À chaque refonte de site, la même question surgit vers la fin du projet : « et le RGPD, on est bon ? » La réponse tient rarement dans une seule case à cocher, mais pour un site vitrine ou un blog associatif — sans boutique en ligne complexe, sans données médicales ni profilage poussé — le minimum qui tient se résume à un nombre restreint de points concrets.
Ce que le RGPD demande vraiment à un petit site
Le RGPD (règlement général sur la protection des données) encadre la façon dont un site collecte, utilise et conserve des données à caractère personnel : une adresse mail dans un formulaire de contact, un nom dans un espace client, une adresse IP dans les journaux de connexion. Il n’impose pas la même rigueur à une TPE qu’à une grande enseigne, mais il impose les mêmes principes de base : savoir pourquoi on collecte une donnée, la conserver un temps limité, et permettre à la personne concernée de la faire supprimer ou corriger.
L’autorité de référence en France est la CNIL (Commission nationale de l’informatique et des libertés), qui publie des guides pratiques pensés justement pour les structures sans juriste dédié. Le réflexe le plus utile pour un gérant ou une association n’est pas de tout lire, mais de savoir que ces guides existent le jour où une question précise se pose.
Trois principes suffisent, en pratique, à orienter presque toutes les décisions courantes. D’abord la minimisation : ne collecter que ce qui est réellement utile, ce qui évite bien des questions inutiles — un formulaire de contact n’a par exemple aucune raison de demander une date de naissance. Ensuite la limitation de la conservation : une adresse mail collectée pour répondre à une demande ponctuelle n’a pas vocation à rester indéfiniment dans une base, sauf si la personne a explicitement accepté de recevoir d’autres communications. Enfin la transparence : la personne doit pouvoir comprendre, en lisant la politique de confidentialité, ce qui est fait de ses données, sans avoir à deviner ou à demander.
Les traceurs : le point le plus mal compris
La zone la plus mal comprise reste celle des cookies, ou plus largement des traceurs déposés sur le navigateur du visiteur. Une exception existe pour certains cookies de mesure d’audience, à condition qu’ils respectent des critères précis (données rendues anonymes, absence de croisement avec d’autres traitements, finalité strictement limitée à des statistiques). En dehors de ces cas encadrés, la règle de fond ne change pas :
Aucun traceur non strictement nécessaire au fonctionnement du service ne doit être déposé ou lu sur l’appareil d’un visiteur avant qu’il ait donné son accord, et cet accord doit être aussi facile à refuser qu’à donner.
Concrètement, un bandeau qui ne propose qu’un bouton « accepter » bien visible et relègue le refus dans un sous-menu ne respecte pas ce principe d’équilibre, même s’il affiche un bandeau de consentement.
Un point souvent oublié : le refus exprimé par un visiteur doit être mémorisé, pour ne pas lui reposer la même question à chaque page visitée, et il doit être aussi simple à retirer qu’à donner, par exemple via un lien discret en pied de page permettant de revenir sur son choix à tout moment. Les outils de gestion des cookies les plus courants pour les sites vitrine intègrent aujourd’hui cette mémorisation par défaut, ce qui simplifie beaucoup la mise en conformité par rapport à il y a quelques années, où chaque bandeau était configuré à la main.
Le registre et les mentions, sans complexité inutile
Le registre des traitements est le document qui liste, pour chaque usage de données personnelles (formulaire de contact, newsletter, comptes clients), la finalité, la base légale et la durée de conservation. Pour une petite structure, il tient sur une ou deux pages et n’a pas besoin d’être public : c’est un document de preuve, à sortir en cas de contrôle ou de question d’un visiteur.
Les mentions légales, elles, sont publiques et obligatoires sur tout site professionnel : identité de l’éditeur, hébergeur, contact du responsable de la publication, et une information sur les données collectées avec la marche à suivre pour les faire supprimer.
Deux droits méritent d’être connus avant qu’un visiteur ne les invoque, plutôt que découverts sur le moment : le droit d’accès, qui permet à toute personne de demander une copie des données la concernant détenues par le site, et le droit à l’effacement, qui permet d’en demander la suppression quand aucune obligation légale ne justifie de les conserver plus longtemps. Pour une petite structure, répondre à ce type de demande ne suppose pas de procédure complexe : il suffit de savoir où les données en question sont stockées (le plus souvent, la base du site ou l’outil d’envoi de newsletter) et de pouvoir agir dans un délai raisonnable, généralement un mois.
| Traitement | Base légale | Mention à afficher |
|---|---|---|
| Formulaire de contact | Intérêt légitime ou consentement de la personne | Finalité de la collecte et durée de conservation, dans les mentions légales ou à côté du formulaire |
| Newsletter | Consentement explicite (case non pré-cochée) | Objet des envois et lien de désabonnement dans chaque message |
| Cookies de mesure d’audience exemptés | Intérêt légitime, sous conditions strictes | Information dans la politique de confidentialité, sans bandeau de consentement obligatoire si les conditions sont réunies |
| Cookies publicitaires ou de réseaux sociaux | Consentement préalable | Bandeau avec choix équilibré accepter/refuser avant tout dépôt |
| Compte client ou espace membre | Exécution d’un contrat | Politique de confidentialité détaillant les droits d’accès et de suppression |
Ce qui suffit, pour de vrai
Sur les dizaines de sites de petites structures que j’ai vus passer, le point qui manque le plus souvent n’est pas la complexité technique, mais l’absence pure et simple d’une politique de confidentialité à jour, ou un formulaire de contact qui collecte une adresse mail sans qu’aucune mention n’explique pourquoi. Corriger ces deux points, ajouter un bandeau de cookies équilibré quand des traceurs non essentiels sont utilisés, et tenir un registre des traitements sur une page, couvre l’essentiel des obligations d’un site vitrine sans nécessiter d’accompagnement juridique lourd.
La question de la sanction revient souvent en fin de discussion, avec une inquiétude parfois disproportionnée par rapport au risque réel pour une petite structure. Dans les faits, les contrôles et sanctions les plus lourds ciblent des manquements graves et répétés, souvent chez des acteurs qui traitent des volumes de données bien plus importants qu’un site vitrine associatif. Cela ne dispense pas de la vigilance, mais cela remet en perspective l’urgence : mieux vaut corriger sereinement les deux ou trois points qui manquent que renoncer à un projet de site par crainte disproportionnée d’un contrôle.
Ce socle mis en place, la vigilance porte surtout sur les évolutions du site : l’ajout d’un module de newsletter ou d’un système de paiement en ligne introduit de nouveaux traitements de données, qu’il faut alors ajouter au registre et, le cas échéant, aux mentions légales.
Les modèles de mentions légales et de politique de confidentialité publiés par la CNIL restent la base la plus fiable pour démarrer sans repartir d’une feuille blanche.
