Le RGPD s'applique à tout site qui traite des données de résidents européens, quel que soit le pays d'hébergement de l'entreprise. Les amendes peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Huit ans après son entrée en application, la majorité des sites e-commerce que j'audite présentent encore au moins trois ou quatre non-conformités significatives. Voici la checklist concrète, point par point, pour être en règle sans devenir juriste.
1. Le bandeau cookies
C'est le point le plus visible et le plus souvent mal implémenté. La règle est simple : le refus des cookies non essentiels doit être aussi facile que l'acceptation, sur le même écran et en un seul clic. Aucune case ne doit être pré-cochée pour les cookies non essentiels. Une distinction claire doit apparaître entre cookies strictement nécessaires au fonctionnement du site (qui ne nécessitent pas de consentement) et cookies de mesure d'audience, marketing ou réseaux sociaux (qui en nécessitent un). Le consentement doit être stocké avec un horodatage précis et une preuve technique (identifiant de session, version du texte présenté), pour pouvoir être présenté en cas de contrôle.
2. Mentions légales et politique de confidentialité
Deux documents distincts, souvent confondus à tort. Les mentions légales identifient l'entreprise (raison sociale, SIRET, adresse, hébergeur). La politique de confidentialité doit préciser l'identité du responsable de traitement, les finalités précises de chaque traitement de données, la durée de conservation pour chaque catégorie de données, les destinataires (y compris les sous-traitants tiers), et le détail des droits des utilisateurs : accès, rectification, effacement, portabilité, opposition, et limitation du traitement, avec les modalités concrètes pour les exercer.
3. Formulaires de collecte de données
Chaque formulaire (contact, inscription, avis) doit comporter une case à cocher claire et non pré-cochée pour tout consentement optionnel, avec une mention explicite et compréhensible de l'usage réel qui sera fait des données. Ne collectez que les données strictement nécessaires à la finalité annoncée : c'est le principe de minimisation, souvent ignoré par excès de prudence commerciale (« on ne sait jamais, ça pourra servir »).
4. Newsletter et emailing marketing
Le double opt-in est obligatoire dans la pratique : un email de confirmation doit être envoyé après inscription, avec un lien de validation explicite. Chaque email envoyé par la suite doit comporter un lien de désabonnement clair, fonctionnel en un clic, sans nécessiter de connexion à un compte. Le délai de traitement d'une désinscription ne doit pas dépasser quelques jours ouvrés.
5. Sous-traitants et outils tiers
Établissez une liste exhaustive de tous les outils tiers qui traitent des données personnelles pour votre compte : solution d'analytics, CRM, prestataire de paiement, hébergeur, solution d'emailing, chatbot, module d'avis. Pour chacun, un accord de traitement des données (DPA, Data Processing Agreement) doit être signé, précisant les garanties de sécurité et le lieu de traitement des données (particulièrement important si le prestataire est hors Union européenne).
6. Sécurité technique
Le HTTPS est obligatoire sur l'intégralité du site, sans exception. Les mots de passe stockés doivent être chiffrés avec un algorithme robuste (bcrypt au minimum, jamais de MD5 ou SHA1 seul). En cas d'incident de sécurité impliquant des données personnelles, une notification à la CNIL est obligatoire sous 72 heures, et une notification aux personnes concernées est requise si le risque pour leurs droits et libertés est élevé.
7. Registre des traitements
Toute entreprise, y compris les TPE et indépendants, doit tenir un registre des activités de traitement recensant chaque type de données collectées, leur finalité, leur durée de conservation et les mesures de sécurité associées. Ce document, souvent oublié par les petites structures, est le premier élément demandé lors d'un contrôle de la CNIL.
Conséquences concrètes d'une non-conformité
Au-delà du risque financier direct, une mise en demeure de la CNIL est rendue publique et nuit à la réputation de l'entreprise. Sur les dossiers que je traite, une remise en conformité complète prend généralement entre 2 et 4 semaines de travail, réparties entre l'audit initial, la mise à jour des documents légaux, la reconfiguration du bandeau cookies et la sécurisation technique du site.
Commentaires
Aucun commentaire pour l’instant. Le vôtre sera le premier.