RGPD et site web de PME : la liste de contrôle côté hébergement, e-mail et formulaires

Ce que le RGPD exige vraiment d’un site internet de PME

Pour une PME, un freelance ou une agence, le RGPD site internet se résume à une dizaine de points concrets : dire qui vous êtes, expliquer ce que vous faites des données, ne collecter que l’utile, obtenir un consentement quand il est requis, encadrer vos prestataires (dont votre hébergeur), répondre à une demande d’accès et réagir à une fuite. Ce guide suit cet ordre et se limite à ce qu’un site de PME doit réellement faire.

Deux rôles à garder en tête : vous êtes le responsable de traitement, qui décide pourquoi et comment les données sont collectées ; l’hébergeur, l’outil d’e-mailing ou l’agence web sont des sous-traitants, qui les traitent pour votre compte.

Mentions légales et politique de confidentialité : les deux pages obligatoires

Les mentions légales relèvent de la loi pour la confiance dans l’économie numérique (LCEN), pas du RGPD, mais les deux pages vont ensemble et sont les premières qu’un client ou la CNIL regardera.

Mentions légales d’un site de PME

• Dénomination sociale, forme juridique, capital, siège, numéro RCS ou RM, numéro de TVA pour un site marchand.
• Adresse e-mail et numéro de téléphone, nom du directeur de la publication.
• Identité et coordonnées de l’hébergeur. Pour un site chez NovaHoster, reprenez celles de la page À propos.

Politique de confidentialité : le contenu minimal

C’est l’information due aux personnes au titre des articles 13 et 14 du RGPD. Écrivez-la en français courant, traitement par traitement : qui traite les données, lesquelles et par quel moyen, pourquoi et sur quelle base légale (contrat, obligation légale, intérêt légitime, consentement), combien de temps, à qui elles sont transmises et si elles quittent l’Union européenne, quels droits et comment les exercer, avec le droit de saisir la CNIL.

Évitez les politiques copiées d’un autre site : elles décrivent des traitements que vous n’avez pas et oublient les vôtres. Une page exacte vaut mieux que dix pages génériques.

Bandeau cookies RGPD site : ce qui demande un consentement, ce qui n’en demande pas

Les cookies RGPD site génèrent des erreurs dans les deux sens : un bandeau bloquant sur un site vitrine qui n’en a pas besoin, ou aucun bandeau sur une boutique qui charge Google Analytics, un pixel Meta et une vidéo YouTube. La règle vient de l’article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL de 2020.

Traceurs exemptés de consentement

• Session, authentification, panier d’achat, choix de langue, mémorisation du refus des cookies.
• Équilibrage de charge et sécurité (cookies d’un pare-feu applicatif).
• Mesure d’audience si elle respecte les conditions ci-dessous.

Traceurs soumis à consentement

• Publicité ciblée et pixels de réseaux sociaux.
• Mesure d’audience non configurée pour l’exemption, comme Google Analytics en réglage par défaut.
• Vidéos, cartes et boutons de partage qui déposent des cookies tiers dès le chargement.

La mesure d’audience exemptée selon la CNIL

La CNIL admet qu’un outil de mesure d’audience fonctionne sans consentement s’il produit des statistiques anonymes pour le seul compte de l’éditeur, sans recoupement avec d’autres traitements ni suivi d’un site à l’autre, avec des traceurs limités à 13 mois et une conservation des données limitée à 25 mois. Elle publie une liste d’outils évalués comme compatibles lorsqu’ils sont configurés dans ce sens (Matomo, entre autres). Un site vitrine de PME a souvent intérêt à retenir l’un d’eux, correctement réglé, et à se passer de bandeau.

Si un consentement est requis

1. Aucun traceur soumis à consentement ne se charge avant le clic ; vérifiez-le dans les outils de développement du navigateur, en navigation privée.
2. « Tout refuser » figure au même niveau que « Tout accepter ». Continuer à naviguer ne vaut pas accord.
3. Les finalités sont listées et acceptables une par une ; le choix se modifie via un lien en pied de page.
4. Le consentement est redemandé au plus tard après 13 mois ; la CNIL recommande 6 mois.
5. L’outil de gestion du consentement journalise le choix, la date et la version du bandeau : c’est votre preuve.

Formulaires : minimisation, durée de conservation et case à cocher

Ne demander que l’utile

Pour un devis, le nom, l’e-mail et le message suffisent ; le téléphone peut être facultatif ; la date de naissance n’a rien à y faire. Chaque champ doit se justifier par la finalité, et les champs obligatoires sont marqués.

Informer au bon endroit

Une phrase sous le bouton d’envoi, avec un lien vers la politique de confidentialité, suffit au premier niveau :

Les informations saisies sont traitées par [Entreprise] pour répondre à votre demande.
Elles sont conservées 3 ans après notre dernier échange. Vous disposez d’un droit
d’accès, de rectification et d’effacement : voir notre politique de confidentialité.

Quand faut-il une case à cocher ?

• Pas de case pour répondre à une demande ou traiter une commande : la base légale est la démarche de la personne ou le contrat.
• Une case non précochée pour tout usage supplémentaire fondé sur le consentement : newsletter proposée dans un formulaire de devis, transmission à un partenaire.
• Jamais de case précochée ni de case unique mélangeant CGV et newsletter.

Fixer et appliquer la durée de conservation

La CNIL retient en général trois ans après le dernier contact pour un prospect, et la durée du contrat puis les délais de prescription pour un client. Le point souvent oublié : les copies. Un formulaire WordPress stocke souvent chaque envoi en base et expédie en parallèle un e-mail qui reste dans une boîte. Décidez où est la copie de référence, purgez les autres et activez la purge automatique que proposent la plupart des extensions.

Enfin, un formulaire transmet des données personnelles : il doit être servi en HTTPS, sans exception. Le guide pour activer HTTPS et corriger un certificat SSL détaille la redirection forcée, et la page certificat SSL précise ce qu’apportent les certificats OV et EV par rapport au Let’s Encrypt inclus.

E-mails professionnels et newsletters : l’opt-in et la preuve

Pour les particuliers, la règle est simple : pas d’envoi sans accord préalable (opt-in). Entre professionnels, la CNIL tolère l’envoi sans consentement à une adresse professionnelle nominative, si le message est en rapport avec la fonction de la personne, qu’elle a été informée lors de la collecte et qu’elle peut s’opposer facilement. Dans tous les cas, chaque envoi contient un lien de désinscription qui fonctionne sans connexion.

Liste de contrôle newsletter

1. Case non précochée, libellé explicite (« Recevoir les actualités de [Entreprise], environ une fois par mois »).
2. Double opt-in recommandé : l’e-mail de confirmation prouve que l’adresse appartient à la personne.
3. Preuve du consentement conservée : date, heure, formulaire d’origine.
4. Désinscription en un clic, traitée immédiatement, sans motif demandé.
5. Purge des contacts inactifs selon la durée annoncée, et contrat de sous-traitance avec l’outil d’e-mailing.

La messagerie professionnelle elle-même

Les boîtes e-mail de l’entreprise contiennent des données de clients, de fournisseurs et de candidats. Elles entrent dans le périmètre : hébergement identifié, mots de passe uniques, suppression des comptes des collaborateurs partis, règle de conservation des messages. Une offre d’e-mail professionnel hébergée en France, avec IMAP et antispam, simplifie le dossier : vous savez où sont les messages et qui y accède, et l’antispam réduit le risque d’hameçonnage, cause fréquente de violation de données dans les petites structures.

RGPD hébergeur sous-traitant : contrat article 28, localisation, sauvegardes

Votre hébergeur stocke les fichiers du site, sa base de données, les journaux de connexion et souvent les e-mails : c’est un sous-traitant au sens de l’article 28 du RGPD, et vous restez responsable du traitement. Trois vérifications suffisent.

1. Un contrat écrit avec les clauses de l’article 28

Le contrat d’hébergement ou ses conditions générales doivent préciser l’objet du traitement, l’obligation de n’agir que sur vos instructions, la confidentialité du personnel, les mesures de sécurité, les sous-traitants ultérieurs, l’aide apportée pour les droits des personnes et les violations, le sort des données en fin de contrat et la possibilité d’audit. Le guide du sous-traitant de la CNIL propose des exemples de clauses. Conservez la version acceptée, avec sa date.

2. La localisation réelle des données

Demandez où sont physiquement les serveurs, pas seulement le siège de la société. Chez NovaHoster, l’hébergement mutualisé, WordPress, e-commerce, revendeur et les serveurs dédiés sont en France ; les serveurs VPS sont en revanche hébergés en Roumanie, en Moldavie ou en Russie, ce qui, pour des données personnelles, suppose d’encadrer le transfert hors UE ou de retenir une autre formule. La page datacenters détaille ces emplacements par offre. Notez-les dans votre registre.

3. Sauvegardes et durées de conservation

Une sauvegarde est une copie de données personnelles : sachez combien de temps elle est conservée et où. Si vous souscrivez une sauvegarde automatique externalisée, en plus des sauvegardes quotidiennes de l’hébergement, indiquez sa rétention dans la politique de confidentialité et rejouez les demandes d’effacement après toute restauration. Le guide des bonnes pratiques de sécurité complète ce point avec les accès, Imunify360 et la réaction aux incidents.

L’hébergeur ne rédige pas votre politique ni votre registre, ne configure pas votre bandeau et ne notifie pas la CNIL à votre place ; il doit en revanche vous informer sans délai indu d’une violation qu’il constate.

Le registre des traitements simplifié d’une PME

Le registre est prévu à l’article 30 du RGPD. Les entreprises de moins de 250 salariés en sont dispensées sauf pour les traitements non occasionnels, sensibles ou à risque ; comme la gestion des clients ou des prospects est régulière, la CNIL recommande à toute PME d’en tenir un et propose un modèle simplifié. Un tableur suffit.

Les lignes d’un site de PME

Ajoutez une colonne « mesures de sécurité » et une colonne « lieu d’hébergement », puis datez chaque mise à jour : le registre est la pièce demandée en premier lors d’un contrôle.

Droits des personnes : une procédure en quatre étapes

Toute personne peut demander l’accès à ses données, leur rectification, leur effacement, la limitation, la portabilité ou s’opposer à un usage. Vous avez un mois pour répondre, prolongeable de deux mois pour une demande complexe, à condition de prévenir la personne. L’absence de réponse est l’un des motifs de plainte les plus fréquents auprès de la CNIL.

1. Un point d’entrée unique : une adresse du type rgpd@votredomaine, indiquée dans la politique de confidentialité, créée comme une vraie boîte sur votre messagerie professionnelle et surveillée par une personne nommée.
2. Vérifier l’identité de façon proportionnée : répondre à l’adresse déjà connue suffit en général ; ne demandez une pièce d’identité qu’en cas de doute sérieux.
3. Chercher partout : base du site, extensions de formulaires, outil d’e-mailing, boîtes e-mail, exports comptables. Le registre liste les endroits à vérifier.
4. Répondre et tracer : réponse écrite et datée, données en format lisible ou confirmation de suppression, puis une ligne dans un journal des demandes.

Violation de données : notifier la CNIL sous 72 heures

Une violation de données est une perte de confidentialité, d’intégrité ou de disponibilité : site piraté, base exposée, e-mail envoyé à la mauvaise personne, ordinateur volé, rançongiciel. Le RGPD impose de la documenter dans tous les cas, de la notifier à la CNIL sous 72 heures après en avoir eu connaissance lorsqu’elle présente un risque pour les personnes, et d’informer les personnes lorsque le risque est élevé.

Procédure à préparer avant l’incident

1. Contenir : changer les mots de passe exposés, couper l’accès concerné, passer le site en maintenance. Le guide pour supprimer un malware avec Imunify360 décrit le nettoyage d’un hébergement NovaHoster.
2. Qualifier : quelles données, combien de personnes, depuis quand, quel risque.
3. Documenter dans un registre des violations : faits, effets, mesures prises. Obligatoire même sans notification.
4. Notifier la CNIL via son téléservice, dans les 72 heures, en deux temps si tous les éléments manquent.
5. Informer les personnes en langage clair si le risque est élevé, avec des conseils pratiques.
6. Restaurer à partir d’une sauvegarde antérieure à la compromission, puis corriger la cause.

Qui règle quoi : obligation, lieu de traitement et preuve à conserver

La mise en conformité RGPD d’un site web de PME se répartit entre le site (vous ou votre agence), l’hébergeur et vos autres prestataires. Ce tableau sert de feuille de route et de dossier de preuves.

Liste de contrôle RGPD site internet en 15 points

Parcourez cette liste une première fois pour l’état des lieux, puis une fois par an ou à chaque changement notable (nouvelle boutique, nouvel outil marketing, changement d’hébergeur ou d’agence).

1. Mentions légales complètes : entreprise, directeur de la publication, hébergeur et ses coordonnées.
2. Politique de confidentialité décrivant chaque traitement réel : finalité, base légale, durée, destinataires, droits.
3. Site intégralement en HTTPS, redirection forcée, certificat renouvelé automatiquement.
4. Traceurs inventoriés avec les outils de développement du navigateur, en navigation privée.
5. Mesure d’audience configurée pour l’exemption CNIL, ou soumise au consentement.
6. Aucun traceur soumis à consentement chargé avant le clic sur « Accepter ».
7. Bandeau avec « Tout refuser » au même niveau que « Tout accepter » et lien de modification en pied de page.
8. Formulaires limités aux champs nécessaires, avec mention d’information et lien vers la politique.
9. Cases de consentement distinctes, non précochées, preuve conservée.
10. Envois de formulaires stockés dans le site purgés automatiquement selon la durée annoncée.
11. Newsletter en opt-in, désinscription en un clic, preuves exportables.
12. Contrat ou CGV de l’hébergeur contenant les clauses de l’article 28, conservés avec leur date.
13. Lieu d’hébergement des données (site, e-mails, sauvegardes, e-mailing) connu et noté au registre.
14. Registre des traitements tenu, même en tableur, mis à jour depuis moins d’un an.
15. Adresse dédiée aux demandes RGPD et fiche « violation de données sous 72 h » en place et connues de l’équipe.

Guides liés

Pour aller plus loin sur le même sujet, et sur ce qui l’entoure :

• Hébergeur web français : pourquoi héberger son site en France (RGPD, Cloud Act, latence, support) — Hébergeur web français ou étranger : ce que changent le RGPD, le Cloud Act, la latence et le support, et comment vérifier où sont…
• Administrer un abonnement Plesk sans interrompre son site — Découvrez une méthode fiable pour administrer un abonnement Plesk, modifier les réglages d’un domaine et limiter les risques avant chaque…
• Changer d’hébergeur WordPress sans perdre son référencement : la méthode complète, phase par phase — Changer d’hébergeur WordPress sans perdre son référencement : préparation, copie, test, bascule DNS avec TTL abaissé, vérifications SEO et…

Sources techniques

[1] CNIL — Cookies et autres traceurs : lignes directrices modificatives et recommandation [2] CNIL — Cookies : solutions pour les outils de mesure d’audience [3] CNIL — RGPD : guide du sous-traitant [4] CNIL — Notifier une violation de données personnelles [5] CNIL — RGPD : le registre des activités de traitement