est pas strictement nécessaire au service.

Hébergement et sous-traitants : la responsabilité en cascade

Votre responsabilité RGPD s'étend à vos prestataires qui traitent des données personnelles pour votre compte :

• Contrat de sous-traitance : tout prestataire traitant des données pour vous (hébergeur, outil d'emailing, CRM, analytics) doit avoir signé un DPA (Data Processing Agreement).
• Hébergement en Europe : préférez un hébergeur dont les serveurs sont en Europe (OVH, Scaleway). L'utilisation de Google Analytics doit être déclarée et un DPA signé.
• Transferts hors UE : tout transfert de données vers des pays hors UE doit reposer sur des garanties adéquates (clauses contractuelles types, décision d'adéquation).

Check-list de conformité RGPD pour votre site

• Page mentions légales complète et à jour.
• Politique de confidentialité détaillée (traitements, finalités, droits, conservation).
• Bannière cookies conforme (refus aussi simple qu'accepter, consentement granulaire).
• Formulaires avec informations légales et cases non pré-cochées.
• DPA signé avec tous les sous-traitants (hébergeur, analytics, CRM).
• Registre des traitements tenu à jour.
• Procédure de réponse aux demandes d'exercice de droits (délai 1 mois).

Chez Talgidi, tous nos sites incluent une configuration RGPD de base conforme. Pour une mise en conformité complète de votre site existant, contactez-nous.