Site internet conforme loi Informatique et Libertés, RGPD : le guide 2026

Un site vitrine qui collecte un nom, une adresse e-mail ou même une adresse IP traite des données personnelles. À ce titre, il est soumis à la loi Informatique et Libertés et au RGPD, comme une boutique en ligne. La différence n’est pas la taille du site, c’est la présence d’un formulaire, d’un outil de mesure d’audience ou d’un bouton de partage social.

Ce guide décrit ce qu’un site de TPE doit afficher, ce qu’il doit demander, et ce qu’il doit cesser de faire. Il ne remplace pas l’avis d’un juriste sur une situation particulière, mais il couvre l’essentiel des cas rencontrés sur un site vitrine.

Qu’est-ce qu’un site internet conforme ?

Un site conforme respecte deux textes qui se superposent : la loi française n° 78-17 du 6 janvier 1978 modifiée, dite Informatique et Libertés, et le règlement européen (UE) 2016/679, dit RGPD, applicable depuis le 25 mai 2018.

Concrètement, cela signifie que le site doit :

• indiquer clairement qui l’édite et qui l’héberge ;
• expliquer quelles données sont collectées, pourquoi, pendant combien de temps et à qui elles sont transmises ;
• permettre aux visiteurs d’exercer leurs droits ;
• ne déposer aucun traceur non essentiel sans consentement préalable ;
• protéger ces données par des mesures techniques et organisationnelles raisonnables.

Un site qui affiche des articles, un formulaire de contact et un compteur de visites est donc concerné. Ce n’est pas une question de volume : c’est une question de nature du traitement.

Pourquoi la conformité compte en 2026

Trois raisons, dans l’ordre d’importance pour une TPE.

Le risque de sanction. La CNIL contrôle, met en demeure et sanctionne. Elle publie ses décisions, ce qui rend le coût réputationnel supérieur au coût financier. Un site vitrine mal configuré reste rarement sanctionné lourdement, mais une plainte d’un client mécontent peut déclencher un contrôle.

La confiance du visiteur. Une politique de confidentialité lisible, un bandeau de cookies qui fonctionne et un formulaire qui explique à quoi servent les données rassurent. À l’inverse, un site qui prétend collecter sans expliquer fait fuir.

La qualité technique. Un site conforme est aussi un site mieux tenu : formulaires clairs, pas de scripts tiers oubliés, durées de conservation définies, accès limités. Ce sont les mêmes chantiers que la performance et la sécurité.

Les obligations d’un site vitrine

Les mentions légales

Elles sont imposées par la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN), article 6-III. Elles doivent indiquer l’identité de l’éditeur (nom ou raison sociale, adresse, contact, numéro d’immatriculation le cas échéant) et l’identité de l’hébergeur avec ses coordonnées. Pour une entreprise, on y ajoute les informations d’identification usuelles.

La politique de confidentialité

Elle explique les traitements réels du site : formulaire de contact, newsletter, statistiques, cookies, réseaux sociaux intégrés. Pour chaque traitement : la finalité, la base légale, les données concernées, la durée de conservation, les destinataires, les transferts éventuels hors Union européenne et les modalités d’exercice des droits.

L’information au moment de la collecte

Un formulaire doit renvoyer vers la politique de confidentialité, et non se contenter d’une case « j’accepte les conditions ». L’information doit être accessible avant l’envoi, pas seulement après.

Le registre des traitements

L’article 30 du RGPD demande de tenir la liste des traitements. L’exemption prévue pour les organisations de moins de 250 salariés est étroite : elle ne s’applique que si le traitement n’est ni régulier, ni susceptible d’engendrer un risque, et ne porte pas sur des données sensibles. Un site vitrine avec formulaire et mesure d’audience sort souvent de cette exemption. Un tableur suffit pour tenir ce registre.

La sécurité

HTTPS sur tout le site, mises à jour régulières, comptes administrateurs nominatifs, mots de passe robustes, sauvegardes testées, accès limités au strict nécessaire. Ce sont des mesures attendues, et elles se vérifient.

Cookies et traceurs : les règles de la CNIL

Le consentement préalable

Tout traceur non strictement nécessaire au fonctionnement du service doit être refusé par défaut et ne s’activer qu’après un consentement. Cela concerne la mesure d’audience non exemptée, les boutons de partage social, les vidéos intégrées, les polices chargées depuis un domaine tiers et les outils publicitaires.

Un refus aussi simple que l’acceptation

Le bouton « Refuser » doit être aussi visible et aussi accessible que le bouton « Accepter », sur le même écran, sans clic supplémentaire. Un bandeau qui n’offre qu’un bouton « Accepter » et renvoie le refus à une page de réglages n’est pas conforme.

Les durées

Selon les recommandations de la CNIL, le consentement recueilli ne doit pas être sollicité à nouveau avant un délai raisonnable, et la preuve du consentement doit pouvoir être conservée pendant une durée limitée. Retenez que le consentement doit être renouvelé régulièrement, et ne stockez pas les preuves indéfiniment.

Les traceurs dispensés de consentement

Seuls ceux qui sont strictement nécessaires au service demandé par l’utilisateur : panier, authentification, équilibrage de charge, mémorisation du choix de consentement. Certains outils de mesure d’audience bénéficient d’une exemption sous conditions strictes, mais elles sont techniques et faciles à manquer : en cas de doute, demandez le consentement.

Trois cas concrets

Un site vitrine sans formulaire

S’il n’y a ni formulaire, ni mesure d’audience, ni contenu tiers, le site collecte très peu. Les mentions légales restent obligatoires, et certains hébergeurs conservent des journaux de connexion pour des raisons de sécurité : cela doit être mentionné dans la politique de confidentialité.

Un site avec formulaire de contact

Le formulaire collecte nom, e-mail et message. La base légale est l’intérêt légitime ou l’exécution d’une mesure précontractuelle. Il faut indiquer la finalité, la durée de conservation, le destinataire (vous, et éventuellement un prestataire d’envoi d’e-mails) et le moyen d’exercer ses droits. La CNIL recommande, à titre indicatif, de ne pas conserver les données de prospects au-delà de trois ans à compter du dernier contact.

Un site avec newsletter

La newsletter suppose un consentement spécifique, distinct de celui du formulaire de contact. Le double opt-in — un e-mail de confirmation après l’inscription — reste la méthode la plus sûre pour prouver ce consentement. Chaque envoi doit contenir un lien de désinscription fonctionnel.

Les droits des utilisateurs

Le RGPD accorde aux personnes dont vous traitez les données :

• le droit d’accéder à leurs données ;
• le droit de les rectifier ;
• le droit à l’effacement ;
• le droit à la limitation du traitement ;
• le droit d’opposition ;
• le droit à la portabilité, quand il s’applique ;
• le droit de retirer leur consentement à tout moment.

Vous devez indiquer une adresse de contact pour ces demandes et y répondre dans un délai d’un mois, prorogeable de deux mois pour les demandes complexes. Prévoyez une procédure simple : une boîte dédiée suffit, à condition que quelqu’un la relève.

Un délégué à la protection des données n’est pas obligatoire pour la plupart des TPE. En revanche, il faut identifier un interlocuteur et le mentionner dans la politique de confidentialité, même si c’est vous.

La méthode en six étapes

1. Inventorier les traitements. Listez chaque formulaire, chaque outil installé, chaque script chargé, et notez ce qu’il collecte.
2. Rédiger les pages légales. Mentions légales et politique de confidentialité, adaptées à votre activité réelle et non copiées d’un modèle générique.
3. Configurer les cookies. Refus par défaut, choix aussi simple à refuser qu’à accepter, aucun traceur non essentiel avant consentement.
4. Nettoyer le site. Désinstaller les extensions et les scripts dont vous ne servez pas. Chaque outil inutile est un traitement à documenter et un risque de plus.
5. Sécuriser. HTTPS, mises à jour, sauvegardes, comptes nominatifs, double authentification sur l’administration.
6. Documenter et relire. Tenir le registre, conserver les preuves de consentement, refaire le point une fois par an ou à chaque ajout d’outil.

Les erreurs fréquentes

1. Copier une politique de confidentialité trouvée en ligne. Elle décrit des traitements que vous n’avez pas, et omet les vôtres.
2. Un bandeau cookies qui ne bloque rien. Le consentement est demandé, mais les scripts se chargent quand même. C’est le manquement le plus courant et le plus facile à constater.
3. Des formulaires sans information. Pas de finalité, pas de durée de conservation, pas de renvoi vers les droits.
4. Des données conservées indéfiniment. Les messages de contact de 2019 n’ont plus de raison d’être.
5. Un site en HTTP ou avec un certificat mal configuré. Ce n’est pas seulement un problème de confiance : c’est un défaut de sécurité.
6. Des accès partagés. Un compte administrateur commun à trois prestataires empêche toute traçabilité.

Les sanctions encourues

En cas de manquement, la CNIL peut adresser une mise en demeure, prononcer une sanction pécuniaire, ordonner une injonction sous astreinte et rendre la décision publique. L’article 83 du RGPD fixe le plafond des amendes les plus élevées à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les manquements moins graves, le plafond est de 10 millions d’euros ou 2 %.

Ce plafond n’est pas une peine automatique : la CNIL tient compte de la nature du manquement, du nombre de personnes concernées, de la coopération et des mesures prises. Pour une TPE de bonne foi qui corrige rapidement, l’issue est rarement financière. Le vrai risque, pour un site vitrine, reste la mise en demeure rendue publique et la perte de confiance.

Les outils pour vérifier son site

• Le navigateur. Ouvrez les outils de développement, onglet réseau, et rechargez : vous verrez quels domaines sont contactés avant tout clic. C’est le test le plus direct et il ne coûte rien.
• La console. Des erreurs de chargement de scripts tiers signifient souvent qu’un outil a été oublié là.
• Les extensions du navigateur. Elles permettent de visualiser les cookies déposés et leur durée.
• Le registre. Un simple tableur, tenu à jour, vaut mieux qu’un outil sophistiqué abandonné au bout de trois mois.

Si vous préférez faire vérifier l’existant, nous proposons un audit RGPD du site internet : relevé des traceurs, formulaires, pages légales et mesures de sécurité, avec la liste des corrections par ordre de priorité.

E-E-A-T et référencement : la conformité comme signal

Google évalue la fiabilité d’un site, en particulier sur les sujets qui touchent à l’argent, à la santé ou au droit. Des pages légales complètes, un éditeur identifiable, une adresse de contact réelle et des informations cohérentes participent de cette évaluation.

Ce n’est pas un facteur direct miracle : c’est un ensemble d’indices qui, mis bout à bout, rendent le site crédible aux yeux d’un moteur comme à ceux d’un visiteur. Un site conforme n’est donc pas seulement un site en règle : c’est un site qui inspire confiance, et la confiance se convertit en demandes de devis.

La checklist finale

• Mentions légales complètes, éditeur et hébergeur identifiés.
• Politique de confidentialité décrivant vos traitements réels.
• Chaque formulaire indique sa finalité et renvoie vers vos droits.
• Bandeau cookies avec refus aussi simple que l’acceptation.
• Aucun traceur non essentiel chargé avant consentement (vérifié dans l’onglet réseau).
• Durées de conservation définies et appliquées.
• Une adresse de contact pour les demandes de droits, avec un délai de réponse tenu.
• Registre des traitements à jour, même sous forme de tableur.
• HTTPS actif sur tout le site.
• Mises à jour, sauvegardes et comptes nominatifs en place.

En résumé

La conformité d’un site vitrine tient à peu de choses : deux pages légales solides, un bandeau de cookies qui bloque réellement, des formulaires qui expliquent ce qu’ils font des données, et une hygiène technique de base. Le reste relève de l’organisation : savoir ce que vous collectez, pourquoi, et pendant combien de temps.

Si vous avez un doute sur l’état de votre site actuel, commencez par ouvrir l’onglet réseau de votre navigateur et regardez ce qui se charge avant tout clic. C’est souvent là que se trouve le problème.