Le RGPD site web revient en haut de la pile dès qu’un client s’inquiète, qu’un concurrent se fait sanctionner ou qu’un audit technique révèle un bandeau de cookies mal configuré. La question n’est pas de savoir si le sujet est sérieux, il l’est, mais de savoir s’il impose une refonte complète ou une série de corrections ciblées. La réponse dépend de ce que le site collecte réellement, pas de ce qu’on imagine collecter.
En bref
Le RGPD site web n’exige pas de reconstruire l’ensemble d’un site : il exige de corriger les points où des données personnelles sont collectées, stockées ou transmises sans base légale claire, sans information suffisante ou sans consentement valide. Trois zones concentrent la quasi-totalité des risques : le bandeau de cookies, les formulaires (contact, devis, newsletter) et les sous-traitants qui reçoivent des données (hébergeur, CRM, outils de mesure d’audience).
Une refonte totale devient nécessaire seulement si l’architecture technique elle-même empêche la conformité, par exemple un hébergement hors UE imposé, un CMS obsolète sans possibilité de configurer un consentement granulaire, ou une base de données mutualisée sans séparation possible des finalités.
Ce que le RGPD exige vraiment d’un site web
Un site conforme respecte cinq obligations concrètes : une base légale identifiée pour chaque collecte de données, une information claire sur les finalités, une durée de conservation définie, un consentement valide quand il est requis, et la possibilité pour l’utilisateur d’exercer ses droits d’accès, de rectification et de suppression. La CNIL rappelle que ces principes s’appliquent dès la première ligne de code qui écrit un cookie ou enregistre un champ de formulaire (CNIL, Comprendre le RGPD).
Le règlement ne fixe pas de format imposé pour un site vitrine ou un site e-commerce, il fixe un résultat à atteindre. Deux sites très différents peuvent donc être conformes avec des architectures techniques opposées, du moment que chacun documente et applique ces cinq principes.
Bandeau de cookies : ce qui est non négociable pour la CNIL
Le bandeau de consentement doit proposer un refus aussi simple que l’acceptation, ne déposer aucun traceur non essentiel avant le clic, et conserver une preuve du choix de l’utilisateur. La CNIL a formalisé ces règles dans ses lignes directrices sur les cookies et traceurs, applicables à tout éditeur de site ou d’application (CNIL, Cookies et autres traceurs).
Deux erreurs reviennent le plus souvent sur les sites audités : des traceurs publicitaires déclenchés avant tout clic sur le bandeau, et un bouton « Tout refuser » caché derrière un second niveau de menu alors que « Tout accepter » reste visible en un clic. La CNIL détaille la marche à suivre pour corriger ces deux points sans perdre la mesure d’audience utile (CNIL, comment mettre son site en conformité).
Formulaires et données collectées : l’audit avant toute refonte
Avant de revoir le design ou la technique, il faut lister ce que chaque formulaire collecte réellement et pourquoi. Un formulaire de devis qui demande un numéro de téléphone, un secteur d’activité et un budget doit justifier chacun de ces champs par une finalité précise ; un champ ajouté « au cas où » sans usage documenté est un risque, pas une donnée utile.
Cet audit révèle souvent des cases pré-cochées pour la newsletter, des données transmises à un CRM sans mention dans la politique de confidentialité, ou des champs libres qui invitent à saisir des informations sensibles sans le vouloir. Corriger ces points ne demande pas de refondre le site : cela demande de revoir chaque formulaire un par un.
Refonte complète ou corrections ciblées : comment trancher
Un chantier RGPD site web se tranche sur trois critères techniques, pas sur l’inquiétude du moment : le CMS permet-il de configurer un consentement granulaire, l’hébergement respecte-t-il les garanties de transfert de données, et les sous-traitants comme le CRM, l’outil d’emailing ou la solution d’analytics sont-ils listés dans un registre à jour. Si ces trois réponses sont positives, une série de corrections suffit.
| Point à vérifier | Risque si ignoré | Action |
|---|---|---|
| Bandeau de cookies | Traceurs déposés sans consentement valide | Reconfigurer le CMP, tester avant tout clic |
| Formulaires | Collecte sans finalité déclarée | Auditer champ par champ, retirer le superflu |
| Politique de confidentialité | Absence ou contenu obsolète | Mettre à jour finalités, durées, sous-traitants |
| Sous-traitants et hébergement | Transfert de données hors UE non encadré | Vérifier les clauses contractuelles, tenir un registre |
Prioriser les corrections selon le risque réel
Ce chantier RGPD site web se traite comme un incident : d’abord ce qui expose à un contrôle ou une plainte, ensuite ce qui améliore la documentation interne. Le bandeau de cookies et les formulaires publics passent avant la mise à jour d’un document interne de gouvernance des données.
Un diagnostic technique permet de trancher rapidement entre correction ciblée et refonte, en croisant l’état du CMS, les outils tiers connectés et le volume réel de données collectées. Pour ce type d’audit, contacter Lead4you permet d’obtenir un état des lieux avant d’investir dans une refonte qui ne sera peut-être pas nécessaire.
Note terrain Lead4you
Sur les sites qu’on audite, le point qui bloque rarement est le bandeau de cookies : il est en général déjà en place, même mal configuré. Le point qui traîne, c’est le formulaire de devis ou de recrutement ajouté par un plugin il y a plusieurs années, qui envoie les données à un service tiers jamais mentionné dans la politique de confidentialité, et dont plus personne dans l’entreprise ne sait qu’il existe encore.
Checklist rapide
- Le bandeau de cookies propose-t-il un refus aussi visible que l’acceptation ?
- Aucun traceur non essentiel ne se déclenche-t-il avant le clic ?
- Chaque champ de chaque formulaire a-t-il une finalité documentée ?
- La politique de confidentialité liste-t-elle les sous-traitants réels (CRM, hébergeur, emailing) ?
- Un registre des traitements existe-t-il, même simplifié pour une PME ?
- Les données transférées hors UE sont-elles encadrées par des clauses contractuelles ?
Demander un diagnostic technique
À lire ensuite
Sources et repères utiles
FAQ
Le RGPD oblige-t-il à refondre tout mon site web ?
Non, dans la majorité des cas. Une refonte complète n’est nécessaire que si le CMS ou l’hébergement empêchent techniquement de configurer un consentement granulaire ou de documenter les traitements. La plupart des sites se mettent en conformité par des corrections ciblées : bandeau de cookies, formulaires, politique de confidentialité.
Un bandeau de cookies conforme suffit-il pour être en règle ?
Non. Le bandeau couvre une partie des obligations, mais la conformité RGPD site web inclut aussi les formulaires, le registre des traitements, la politique de confidentialité et les garanties sur les sous-traitants qui reçoivent des données.
Quelles données un formulaire de contact peut-il collecter ?
Seulement les données nécessaires à la finalité annoncée : nom, e-mail et message pour un simple contact, par exemple. Tout champ supplémentaire doit être justifié par un usage réel et mentionné dans la politique de confidentialité.
Faut-il une politique de confidentialité même pour un petit site vitrine ?
Oui. Dès qu’un formulaire ou un outil de mesure d’audience collecte des données, même un site vitrine simple doit informer les visiteurs des finalités, de la durée de conservation et de leurs droits.
Quels sont les risques réels en cas de non-conformité ?
Les sanctions de la CNIL vont de la mise en demeure à l’amende, avec des contrôles renforcés sur les traceurs publicitaires ces dernières années. Le risque le plus fréquent pour une PME reste la mise en demeure suite à une plainte ou un contrôle automatisé.
Comment prioriser les corrections RGPD sur un site existant ?
En commençant par ce qui est visible et vérifiable de l’extérieur : bandeau de cookies et formulaires publics. Les documents internes comme le registre des traitements viennent ensuite, une fois les points exposés au public corrigés.