Site TPE non conforme RGPD : ce que la CNIL vérifie en premier

Votre site TPE est-il conforme au RGPD ? Ce que la CNIL regarde avant tout

Vous êtes à la tête d’une TPE, d’un artisanat ou d’une petite entreprise française. Votre site web affiche vos prestations, un formulaire de contact, peut-être une demande de devis. Et si on vous annonçait demain que votre site n’est pas conforme au RGPD ?

La tentation serait de hausser les épaules. Une TPE, une micro-entreprise, un artisan… une cible prioritaire pour la CNIL ? La réponse est oui. La CNIL ne fait pas de distinction entre un grand groupe et un menuisier installé en zone artisanale. Elle applique la loi. Et la loi, c’est le Règlement Général sur la Protection des Données (RGPD), entré en application en mai 2018.

Chez SiteDigitalPro, nous créons des sites web pour les TPE et les artisans français. Nous ne sommes pas là pour vous vendre du rêve ni vous promettre la première place sur Google. Nous sommes là pour vous dire la vérité sur les obligations légales qui pèsent sur votre site. Et la vérité, c’est qu’un site non conforme peut vous coûter cher, très cher.

Mais alors, par où commence la CNIL quand elle examine un site de TPE ? Quels sont les points qu’elle vérifie en premier ? C’est exactement ce que nous allons voir sans détour, sans jargon vide.

Ce qu’est réellement le RGPD pour une TPE

Le RGPD est souvent perçu comme une usine à gaz administrative réservée aux grandes entreprises. C’est une erreur. Pour une TPE, le RGPD se résume à une question simple : comment vous traitez les données personnelles de vos visiteurs, de vos prospects et de vos clients.

Vous collectez un nom, une adresse e-mail, un numéro de téléphone via un formulaire ? Vous collectez une adresse IP ? Vous déposez des cookies de mesure d’audience ? Vous êtes concerné. Point final.

La CNIL ne vous demandera pas de mettre en place un dispositif digne d’un CAC 40. Elle attend des mesures proportionnées à votre taille. Mais les principes essentiels qui garantissent les droits des personnes restent les mêmes. Et c’est précisément là que la plupart des sites de TPE basculent dans la non-conformité.

Les 4 points que la CNIL vérifie en premier sur un site de TPE

La CNIL procède par campagnes de contrôles thématiques. Elle peut aussi agir sur plainte d’un particulier ou d’un concurrent. Quand elle examine un site d’une petite entreprise, elle ne vérifie pas tout d’un coup. Elle commence par quelques points précis et récurrents. En voici la liste.

1. Les mentions légales et l’identité du responsable de traitement

Tout commence par l’identification. La CNIL vérifie en premier que le site permet de savoir qui est le responsable du traitement des données. C’est une obligation de transparence qui paraît triviale, mais qui fait défaut sur une quantité surprenante de sites d’artisans et de TPE.

Concrètement, votre site doit afficher clairement les mentions légales suivantes :

• Le nom de votre entreprise ou votre nom d’exploitant
• Votre adresse physique de siège social ou d’établissement
• Votre numéro SIREN et votre forme juridique
• Votre adresse e-mail ou un moyen de contact direct
• Votre numéro de TVA intracommunautaire, si vous y êtes assujetti

Un point que les artisans du bâtiment oublient souvent : la mention de votre assurance de responsabilité civile professionnelle et, pour les activités de construction, la référence à votre garantie décennale. Ce n’est pas une exigence RGPD en soi, mais la CNIL peut relever une absence d’information sur l’activité, qui nuit à la transparence globale de votre site.

2. Le formulaire de contact et la collecte des données

Le deuxième point de contrôle, c’est votre formulaire de contact. C’est souvent le seul endroit où une TPE collecte des données personnelles. Et c’est là que les erreurs sont les plus fréquentes.

Un formulaire conforme doit respecter trois règles simples :

• La minimisation : vous ne demandez que les données strictement nécessaires. Un nom, un e-mail et votre message suffisent pour répondre à une demande de devis. Pas besoin du numéro de téléphone fixe, mobile, professionnel, de la date de naissance ou de la situation familiale.
• Le consentement explicite : vous ne devez pas cocher d’office une case permettant d’ajouter le visiteur à votre newsletter. Si vous proposez une case d’acceptation, elle doit être décochée par défaut. Et vous devez expliquer clairement à quoi servent les données collectées.
• L’information en amont : juste à côté du formulaire, le visiteur doit savoir qui collecte ses données, pourquoi, et comment il peut les faire supprimer. Un simple lien vers une politique de confidentialité suffit, mais ce lien doit être visible et fonctionnel.

Pire encore : certains sites de TPE utilisent encore des formulaires qui envoient les données par simple e-mail, sans chiffrement, et conservent ces e-mails indéfiniment. C’est un traitement de données non sécurisé. La CNIL le considère comme une négligence grave.

3. Le bandeau cookies et le consentement au dépôt de traceurs

Troisième point fondamental : les cookies. Un site qui dépose des traceurs de mesure d’audience ou de publicité doit recueillir le consentement du visiteur avant le dépôt. C’est une règle stricte, issue de la directive ePrivacy, transposée en droit français.

Concrètement, que se passe-t-il lorsque quelqu’un arrive sur votre site ?

S’il utilise Google Analytics, Meta Pixel ou tout autre outil de mesure publicitaire, un bandeau doit apparaître. Ce bandeau doit être conforme : il doit proposer un bouton « Accepter » et un bouton « Refuser », au même niveau d’évidence. Interdiction de piéger l’utilisateur avec un seul bouton « Ok » ou un lien discret « En savoir plus » dans les petites lignes.

Le refus doit être aussi simple que l’acceptation. Si vous continuez à déposer des cookies après un refus, vous commettez une infraction. Et la CNIL n’a pas besoin d’être technicienne pour le constater. Elle utilise des outils de test sur site qui détectent les traceurs actifs, même après un refus.

Il existe une nuance : les cookies dits « nécessaires au fonctionnement du site » n’ont pas besoin de consentement. C’est le cas, par exemple, d’un cookie qui mémorise le contenu d’un panier ou vos préférences de langue. Mais tout ce qui sert à l’analyse d’audience ou à la publicité doit être soumis à votre consentement.

4. La sécurité du site et la protection des données collectées

Quatrième point de contrôle : la sécurité. Vous collectez des données, vous avez l’obligation de les protéger. La CNIL vérifie si votre site dispose de mesures de sécurité élémentaires. On ne parle pas ici de cybersécurité de niveau militaire, mais de bonnes pratiques de base.

Le premier signal d’alerte est l’absence de certificat SSL, c’est-à-dire un site qui ne passe pas en HTTPS. Toute transmission de données depuis un formulaire doit être chiffrée. Un site en HTTP pur affichant un formulaire de contact est un contresens total en matière de sécurité. Les navigateurs modernes affichent d’ailleurs un avertissement « connexion non sécurisée », ce qui donne une image désastreuse de votre entreprise et vous rend visiblement non conforme.

La CNIL vérifie aussi que votre site n’utilise pas de composants obsolètes ou vulnérables. Si votre vitrine a été réalisée il y a cinq ans avec une ancienne version d’outils et n’a jamais été mise à jour, elle présente des failles connues. Des données personnelles peuvent être dérobées. C’est votre responsabilité.

Il faut aussi parler des sauvegardes. Que se passe-t-il si votre site est piraté ou si un de vos collaborateurs supprime une base de données ? Sans sauvegarde régulière, le traitement des données devient chaotique. Les données collectées sont perdues, et l’entreprise ne peut plus garantir les droits des personnes.

Un point sur les cookies : la différence entre Google Analytics et les solutions conformes

Un mot pour être parfaitement honnête avec vous. Google Analytics est le meilleur exemple de traceur problématique pour les sites français. Pourquoi ? Parce que les données sont transférées vers les États-Unis, un pays que l’Union européenne ne considère pas comme offrant un niveau de protection adéquat. La CNIL a déjà sanctionné des sites pour ce simple motif. Elle a même publié des mesures de mise en demeure officielles.

La solution ? Vous n’êtes pas obligé de supprimer l’analyse d’audience. Mais vous devez utiliser des outils configurés pour respecter le RGPD, ou recueillir un consentement renforcé avec un blocage effectif du traceur avant l’acceptation. Des solutions alternatives comme Matomo, correctement configurées en mode « sans cookies », permettent de mesurer votre audience sans bannière intrusive. C’est une piste que nous explorons avec les clients de SiteDigitalPro quand ils veulent rester simples.

Que risque réellement une TPE non conforme au RGPD ?

Il serait malhonnête de vous dire que la CNIL ferme les yeux sur les petites structures. C’est faux. Elle cible régulièrement des artisans, des indépendants, des associations, des TPE. Les procédures peuvent commencer par une simple plainte d’un visiteur qui n’a pas pu faire supprimer ses données ou qui a reçu un e-mail publicitaire sans avoir rien accepté.

Les sanctions possibles sont de deux ordres :

• Les sanctions administratives : la CNIL peut prononcer un avertissement, une injonction de mettre le site en conformité sous un délai déterminé, une limitation temporaire ou définitive du traitement, une suspension des flux de données.
• Les amendes : le montant des amendes peut atteindre jusqu’à 20 millions d’euros ou, pour une entreprise, 4 % du chiffre d’affaires annuel mondial de l’exercice précédent. C’est le maximum légal prévu par le RGPD. Pour une TPE qui réalise 500 000 € de chiffre d’affaires, 4 % représente 20 000 €. Ce n’est pas anodin.

Ajoutez à cela un autre risque : le préjudice d’image. Un artisan qui se fait épingler pour non-conformité RGPD dans la presse locale ou sur les réseaux sociaux, c’est une crédibilité entamée. Les clients n’aiment pas confier leurs données à une entreprise qui ne respecte pas la loi.

Combien ça coûte de mettre un site en conformité ? La réponse honnête

Beaucoup d’entreprises nous demandent combien coûte une mise en conformité RGPD. La réponse classique des agences, c’est un chiffre vague ou un devis à plusieurs milliers d’euros. Nous préférons la clarté.

Quand un client nous contacte parce qu’il doute de la conformité de son site, nous commençons par un audit RGPD complet au tarif fixe de 79 €. Cet audit est simple à comprendre et délivré en quelques jours. Il identifie précisément ce qui pose problème dans votre site : formulaire, cookies, mentions légales, sécurité.

À partir de cet audit, vous savez exactement quoi corriger. Certaines corrections sont minimes et peuvent être réalisées par vos soins si vous êtes un minimum à l’aise en informatique : ajouter une page de politique de confidentialité, décocher une case par défaut, modifier un texte de mention légale.

D’autres corrections relèvent du travail d’un professionnel : installer un gestionnaire de consentement conforme, configurer Matomo, sécuriser le protocole HTTPS, mettre à jour les composants du site.

Pourquoi les TPE restent massivement non conformes ?

La première raison, c’est le manque d’information. Un artisan électricien qui crée son site avec un outil en ligne ne se pose pas la question de la conformité RGPD. Il veut montrer ses photos de réalisations aux normes NF C 15-100 et son attestation CONSUEL pour rassurer ses futurs clients. Il n’a pas conscience qu’un formulaire de contact sans mention légale expose son entreprise à un risque juridique.

La deuxième raison, c’est la fausse croyance selon laquelle la CNIL s’en prend aux grandes entreprises qui trafiquent les données personnelles à grande échelle. Les TPE se sentent invisibles. C’est une erreur d’appréciation qui peut coûter cher.

La troisième raison, c’est le désintérêt d’une partie des agences web qui créent des sites « clé en main » sans aborder ces sujets, par méconnaissance ou pour ne pas faire fuir le client avec des questions jugées techniques. Chez SiteDigitalPro, nous avons fait le choix inverse. Nous parlons RGPD dès le premier rendez-vous. Simplement, concrètement.

Les non-dits des agences web sur le RGPD

Il existe des réalités que certaines agences préfèrent ne pas évoquer parce qu’elles n’arrangent pas leur business. Nous allons le faire.

Un site conforme ne l’est jamais définitivement. La réglementation évolue, les décisions de la CNIL s’affinent, et les outils techniques que vous utilisez changent. Une bannière cookie conforme aujourd’hui peut devenir non conforme après une mise à jour des lignes directrices. Un site sécurisé aujourd’hui peut devenir vulnérable après une faille découverte dans une extension utilisée.

La conformité demande donc un suivi régulier. Nous ne vous vendons pas de « pack RGPD » garanti à vie. C’est impossible, et celui qui vous promet cela est malhonnête ou incompétent.

D’autres non-dits concernent les hébergeurs. Certains hébergeurs bon marché stockent les données hors de l’Union européenne. Or, héberger des données personnelles de ressortissants français en dehors de l’UE, sans encadrement juridique adéquat, c’est une violation du RGPD. Une TPE qui signe un contrat d’hébergement sans vérifier la localisation des serveurs s’expose à des sanctions. C’est un détail technique, mais la CNIL le regarde.

Enfin, le RGPD impose que les personnes puissent exercer leurs droits : accès, rectification, suppression. Concrètement, si un ancien client vous écrit pour demander la suppression de ses données, vous devez pouvoir le faire. Cela suppose d’avoir un minimum d’organisation interne. Ce n’est pas de la bureaucratie, c’est une obligation légale.

Comment savoir si votre site est conforme en 10 minutes

Même sans être un expert, vous pouvez faire un premier état des lieux vous-même. Posez-vous ces questions simples :

• Mon site affiche-t-il des mentions légales avec mon nom, mon adresse et mon SIREN ?
• Mon site passe-t-il en HTTPS (le cadenas visible dans la barre d’adresse) ?
• Mon formulaire de contact explique-t-il ce que deviennent les données ?
• Un bandeau cookies apparaît-il avant le dépôt de traceurs ? Propose-t-il un refus aussi visible que l’acceptation ?
• Ma politique de confidentialité existe-t-elle et est-elle accessible à partir de chaque page ?
• Ai-je la capacité de supprimer les données d’une personne qui le demande ?

Si vous répondez non à une ou plusieurs de ces questions, votre site est probablement non conforme. Il n’est pas nécessaire de paniquer, mais il est nécessaire d’agir. Plus vite vous corrigez ces points, plus vous réduisez votre exposition.

Ce que SiteDigitalPro propose vraiment, sans fard

Basée en France, l’agence SiteDigitalPro accompagne les TPE et artisans français dans la création de sites web qui respectent le RGPD. Concrètement, cela signifie quoi ?

Quand vous nous demandez la création de votre site, nous intégrons la conformité dès la conception. La structure des mentions légales, l’architecture des formulaires, la configuration des cookies et le choix de l’hébergeur font partie de la construction, pas une option ajoutée à la fin. C’est moins coûteux pour vous et plus efficace juridiquement.

Nous proposons des formules pour créer votre site à partir de 449 € par mois. Ce prix inclut l’hébergement, la maintenance, la sécurité et les mises à jour. Vous achetez un site qui reste vivant et suivi, et non un site figé créé un jour et oublié le lendemain. L’honnêteté nous oblige à dire que la création d’un site est rapide, mais que la conformité est un état continu.

Notre différence, c’est de ne jamais vous garantir une première position sur Google. Personne ne peut le garantir sérieusement. Nous vous garantissons un site propre, rapide, sécurisé et conforme. Si en plus Google vous récompense, tant mieux. Mais notre métier, ce n’est pas de faire des miracles. C’est de faire du travail sérieux.

Le calendrier d’une mise en conformité

Une question qui revient souvent : combien de temps faut-il pour passer d’un site non conforme à un site conforme ? Encore une fois, la réponse honnête est : cela dépend.

Si le site ne présente que des défauts simples — absence de mentions, pas de politique de confidentialité, case cochée par défaut — la correction peut prendre quelques jours. Dans ce cas, une personne motivée peut s’en charger avec un peu de méthode.

Si le site utilise des traceurs publicitaires, des formulaires complexes et un hébergement à l’étranger, la mise en conformité demandera plus de travail. Il faudra installer une solution de gestion du consentement, vérifier chaque flux de données, peut-être changer d’hébergeur et déplacer des fichiers. Dans ce cas, comptez plusieurs semaines, surtout si vous devez reprendre la main sur des outils créés par vos soins ou par un prestataire précédent.

Nous ne vous promettrons jamais une conformité « en 48 heures » avec un plugin magique. Les plugins simplifient la mise en place, mais ils ne corrigent pas tout. Si vous refusez les traceurs non conformes et que vous utilisez des outils simples, la conformité devient plus facile.

Le RGPD n’est pas une contrainte marketing

Il est fréquent d’entendre que la conformité RGPD est un frein pour les entreprises. C’est une vision à courte vue. Avoir un site qui indique clairement qui vous êtes, ce que vous faites de vos données et comment vous protégez vos visiteurs, c’est une preuve de professionnalisme.

Un artisan électricien qui affiche sur son site ses certifications, son assurance, et en plus une vraie page de confidentialité pour la protection des données personnelles, envoie un signal fort. Il se comporte en entreprise structurée, fiable, digne de confiance. Dans un secteur où le relationnel et la confiance sont essentiels, cela fait une vraie différence.

Soyons lucides : un visiteur lambda ne lit pas la politique de confidentialité de chaque site qu’il visite. Mais il remarque quand elle est absente. Il s’interroge quand un site ne propose aucun moyen de contact. Il se méfie quand un formulaire demande trop de données personnelles. La conformité, c’est aussi de l’expérience utilisateur.

Conclusion : ne restez pas dans le flou

La CNIL vérifie d’abord sur un site de TPE : les mentions légales, le formulaire de contact, les cookies et la sécurité. Ce sont des points simples, concrets, identifiables. Aucun de ces points ne nécessite un diplôme de juriste pour être compris. Et pourtant, une majorité de sites de petites entreprises échouent sur au moins l’un d’eux.

L’absence de conformité n’est pas une fatalité. Un audit RGPD à 79 € permet d’y voir clair. Une création de site à partir de 449 € par mois, avec maintenance et sécurité incluses, permet de repartir sur des bases saines. L’amendement maximum prévu par le RGPD peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Mais vous n’avez pas à courir ce risque.

Passer à l’action avec SiteDigitalPro

Chez SiteDigitalPro, nous répondons aux questions simplement. Pour savoir où vous en êtes, vous pouvez découvrir nos formules et nos prestations directement sur notre page de création de site web. Vous y trouverez nos offres transparentes, sans engagement caché et sans promesses irréalistes.

Si vous souhaitez poser une question sur votre situation précise, nous vous invitons à nous demander un devis ou un simple rendez-vous d’échange sur notre page de contact. Nous vous répondrons avec la même honnêteté qui guide chacun de nos projets. Un site pour une TPE doit être utile, sûr et conforme. C’est notre métier. Faisons-le ensemble, correctement.

FAQ : les questions que les TPE et artisans se posent sur le RGPD

Une TPE est-elle réellement contrôlée par la CNIL, ou est-ce réservé aux grands groupes ?

La CNIL contrôle tous les acteurs, y compris les TPE et les artisans. Elle s’appuie sur des signalements de particuliers, des plaintes de concurrents ou des campagnes de contrôle sectorielles. Une TPE qui traite des données personnelles est soumise au RGPD de la même manière qu’une grande entreprise. La différence se situe dans la proportionnalité des sanctions, mais une amende reste possible pour une petite structure.

Mon site n’a pas de formulaire de contact, suis-je concerné par le RGPD ?

Oui. Si votre site dépose des cookies de mesure d’audience, collecte des adresses IP ou utilise des traceurs, vous êtes concerné. Même sans formulaire, une page de mentions légales complète et une politique de confidentialité sont obligatoires dès lors que des données sont traitées, y compris des adresses IP. Un site simple sans aucun traitement de données reste soumis à l’obligation de loyauté de l’information.

Puis-je utiliser Google Analytics sur mon site d’artisan ?

Vous pouvez l’utiliser, mais uniquement si les données sont transférées dans des conditions conformes au RGPD, ce qui est difficile à garantir avec la version standard. La CNIL a considéré que les transferts vers les États-Unis ne sont pas suffisamment encadrés dans ce cadre. Des solutions comme Matomo, configurées sans cookies et avec un hébergement en Europe, permettent de mesurer votre audience sans risquer de sanction.

Mon agence actuelle me dit que mon site est conforme. Comment en être certain ?

La conformité ne se décrète pas, elle se vérifie. Demandez à votre agence les éléments précis de conformité : localisation de l’hébergement, gestion des cookies, mentions légales, procédure d’effacement des données. Si votre agence vous répond par un message vague ou refuse de détailler, nous vous conseillons de procéder à un audit RGPD indépendant. Un audit simple, comme celui que nous proposons à 79 €, vous donnera une vision factuelle de votre situation, sans confusion.