RGPD et site internet : ce que doit faire une PME, action par action

Dès qu’un site collecte des données personnelles, par un formulaire de contact, une inscription à une lettre d’information ou un outil de mesure d’audience, il entre dans le champ du RGPD. Pour une PME, cela revient à six actions concrètes : savoir quelles données le site collecte, informer les visiteurs, ne les garder que le temps utile, les protéger, respecter leurs droits et tenir un registre. Cet article les détaille d’après les ressources de la CNIL. Il s’agit d’une information générale, pas d’un conseil juridique personnalisé.

Quelles données un site de PME collecte-t-il ?

Faites la liste, page par page. Pour la plupart des sites de PME, elle est courte :

• Le formulaire de contact ou de devis : nom, e-mail, téléphone, message.
• L'inscription à une lettre d'information : adresse e-mail.
• Les outils de mesure d'audience : adresse IP, pages visitées, identifiants dans des cookies.
• Les modules tiers : cartes, vidéos, boutons de réseaux sociaux, qui peuvent déposer leurs propres traceurs.
• Les comptes clients et les commandes, si vous vendez en ligne.

Cet inventaire est la base de tout le reste : on ne protège que ce que l’on connaît.

Les 6 actions

1. Informer les visiteurs. Chaque formulaire doit expliquer qui collecte les données, pourquoi, combien de temps elles seront conservées et comment exercer ses droits. La CNIL publie des exemples de mentions d'information à adapter.
2. Collecter le strict nécessaire. Un formulaire de devis n'a pas besoin de la date de naissance. Moins vous demandez, moins vous avez à protéger.
3. Définir des durées de conservation. Les données ne se gardent pas indéfiniment : fixez une durée pour chaque usage et supprimez ensuite.
4. Sécuriser. Le responsable du fichier est astreint à une obligation de sécurité : il doit prendre les mesures nécessaires pour garantir la sécurité des données et éviter leur divulgation à des tiers non autorisés. Cela passe par un site à jour, un certificat HTTPS et des accès protégés.
5. Respecter les droits des personnes. Vos visiteurs peuvent demander l'accès à leurs données, leur correction ou leur suppression. Prévoyez une adresse de contact et une procédure simple pour répondre.
6. Tenir un registre. Le registre des activités de traitement recense vos traitements de données et donne une vue d'ensemble de ce que vous faites avec les données personnelles.

Ces six points reprennent la page « RGPD : passer à l’action » de la CNIL, qui détaille aussi la gestion des sous-traitants, la désignation d’un délégué et les cadres de référence.

Prestataires et sous-traitants

Votre hébergeur, votre outil d’envoi d’e-mails, votre agence qui gère le site : tous manipulent des données pour votre compte. La CNIL rappelle que les sous-traitants, comme les responsables de traitement, doivent respecter le RGPD. Vérifiez que vos contrats prévoient ce point, et demandez à vos prestataires où sont hébergées les données.

Ce que risque un site qui ignore le sujet

Service-Public Entreprendre recense plusieurs sanctions pénales dans sa fiche sur les mentions obligatoires : l’absence d’informations sur la protection des données est punie de 1 500 € d’amende, et le traitement de données recueillies sans consentement est puni de 5 ans d’emprisonnement et de 300 000 € d’amende.

Ces peines visent des manquements précis. Pour un site de PME, l’essentiel est d’être transparent, de limiter les données et de les protéger.

Un exemple : le formulaire de contact de notre site

Notre formulaire de contact illustre ces actions : il comporte une case à cocher que le visiteur doit cocher, il renvoie vers une politique de confidentialité qui détaille les données collectées, leurs destinataires, leurs durées de conservation et les droits des personnes, et il fonctionne sans enregistrer les messages en base de données sur le site.

Votre situation sera différente selon vos outils : reprenez la structure plutôt que le contenu, et faites relire vos textes si vous manipulez des données sensibles.

Les erreurs fréquentes

• Un formulaire sans mention d'information : le visiteur ne sait pas ce que vous faites de ses données.
• Des durées de conservation « à vie » : conservez ce qui sert, supprimez le reste.
• Des traceurs déposés avant tout choix : nous y revenons dans notre article sur les bandeaux cookies.
• Aucun point de contact pour exercer ses droits.
• Un site non mis à jour : la sécurité des données dépend d'abord de celle du site.

Les mentions légales complètent ce dispositif : notre article sur les mentions légales en donne la liste par statut.

Commencer par l’inventaire

Listez les données collectées par votre site, vérifiez les mentions d’information de chaque formulaire, fixez des durées de conservation et assurez-vous que le site est à jour. Ces quatre vérifications règlent l’essentiel des cas de PME.

Si vous refaites votre site, c’est le bon moment pour tout remettre à plat : découvrez notre création de site internet à Perpignan.