Pourquoi cette checklist existe (et pourquoi elle vous concerne directement)
Il y a une phrase qu'on entend dans presque tous les rendez-vous d'audit. Toujours la même, prononcée avec la même tranquillité : « De toute façon, c'est mon prestataire qui gère le RGPD. »
Non.
Juridiquement, l'éditeur du site reste le responsable de traitement. C'est lui qui décide des finalités et des moyens, c'est donc lui que la CNIL interroge en cas de contrôle. L'agence, le développeur freelance, l'intégrateur : ce sont des sous-traitants au sens de l'article 28. Ils exécutent des instructions. Ils portent une part de responsabilité contractuelle, oui, mais ils ne se substituent jamais à vous devant l'autorité de contrôle.
La nuance paraît théorique. Elle cesse de l'être le jour où une mise en demeure arrive par courrier recommandé, avec un délai de deux mois et une liste de manquements constatés depuis un navigateur, sans que personne ne soit venu sur place.
Parce que c'est bien ça, la réalité du terrain aujourd'hui : les contrôles en ligne sont devenus massifs et largement automatisés. La CNIL n'a plus besoin d'envoyer un agent. Elle ouvre le site, elle regarde ce qui se dépose dans le navigateur avant le moindre clic, elle lit la politique de confidentialité, elle teste le bouton de refus. Trois minutes suffisent pour caractériser une non-conformité manifeste sur les cookies. Les campagnes thématiques successives menées depuis 2020 sur les traceurs ont produit des centaines de mises en demeure, et une bonne partie visait des structures qui n'avaient rien de multinationales.
Alors voilà l'objet de ce qui suit. Pas un cours de droit, il en existe déjà d'excellents. Une checklist opérationnelle, thème par thème, avec les questions exactes à poser à votre prestataire technique. Le genre de document qu'on copie dans un email et qu'on envoie sans reformuler.
Avant de commencer : les 3 questions à poser à votre prestataire
Avant d'entrer dans le détail technique, trois questions permettent de savoir en quelques minutes si le sujet a déjà été traité ou s'il a été évité poliment depuis la mise en ligne.
Qui héberge les données, et où exactement ? Pas « chez OVH » ou « sur un serveur en France ». La localisation précise des serveurs, l'existence de réplications ou de sauvegardes ailleurs, et surtout : y a-t-il un transfert hors Union européenne quelque part dans la chaîne ? Un hébergement français avec un CDN américain devant, ça reste un transfert.
Quel contrat nous lie sur le traitement des données ? L'article 28 impose un acte juridique écrit entre responsable et sous-traitant. Un devis et une facture ne suffisent pas. Il faut un DPA (Data Processing Agreement), ou des clauses de sous-traitance intégrées au contrat de prestation, précisant l'objet, la durée, la nature des traitements, les obligations de sécurité, le sort des données en fin de contrat. Beaucoup d'agences n'en ont jamais rédigé. Ce n'est pas une faute morale, c'est juste un manque à combler.
Qui intervient réellement sur le site, et avec quels accès ? La question de la sous-traitance en cascade est le point aveugle classique. Votre agence travaille peut-être avec un développeur externe, une plateforme de maintenance, un consultant SEO, un prestataire d'infogérance. Chacun dispose d'un accès. Chacun devrait être identifié et autorisé.
Si les réponses arrivent en moins de quarante-huit heures et qu'elles sont documentées, bonne nouvelle. Si elles arrivent sous forme de « on va regarder », il y a du travail.
1. Bandeau cookies et traceurs : le point le plus contrôlé
C'est la porte d'entrée de tous les contrôles. Visible, testable en quelques secondes, non négociable. Et pourtant c'est là qu'on trouve le plus de bricolage.
Le consentement doit être réellement libre
Un bouton « Refuser tout » au même niveau visuel que « Accepter tout ». Même taille, même contraste, même hiérarchie, même profondeur dans l'interface. Le refus ne se cache pas derrière un lien « Personnaliser mes choix » qui ouvre trois écrans de toggles.
Les dark patterns sont bien identifiés maintenant, et ils sont sanctionnés : bouton de refus grisé, texte minuscule, croix ambiguë dont on ne sait pas si elle vaut acceptation ou fermeture temporaire, contraste inversé pour que l'œil aille naturellement vers le vert. Tout ça a été balayé par les délibérations successives de la CNIL.
Un test simple et assez cruel : montrez le bandeau à quelqu'un qui ne connaît pas le sujet, et demandez-lui de refuser les cookies. Chronométrez. Si ça dépasse cinq secondes, le bandeau est mal conçu.
Aucun dépôt avant l'action de l'utilisateur
C'est le manquement numéro un. Le bandeau est parfait, les textes sont impeccables, et les scripts se chargent quand même au premier affichage de la page.
Le test à faire soi-même, sans compétence technique particulière : ouvrez le site dans une fenêtre de navigation privée. Avant de cliquer sur quoi que ce soit, ouvrez les outils de développement (F12 sur la plupart des navigateurs), onglet Application ou Stockage selon le navigateur, section Cookies. Regardez la liste.
S'il y a déjà des entrées _ga, _fbp, _gcl_au ou des cookies de domaines tiers, c'est non conforme. Point. Seuls les cookies strictement techniques du site lui-même ont le droit d'être là.
Faites la même vérification sur une page intérieure, pas seulement l'accueil. Il arrive que le blocage soit correctement implémenté sur la home et absent ailleurs, parce que les scripts ont été ajoutés directement dans un template secondaire par quelqu'un qui ne connaissait pas la règle.
Le refus doit être aussi simple que l'acceptation
Un clic pour accepter, un clic pour refuser. Symétrie stricte.
Et le retrait du consentement doit rester possible en permanence, pas seulement au premier passage. Concrètement : un lien discret mais présent en pied de page, du type « Gérer mes cookies » ou « Préférences de confidentialité », qui rouvre le panneau. Sans ça, l'utilisateur qui a accepté par réflexe le premier jour est enfermé dans son choix pendant treize mois.
Les exemptions réelles
Certains traceurs échappent au consentement, et la liste est plus courte qu'on ne l'imagine. Les cookies de panier d'achat, ceux d'authentification et de session, ceux qui mémorisent un choix de langue ou l'état d'acceptation du bandeau lui-même. La mesure d'audience peut aussi être exemptée, mais sous conditions strictes : finalité limitée à la mesure statistique, pas de recoupement avec d'autres traitements, pas de transmission à des tiers, données anonymisées, durée de vie limitée.
Google Analytics, dans sa configuration standard, ne remplit aucune de ces conditions. Il ne l'a jamais fait et il n'a pas vocation à le faire, puisque son modèle repose précisément sur le croisement de données à l'échelle d'un écosystème publicitaire.
La durée de vie des traceurs
Treize mois maximum pour la validité du consentement recueilli, ce qui signifie qu'au bout de treize mois le bandeau doit se représenter. Vingt-cinq mois maximum pour la conservation des données collectées via ces traceurs.
Une erreur fréquente consiste à laisser les durées par défaut des outils, qui dépassent parfois largement ces plafonds. Ça se paramètre en trente secondes, encore faut-il savoir que ça existe.
Question à poser
« Peux-tu me fournir une capture d'écran du stockage navigateur (cookies + localStorage) sur la page d'accueil et sur une page intérieure, en navigation privée, avant tout clic sur le bandeau, puis après un refus ? »
2. Analytics et outils de mesure : ce qui passe et ce qui ne passe plus
Le cas Google Analytics
Le dossier a une histoire, et elle mérite trois lignes de rappel parce qu'elle explique la prudence qu'on recommande aujourd'hui.
Après l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne en 2020, plusieurs autorités européennes, dont la CNIL en février 2022, ont considéré que l'usage de Google Analytics dans sa configuration courante entraînait un transfert illicite de données vers les États-Unis. Des mises en demeure ont suivi. Puis le Data Privacy Framework est entré en vigueur en juillet 2023, rétablissant une base juridique pour ces transferts.
Sauf que ce cadre fait déjà l'objet de recours devant les juridictions européennes, exactement comme ses deux prédécesseurs, le Safe Harbor et le Privacy Shield, qui ont tous les deux fini annulés. Deux invalidations successives, un troisième dispositif construit sur des fondations comparables : la prudence n'est pas de la paranoïa, c'est de la lecture de tendance.
Traduction opérationnelle : Google Analytics reste utilisable aujourd'hui, sous consentement, avec une configuration soignée. Mais construire tout son pilotage dessus, c'est accepter un risque de rupture à moyen terme.
Les alternatives exemptées de consentement
Matomo en auto-hébergement et en configuration exemptée, Plausible, Piwik PRO : ces solutions peuvent, correctement paramétrées, entrer dans le champ de l'exemption CNIL. Plus de bandeau bloquant pour l'analytics, et surtout des données collectées sur cent pour cent des visiteurs.
Ce point est largement sous-estimé. Avec un taux de refus qui tourne souvent autour de trente à cinquante pour cent selon les secteurs, une mesure conditionnée au consentement vous fait piloter votre stratégie sur une moitié d'audience, en supposant que cette moitié se comporte comme l'autre. C'est une hypothèse, pas une donnée.
Ce qu'on perd en passant à une solution exemptée ? De la finesse. Pas de suivi cross-device, pas de remarketing, une attribution simplifiée, des rapports moins riches sur les parcours longs. Pour un site e-commerce avec un tunnel complexe, ça se discute. Pour un site vitrine ou un blog d'entreprise, la perte est franchement anecdotique.
Le mode consentement et le server-side
Le Consent Mode v2 de Google résout un problème réel : celui de la modélisation statistique des conversions perdues, et celui de la conformité aux exigences du Digital Markets Act pour la publicité. Il permet aux balises de fonctionner en mode dégradé, en envoyant des signaux anonymisés en l'absence de consentement.
Ce qu'il ne résout pas : la question du transfert de données. Même en mode dégradé, des requêtes partent vers les serveurs Google avec, au minimum, une adresse IP. Le server-side tagging déplace le problème sans le supprimer, puisque les données finissent au même endroit, simplement par un chemin différent et sous votre contrôle apparent.
C'est un outil de performance marketing, présenté parfois comme un outil de conformité. Ce n'est pas tout à fait la même chose, et il vaut mieux le savoir avant de s'appuyer dessus.
Question à poser
« Quel outil de mesure est installé sur le site, dans quelle configuration exacte (anonymisation IP, durée de conservation, partage avec des services tiers), et son chargement est-il conditionné au consentement ? »
3. Formulaires : le trou noir de la conformité
Les cookies concentrent l'attention, parce qu'ils sont visibles. Les formulaires, eux, passent sous le radar. Et ils collectent souvent des données autrement plus sensibles qu'un identifiant publicitaire.
La minimisation des données
Chaque champ doit servir une finalité identifiée. C'est le principe de minimisation, et c'est probablement le plus violé de tout le règlement.
Prenez un formulaire de contact standard sur un site de prestation de services. On y trouve régulièrement une civilité, une date de naissance, une adresse postale complète, parfois un numéro de SIRET, un effectif d'entreprise, un budget prévisionnel. Pour répondre à une demande de rappel.
La civilité sert à quoi, exactement ? À personnaliser un email d'accusé de réception ? Ça ne justifie pas la collecte d'une donnée relative au genre. La date de naissance sur un formulaire de contact commercial ne se justifie pratiquement jamais, sauf activité réglementée avec vérification d'âge.
L'exercice à faire, et il est instructif : listez chaque champ du formulaire, et écrivez en face à quoi il sert concrètement dans votre processus. Les champs pour lesquels vous n'arrivez pas à écrire une phrase claire, supprimez-les. Bonus non négligeable, le taux de conversion remonte presque toujours.
La mention d'information obligatoire
L'article 13 du RGPD impose d'informer la personne au moment de la collecte. Pas dans une politique de confidentialité qu'elle ira peut-être lire un jour : au moment où elle remplit le champ.
Doivent figurer l'identité et les coordonnées du responsable de traitement, les finalités du traitement, sa base légale, les destinataires ou catégories de destinataires, la durée de conservation, les droits dont dispose la personne et la façon de les exercer, la possibilité de saisir la CNIL, et les coordonnées du délégué à la protection des données s'il y en a un.
En pratique, on condense : une phrase sous le formulaire, avec un lien vers la politique de confidentialité pour le détail. Le format court est admis dès lors que l'essentiel est immédiatement lisible et que le complément est accessible en un clic.
La case de consentement
Jamais pré-cochée. La règle est ancienne, confirmée par l'arrêt Planet49 de la Cour de justice, et pourtant on continue d'en croiser.
Et surtout : une case par finalité. Répondre à une demande de contact, envoyer une newsletter et faire de la prospection commerciale sont trois traitements distincts, avec des bases légales potentiellement différentes. Les regrouper sous une case unique du type « J'accepte de recevoir des informations » invalide le consentement pour l'ensemble, parce qu'il n'est ni spécifique ni éclairé.
Notez au passage que répondre à une demande entrante ne nécessite pas de case de consentement du tout : la base légale y est l'exécution de mesures précontractuelles ou l'intérêt légitime. La case est nécessaire pour la newsletter et la prospection, pas pour traiter la demande elle-même. Une case cochée obligatoirement pour valider l'envoi du formulaire n'est d'ailleurs pas un consentement libre.
Le double opt-in newsletter
Le double opt-in n'est pas juridiquement obligatoire, mais il est la seule façon simple de prouver que le consentement a bien été donné par le titulaire de l'adresse.
Ce qu'il faut conserver : l'horodatage précis, l'adresse IP de la soumission, le libellé exact de la case au moment du recueil (car il évolue avec le temps), la version de la politique de confidentialité en vigueur, et le lien de confirmation cliqué. En cas de plainte pour prospection non sollicitée, c'est le seul dossier qui tienne.
Où partent les données du formulaire ?
Une soumission de formulaire, ça voyage. Enregistrement en base de données du site, envoi par email à une ou plusieurs adresses internes, copie dans un CRM, ajout à une liste dans l'outil d'emailing, parfois notification dans un canal Slack ou Teams, sans compter le service anti-spam qui analyse le contenu au passage.
Chaque étape est un destinataire. Chaque destinataire doit figurer dans la politique de confidentialité et, s'il s'agit d'un prestataire, faire l'objet d'un contrat de sous-traitance. Et chacun conserve les données selon ses propres règles, ce qui rend l'effacement autrement plus compliqué qu'un simple DELETE en base.
Le cas de l'email est particulièrement sournois. Une soumission envoyée par email reste dans la boîte de réception, dans les éléments envoyés, dans l'archive, dans la sauvegarde du serveur de messagerie, potentiellement pour toujours. Combien de boîtes contact contiennent dix ans de demandes clients ? Beaucoup.
Question à poser
« Où sont stockées les soumissions de formulaire, pendant combien de temps, qui y a accès, et vers quels outils tiers sont-elles transmises automatiquement ? »
4. Mentions légales et politique de confidentialité : au-delà du copier-coller
Les deux documents ne se confondent pas
Confusion très répandue, y compris chez des professionnels du web.
Les mentions légales relèvent de la LCEN, la loi pour la confiance dans l'économie numérique de 2004. Elles identifient l'éditeur du site, le directeur de publication, l'hébergeur avec ses coordonnées, et selon le cas le numéro RCS, le capital social, le numéro de TVA intracommunautaire, l'ordre professionnel de rattachement. Objectif : savoir qui parle.
La politique de confidentialité relève du RGPD. Elle décrit les traitements de données personnelles. Objectif : savoir ce qui est fait de vos données.
Deux textes, deux fondements, deux contenus. On peut les héberger sur une même page si on veut, à condition que les sections soient clairement séparées et complètes toutes les deux. Fusionner en un document flou revient à n'être conforme ni à l'une ni à l'autre.
Le contenu réellement exigé par l'article 13
Identité et coordonnées du responsable de traitement. Coordonnées du DPO le cas échéant. Finalités de chaque traitement et base légale correspondante. Intérêts légitimes poursuivis lorsque c'est la base retenue. Destinataires des données. Transferts hors UE et garanties associées. Durées de conservation par catégorie de données. Droits des personnes et modalités d'exercice. Droit de retrait du consentement. Droit d'introduire une réclamation auprès de la CNIL. Caractère obligatoire ou facultatif de la fourniture des données. Existence d'une décision automatisée ou d'un profilage.
La sanction de l'oubli n'est pas symbolique : le défaut d'information est un manquement autonome, sanctionnable en tant que tel, indépendamment de la licéité du traitement sous-jacent. Vous pouvez traiter des données de façon parfaitement légitime et être sanctionné pour ne pas l'avoir dit correctement.
Le piège du modèle générique
Une politique de confidentialité téléchargée en ligne et remplie à la va-vite se retourne contre vous. Systématiquement.
Deux cas de figure. Soit elle mentionne des traitements que vous ne faites pas, et vous vous êtes engagé publiquement sur des pratiques qui ne correspondent à rien, ce qui décrédibilise l'ensemble du document. Soit elle omet des outils que vous utilisez réellement, et l'écart entre le déclaré et le constaté devient l'élément le plus embarrassant du dossier de contrôle.
Un contrôleur qui trouve un pixel Meta actif sur un site dont la politique jure qu'aucune donnée n'est transmise à des tiers ne conclut pas à une erreur de rédaction. Il conclut à un défaut de sérieux dans toute la démarche, et il regarde le reste avec un œil différent.
Accessibilité et fraîcheur
Lien accessible depuis toutes les pages, en pied de page classiquement. Pas enfoui dans un sous-menu, pas réservé à la page d'accueil.
Date de dernière mise à jour affichée en haut ou en bas du document, c'est un signal de sérieux immédiat. Et idéalement, conservation des versions antérieures : en cas de litige sur un consentement recueilli il y a deux ans, il faut pouvoir montrer ce que la personne a lu à ce moment-là, pas ce qui est en ligne aujourd'hui.
5. Hébergement, transferts et sous-traitants
Cartographier les flux sortants
C'est l'exercice le plus révélateur d'un audit, et souvent le plus déprimant pour l'équipe qui a construit le site.
On ouvre l'onglet Réseau des outils de développement, on charge la page d'accueil, on filtre par domaine, et on liste tout ce qui n'appartient pas au site. Le résultat surprend presque toujours.
Polices Google, bibliothèques JavaScript chargées depuis un CDN public, icônes Font Awesome, carte Google Maps intégrée, widget de chat en ligne, lecteur vidéo YouTube ou Vimeo, pixel Meta, balise LinkedIn Insight, script de reCAPTCHA, outil de heatmap, badge d'avis clients, bouton de partage social, service de traduction automatique. Sur un site vitrine ordinaire, on dépasse fréquemment la quinzaine de domaines tiers contactés au chargement.
Chaque requête transmet au minimum l'adresse IP du visiteur, l'URL de la page consultée via le référent, et le user-agent. L'adresse IP est une donnée personnelle, la CJUE l'a tranché. Donc chaque requête est un transfert de données, et si le destinataire est hors UE, c'est un transfert international à encadrer.
Le cas Google Fonts
Un tribunal régional de Munich a condamné en janvier 2022 un éditeur de site à indemniser un visiteur pour transmission de son adresse IP à Google via le chargement distant des polices. Cent euros de dommages et intérêts, montant dérisoire, mais la décision a créé un précédent et déclenché une vague de mises en demeure automatisées en Allemagne, certaines franchement opportunistes.
La correction prend un quart d'heure. On télécharge les fichiers de police, on les place sur le serveur, on écrit les déclarations @font-face correspondantes, on retire l'appel distant. Bénéfice secondaire non négligeable : une requête DNS et une connexion externe en moins, donc un temps de chargement légèrement meilleur.
Et pourtant, c'est le point qu'on retrouve le plus souvent lors des audits. Parce que les polices sont posées au tout début du projet, dans le template de départ, et que personne ne revient jamais dessus.
Les iframes et lecteurs vidéo
Une iframe YouTube standard dépose des cookies dès le chargement de la page, même si le visiteur ne lance jamais la vidéo. Le mode youtube-nocookie.com réduit le problème sans l'éliminer complètement, puisque des requêtes partent encore.
La solution propre consiste à afficher une vignette statique avec un bouton de lecture, et à ne charger l'iframe réelle qu'après clic, ou après consentement explicite. Plusieurs bibliothèques légères font ça très bien, et le gain sur le temps de chargement est important sur les pages qui embarquent plusieurs vidéos.
Même logique pour Google Maps, pour les widgets de réservation, pour les modules d'avis. Rien ne se charge tant que l'utilisateur n'a pas manifesté son intérêt.
Le DPA avec l'hébergeur
Tous les hébergeurs sérieux en proposent un. Il faut le récupérer, le lire, et vérifier trois choses : la localisation des centres de données, la liste des sous-traitants ultérieurs autorisés (elle figure généralement dans une annexe, souvent mise à jour sans notification active), et les engagements de sécurité et de notification en cas de violation.
Ce document doit être archivé avec votre documentation de conformité, pas laissé quelque part dans l'espace client de l'hébergeur. Le jour où on vous le demande, vous devez le sortir en trente secondes.
Question à poser
« Peux-tu me lister toutes les requêtes vers des domaines tiers émises par la page d'accueil, en indiquant pour chacune la finalité, le pays de destination et si elle est conditionnée au consentement ? »
6. Sécurité technique : la conformité invisible
L'article 32 impose des mesures de sécurité appropriées. Formulation volontairement souple, qui laisse place à l'appréciation, mais dont certains points ne se discutent plus en 2026.
HTTPS partout, sans exception
Certificat valide, renouvellement automatique en place et surveillé, redirection systématique de HTTP vers HTTPS, en-tête HSTS configuré, et surtout : aucun contenu mixte. Une seule image appelée en HTTP sur une page sécurisée casse la chaîne et déclenche des avertissements navigateur.
Le point le plus fréquemment raté reste l'expiration silencieuse du certificat. Un dimanche matin, le site devient inaccessible avec un avertissement rouge, et personne n'a reçu d'alerte parce que la notification partait vers l'adresse email d'un salarié parti depuis deux ans.
Gestion des accès
Comptes strictement nominatifs. Pas de compte « admin » partagé entre quatre personnes, parce qu'en cas d'incident, la journalisation devient inexploitable : on sait qu'il s'est passé quelque chose, jamais qui l'a fait.
Révocation immédiate des accès à la fin d'une prestation. C'est une évidence énoncée partout et appliquée nulle part. Combien d'anciens prestataires ont encore un accès administrateur actif sur votre site ? Prenez trente secondes pour ouvrir la liste des utilisateurs. La réponse est souvent inconfortable.
Authentification à deux facteurs sur les comptes d'administration, sur les accès FTP ou SSH, sur le panneau de gestion de l'hébergement. Le mot de passe seul ne protège plus grand-chose face aux fuites de bases de données et au bourrage d'identifiants.
Mises à jour et maintenance
CMS, extensions, thèmes, dépendances applicatives, version de PHP. Une faille exploitée sur un plugin abandonné depuis trois ans conduit à une compromission, et une compromission qui expose des données personnelles est une violation au sens de l'article 33. Avec obligation de notification à la CNIL sous soixante-douze heures.
Le contrat de maintenance doit préciser qui surveille les mises à jour, à quelle fréquence, avec quel délai d'application pour les correctifs critiques, et qui teste après déploiement. « On regarde de temps en temps » n'est pas une politique de sécurité.
Sauvegardes et plan de restauration
Fréquence adaptée au rythme de mise à jour du site. Externalisation sur un support distinct de l'hébergement, parce qu'une sauvegarde stockée sur le serveur compromis disparaît avec lui. Rétention suffisante pour détecter une compromission ancienne, ce qui suppose plus de sept jours.
Et surtout, le point que tout le monde saute : le test de restauration. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Un test annuel, documenté, avec le temps de restauration mesuré. C'est une demi-journée par an et ça change tout le jour où ça compte.
Journalisation
Traçabilité des connexions à l'administration, des modifications de contenu, des exports de données, des changements de droits. Sans journaux, une notification de violation à la CNIL se résume à « nous pensons qu'il s'est passé quelque chose, nous ne savons pas quoi, ni quand, ni sur combien de personnes ». Ce n'est pas une notification recevable, et l'incapacité à qualifier l'incident aggrave la position de l'entreprise.
Conservation des journaux six mois à un an selon la sensibilité, dans un espace non modifiable par les comptes courants.
7. Droits des personnes : ce que votre site doit permettre concrètement
Les six droits applicables
Accès, rectification, effacement, limitation du traitement, portabilité, opposition. Ils ne s'appliquent pas tous dans toutes les situations, la portabilité par exemple suppose un traitement fondé sur le consentement ou le contrat et automatisé, mais ils doivent tous être mentionnés et leurs modalités d'exercice décrites.
Le canal de contact
Une adresse dédiée, du type donnees@votreentreprise.fr ou privacy@. Surveillée réellement, pas créée puis oubliée.
Le délai de réponse est d'un mois à compter de la réception, prolongeable de deux mois pour les demandes complexes à condition d'en informer la personne dans le premier mois. Le silence est en lui-même un manquement, et c'est d'ailleurs l'un des motifs de plainte les plus fréquents auprès de la CNIL.
Ce qui suppose une procédure interne écrite : qui reçoit, qui vérifie l'identité du demandeur, qui exécute techniquement, qui rédige la réponse, qui archive la preuve du traitement de la demande. Sans ça, la première demande sérieuse crée une panique de trois jours.
La suppression effective
C'est le point où la théorie et la pratique divergent le plus violemment.
Un utilisateur demande la suppression de ses données. On supprime son compte sur le site. Très bien. Et son enregistrement dans le CRM ? Son adresse dans l'outil d'emailing ? Sa fiche dans l'outil de support ? Les emails de contact qu'il a envoyés, encore dans la boîte de réception ? Les sauvegardes des six derniers mois ? Le fichier Excel exporté l'an dernier par le commercial et posé sur un espace partagé ?
Il faut un protocole écrit, couvrant chaque destinataire identifié dans la cartographie. Pour les sauvegardes, la position admise consiste à ne pas les altérer, mais à garantir que les données supprimées ne seront pas réintroduites en cas de restauration, et à documenter cette approche. Ça se tient, à condition de l'avoir écrit avant qu'on vous pose la question.
Question à poser
« Que se passe-t-il techniquement, étape par étape, quand un utilisateur demande la suppression de ses données ? Quels systèmes sont impactés et lesquels ne le sont pas ? »
8. Documentation : le registre et les preuves
La conformité ne se démontre pas, elle se documente. C'est le principe d'accountability, et c'est celui qui fait la différence entre un contrôle qui se passe bien et un contrôle qui s'enlise.
Le registre des traitements
Obligatoire dès lors que le traitement n'est pas occasionnel, ce qui est le cas de tout site web actif, quelle que soit la taille de la structure. L'exemption pour les organismes de moins de 250 salariés est bien plus étroite qu'on ne le croit et ne s'applique quasiment jamais en pratique.
La CNIL propose un modèle simplifié en tableur, parfaitement suffisant pour une TPE ou une PME. Une ligne par traitement : gestion des contacts entrants, newsletter, mesure d'audience, gestion des comptes clients, recrutement. Pour chacun, la finalité, la base légale, les catégories de personnes et de données, les destinataires, la durée de conservation, les mesures de sécurité.
Comptez une demi-journée pour un site vitrine, deux jours pour un e-commerce. Ce n'est pas un chantier hors de portée, c'est juste un chantier que personne n'a envie de commencer.
Les preuves de consentement
Pour chaque consentement recueilli : horodatage, périmètre exact du consentement (quelles finalités ont été acceptées), version du bandeau ou du formulaire utilisée, et méthode de recueil. Les plateformes de gestion du consentement sérieuses stockent tout ça automatiquement et permettent l'export. Encore faut-il vérifier que la fonction est activée, ce qui n'est pas toujours le cas par défaut.
L'analyse d'impact (AIPD)
Obligatoire quand le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Sur un site web, les cas typiques sont le traitement de données de santé, le profilage systématique à des fins de décision automatisée, la surveillance à grande échelle, le traitement de données de mineurs à des fins commerciales, ou le croisement de fichiers issus de sources multiples.
La CNIL publie une liste des traitements pour lesquels l'AIPD est requise, et une liste de ceux pour lesquels elle ne l'est pas. Un site vitrine avec un formulaire de contact et une newsletter n'en a pas besoin. Une plateforme qui score des candidats ou qui recommande des produits sur la base d'un profil comportementalé, oui.
La checklist récapitulative à envoyer à votre prestataire
Voici le document à copier directement dans un email ou dans un ticket. Trois réponses possibles par ligne : conforme, à corriger, non applicable. Et pour les lignes « à corriger », une estimation en temps de travail.
Cookies et traceurs
- Aucun traceur non essentiel déposé avant action de l'utilisateur (vérifié en navigation privée, accueil + page intérieure)
- Bouton « Refuser tout » présent au premier niveau, équivalent visuellement à « Accepter tout »
- Refus obtenu en un seul clic
- Lien permanent de gestion des préférences en pied de page
- Durée du consentement limitée à 13 mois, durée des données à 25 mois
- Le refus est effectivement respecté (test de vérification après refus)
Mesure d'audience
- Outil de mesure identifié, avec sa configuration documentée
- Chargement conditionné au consentement, sauf configuration exemptée validée
- Anonymisation IP activée si l'outil le permet
- Durée de conservation des données paramétrée conformément
Formulaires
- Chaque champ justifié par une finalité écrite
- Mention d'information article 13 présente sous chaque formulaire
- Aucune case pré-cochée
- Une case distincte par finalité (contact, newsletter, prospection)
- Double opt-in en place pour la newsletter, avec conservation des preuves
- Destinataires des données identifiés et documentés
- Durée de conservation définie et appliquée automatiquement
Documents légaux
- Mentions légales complètes et conformes à la LCEN
- Politique de confidentialité distincte et conforme à l'article 13
- Correspondance vérifiée entre outils déclarés et outils réellement présents
- Lien accessible depuis toutes les pages, date de mise à jour affichée
Flux tiers et hébergement
- Liste complète des domaines tiers appelés, avec finalité et pays
- Polices auto-hébergées
- Iframes vidéo et cartes chargées uniquement après action ou consentement
- DPA signé avec l'hébergeur, annexes et sous-traitants ultérieurs vérifiés
- Transferts hors UE identifiés et encadrés
Sécurité
- HTTPS forcé sur l'ensemble du site, sans contenu mixte, HSTS actif
- Comptes nominatifs, accès des anciens prestataires révoqués
- Double authentification sur l'administration et l'hébergement
- Politique de mise à jour formalisée avec délais pour les correctifs critiques
- Sauvegardes externalisées et test de restauration effectué dans l'année
- Journalisation des accès et modifications activée
Droits et documentation
- Adresse de contact dédiée aux demandes d'exercice des droits, surveillée
- Procédure interne écrite de traitement des demandes
- Protocole de suppression couvrant tous les systèmes destinataires
- Registre des traitements rédigé et à jour
- Preuves de consentement conservées et exportables
Les 5 non-conformités que nous rencontrons le plus souvent en audit
Après un certain nombre d'audits, les mêmes points reviennent avec une régularité presque comique. Les voici, du plus fréquent au moins fréquent, avec la correction et l'ordre de grandeur en temps.
1. Des cookies déposés avant consentement. Présent sur la grande majorité des sites audités. La cause est presque toujours la même : le bandeau a été installé après les balises de tracking, et personne n'a vérifié que le blocage préalable fonctionnait vraiment. Correction : reconfigurer le blocage dans la plateforme de consentement, vérifier chaque script un par un. Une demi-journée à une journée selon le nombre de scripts.
2. Google Fonts en chargement distant. Extrêmement répandu, hérité du template initial. Correction : téléchargement des polices, hébergement local, réécriture des déclarations CSS. Une à deux heures, gain de performance en prime.
3. Politique de confidentialité générique. Un modèle récupéré en ligne, jamais adapté, qui décrit des traitements imaginaires et oublie ceux qui existent. Correction : cartographie des traitements réels puis réécriture. Une journée, en s'appuyant sur le registre s'il existe.
4. Absence de bouton « Refuser » au premier niveau. Souvent un choix assumé, motivé par la peur de perdre en volume de données. Correction : reconfiguration du bandeau. Une à deux heures. Et le taux d'acceptation baisse moins qu'on ne le craint, l'expérience le montre assez systématiquement.
5. Formulaires sans mention d'information. Le champ est là, le bouton fonctionne, et rien n'indique ce que deviennent les données. Correction : rédaction de la mention, intégration sous chaque formulaire, vérification des cases de consentement. Deux à trois heures pour un site vitrine.
Total pour une remise à niveau complète sur un site vitrine standard : entre deux et quatre jours de travail. Ce n'est pas rien. Ce n'est pas non plus le chantier insurmontable que beaucoup imaginent avant de s'y mettre.
Conformité et SEO : les points de convergence
Voilà un angle rarement abordé, et pourtant les deux sujets se croisent en permanence.
La performance, d'abord. Bloquer les scripts tiers jusqu'au consentement allège considérablement le chargement initial. Auto-héberger les polices supprime une connexion externe et une requête DNS. Différer les iframes vidéo retire plusieurs centaines de kilo-octets sur les pages concernées. Sur un site chargé en outils marketing, une mise en conformité sérieuse fait gagner mécaniquement plusieurs points de performance sur les Core Web Vitals. La conformité, ici, sert directement le référencement.
Le bandeau et le CLS, ensuite. Attention au piège inverse. Un bandeau mal implémenté, qui s'injecte après le rendu initial et pousse le contenu vers le bas, dégrade le Cumulative Layout Shift. La bonne pratique consiste à le superposer en position fixe sans déplacer le contenu, et à réserver son espace dès le rendu. Un détail d'intégration, avec un effet mesurable sur un indicateur suivi par Google.
La qualité des données, enfin. Et c'est le point le plus stratégique. Avec une mesure conditionnée au consentement, vous perdez entre trente et cinquante pour cent de vos données de trafic selon votre audience. Sur quoi pilotez-vous vos décisions SEO ? Sur un échantillon dont vous ignorez s'il est représentatif. Les utilisateurs qui refusent les cookies ne se comportent pas nécessairement comme les autres.
Une solution de mesure exemptée résout ce problème en donnant accès à cent pour cent du trafic. Il faut y ajouter la Search Console, qui reste la source de référence pour les données de recherche organique et qui n'est pas concernée par le consentement, puisqu'elle mesure côté Google. Combinaison redoutablement efficace pour du pilotage SEO, sans le moindre point de friction juridique.
Ce que la conformité coûte et ce que la non-conformité coûte
Parlons budget, parce que c'est la vraie question derrière l'hésitation.
Une mise en conformité sur un site vitrine représente typiquement deux à quatre jours de travail : audit technique, correction des points identifiés, réécriture des documents légaux, rédaction du registre. Selon les tarifs pratiqués, on se situe dans une fourchette de quelques milliers d'euros, avec ensuite un coût de maintien très faible, essentiellement une revue annuelle.
Sur un site e-commerce, la facture grimpe. Comptez plutôt cinq à dix jours, parce que les traitements se multiplient : comptes clients, historique de commandes, paiement, logistique, service après-vente, marketing automation, avis clients, programme de fidélité. Chaque brique est un traitement à documenter, avec ses propres destinataires et ses propres durées.
En face, le barème des sanctions. Jusqu'à vingt millions d'euros ou quatre pour cent du chiffre d'affaires mondial pour les manquements les plus graves. Ce plafond fait les gros titres, mais il ne concerne évidemment pas une PME régionale.
Ce qui la concerne, en revanche, c'est la procédure simplifiée mise en place par la CNIL pour les manquements peu complexes, avec des amendes plafonnées à vingt mille euros. Et cette procédure est utilisée régulièrement, contre des structures modestes, pour des faits qui ressemblent beaucoup à ceux listés dans cette checklist. Plusieurs dizaines de décisions par an, dont la majorité vise des organismes de petite taille.
Et puis il y a le coût qu'on ne chiffre jamais. Le temps passé à répondre à une mise en demeure, qui mobilise le dirigeant pendant des semaines. La correction en urgence, toujours plus chère et moins bien faite que la correction planifiée. Les décisions de sanction publiées nominativement quand la CNIL le décide, et qui restent indexées dans les moteurs de recherche pendant des années. Le client B2B qui vous envoie un questionnaire de conformité fournisseur avant de signer, et pour qui votre réponse évasive devient un signal négatif.
Ce dernier point mérite qu'on s'y arrête : la conformité est en train de devenir un argument commercial, pas seulement une contrainte. Les acheteurs grands comptes posent la question. Systématiquement.
Faire auditer son site : méthode et périmètre
Un audit RGPD technique couvre ce qui est vérifiable depuis le site et depuis son infrastructure : traceurs et bandeau, flux tiers, formulaires, documents légaux, sécurité, exercice des droits. Il produit un rapport de non-conformités priorisées, avec la correction associée et une estimation de charge pour chacune.
Ce qu'il ne remplace pas : le conseil juridique. La qualification d'une base légale contestable, la rédaction d'un contrat de sous-traitance complexe, la conduite d'une analyse d'impact sur un traitement sensible, la gestion d'un contentieux relèvent d'un avocat spécialisé. Un bon audit technique sait où s'arrête son périmètre et vous le dit franchement.
Quant au moment de le déclencher, il y a des occasions naturelles. Une refonte de site, évidemment : c'est le moment où tout est ouvert et où la correction ne coûte presque rien. Un changement de prestataire, parce que c'est l'occasion d'un état des lieux avant reprise, et parce que la révocation des anciens accès se fait à ce moment-là ou jamais. L'ajout d'un outil marketing, chaque nouvelle balise étant un nouveau traitement. L'ouverture d'un canal d'acquisition, en particulier tout ce qui touche à la publicité payante et au retargeting.
Et puis il y a le déclencheur le moins agréable : la réception d'un courrier de la CNIL. À ce stade, l'audit se fait quand même. Simplement il se fait sous contrainte, avec un délai imposé et sans marge de négociation sur les priorités.
Chez FDSEO, l'audit de conformité s'intègre naturellement aux missions d'accompagnement SEO, parce que les deux sujets se recoupent largement : mêmes fichiers, mêmes scripts, mêmes arbitrages sur la mesure d'audience. Autant traiter les deux dans le même passage plutôt que de faire intervenir deux prestataires sur le même code, avec le risque que l'un défasse ce que l'autre a mis en place.
FAQ
Un site vitrine sans formulaire est-il concerné par le RGPD ?
Oui, dans la quasi-totalité des cas. Même sans formulaire, un site collecte des adresses IP dans ses journaux serveur, dépose potentiellement des cookies de mesure d'audience, et transmet des données à des services tiers via les polices, les cartes ou les scripts externes. Le seul site réellement hors champ serait une page statique, sans aucun appel externe, sans mesure d'audience, et dont les journaux serveur sont purgés très rapidement. C'est rare. Cela dit, l'effort de conformité est alors minimal : quelques ajustements techniques et une politique de confidentialité courte suffisent.
Qui est responsable en cas de contrôle : moi ou mon agence web ?
Vous, en tant que responsable de traitement. C'est vous qui déterminez les finalités et les moyens du traitement, donc vous que la CNIL sollicite et sanctionne. Votre agence est sous-traitante et engage sa responsabilité contractuelle envers vous, ainsi qu'une responsabilité propre sur certaines obligations de l'article 28, comme la sécurité. En clair : si votre prestataire a mal fait son travail, vous êtes sanctionné et vous pouvez ensuite vous retourner contre lui, à condition d'avoir un contrat qui le prévoie. D'où l'importance du DPA, qui n'est pas un document décoratif.
Faut-il nommer un DPO pour un site d'entreprise ?
La désignation est obligatoire dans trois cas seulement : organisme public, suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles. Un site vitrine, un site e-commerce classique ou un blog d'entreprise n'entrent normalement dans aucune de ces catégories. Rien n'empêche toutefois de désigner un référent interne à la protection des données, sans le statut formel de DPO. C'est souvent une bonne idée : ça donne un interlocuteur identifié et ça évite que le sujet ne soit celui de personne.
Un bandeau cookies suffit-il à être conforme ?
Non, et c'est probablement le malentendu le plus coûteux du sujet. Le bandeau ne traite que la question des traceurs, soit un chapitre sur huit dans cette checklist. Il ne dit rien des formulaires, des durées de conservation, du registre, des droits des personnes, de la sécurité, des transferts vers des tiers. On croise régulièrement des sites avec un bandeau irréprochable, installé par une plateforme professionnelle, et aucun registre des traitements, aucune mention d'information sur les formulaires, aucune procédure d'exercice des droits. Le bandeau est la partie visible. Ce n'est pas la plus déterminante.
Combien de temps puis-je conserver les données d'un formulaire de contact ?
Il n'existe pas de durée fixée par la loi, le principe étant celui d'une conservation limitée à ce qui est nécessaire. En pratique, la CNIL retient comme référence trois ans à compter du dernier contact pour les données de prospection commerciale. Pour une simple demande d'information sans suite, une durée plus courte se justifie, de l'ordre de six mois à un an. Le point essentiel : la durée doit être définie à l'avance, écrite dans la politique de confidentialité et dans le registre, et surtout appliquée réellement. Une durée annoncée mais jamais respectée est pire que pas de durée du tout, parce qu'elle établit que vous connaissiez la règle.
Les statistiques de mon hébergeur sont-elles soumises au consentement ?
Ça dépend de la technologie. Les statistiques calculées à partir des journaux serveur, type AWStats ou Webalizer, ne déposent aucun traceur sur le terminal du visiteur : elles ne relèvent donc pas de l'obligation de consentement liée aux cookies. En revanche, elles traitent des adresses IP, ce qui reste un traitement de données personnelles à mentionner dans la politique de confidentialité, avec une durée de conservation définie. Si votre hébergeur propose un outil basé sur un script JavaScript et un cookie, la question du consentement se repose exactement comme pour n'importe quel outil de mesure.
