Ce que le RGPD change concrètement pour votre site
Le RGPD (Règlement Général sur la Protection des Données) est en vigueur depuis mai 2018, et loin de s’essouffler, son application n’a cessé de se préciser. La CNIL publie chaque année des dizaines de décisions qui dessinent des règles claires pour les grands groupes comme pour les toutes petites structures. En 2024, elle a ainsi prononcé 331 mesures correctrices : 87 sanctions, 180 mises en demeure et 64 rappels aux obligations légales. Et contrairement à une idée reçue, les TPE ne sont pas épargnées : la CNIL a déjà sanctionné des entreprises de deux salariés — la société Performclick a écopé de 7 500 € d’amende — et des professions libérales comme des médecins ou des avocats.
Concrètement, les contrôles portent toujours sur les mêmes points, et ce sont précisément ceux que vous pouvez corriger vous-même. Le plus fréquent, et le plus simple à régler, c’est l’absence de politique de confidentialité. Vient ensuite l’usage de Google Analytics ou d’un pixel publicitaire sans consentement préalable : les décisions sont sans ambiguïté, ce consentement est obligatoire, même pour un simple outil de mesure d’audience. Le troisième défaut touche la durée de conservation de vos données : un email récupéré via votre formulaire de contact en 2021 n’a aucune raison de dormir encore dans votre base en 2026. Le dernier concerne le droit à l’oubli : un client peut vous demander de supprimer ses données, et vous devez pouvoir le faire, simplement et sans délai excessif.
Les cinq mesures qui suffisent
La bonne nouvelle, c’est que la conformité d’une TPE tient en cinq mesures. Aucune n’exige de compétence technique particulière ni un budget disproportionné. On les décompose ensemble.
La première, c’est une politique de confidentialité qui dise vraiment ce que vous faites. Elle doit répondre à quatre questions : quelles données vous collectez (nom, email, téléphone), pourquoi (répondre à une demande, vous recontacter), combien de temps vous les conservez — 36 mois pour un lead commercial, par exemple — et comment un visiteur peut en demander la suppression. Si vous ne savez pas répondre à l’une de ces questions, c’est le signe qu’il faut mettre de l’ordre dans vos habitudes avant d’écrire la moindre ligne.
Vient ensuite le bandeau de consentement cookies, obligatoire dès que vous utilisez Google Analytics, le pixel Facebook ou tout autre traceur non essentiel. Attention, un point souvent mal compris : la CNIL exclut Google Analytics de l’exemption prévue pour les outils de mesure d’audience « strictement nécessaires ». Trois règles encadrent le bandeau : le consentement doit être recueilli avant le dépôt du cookie, refuser doit être aussi simple qu’accepter, et le visiteur doit pouvoir changer d’avis à tout moment. Son choix, une fois enregistré, se conserve six mois ; ensuite, vous redemandez.
La troisième mesure concerne la durée de conservation de vos données, qui ne doit rien avoir d’indéfini. Une base raisonnable : 36 mois pour un prospect, 6 mois pour un choix de cookies, et la durée de la relation commerciale plus trois ans pour un client. Au-delà, on supprime ou on anonymise.
La quatrième est votre capacité à répondre à une demande de suppression. Un visiteur peut vous demander d’effacer toutes ses données ; vous devez pouvoir le faire sous un mois, gratuitement, et sans exiger la moindre justification. Pour une TPE, cela se règle en quelques minutes dans votre boîte mail et votre base de contacts — à condition justement d’avoir une base propre, tenue à jour.
La cinquième, enfin, tient à la sécurité de base : un site en HTTPS, un hébergement sérieux et des mots de passe forts suffisent largement pour une petite structure. Inutile de chercher plus compliqué.
Deux bonnes nouvelles pour terminer : vous n’avez pas besoin de nommer un délégué à la protection des données — cette obligation ne concerne que les organismes qui surveillent des personnes à grande échelle — et le registre de vos traitements est allégé pour les structures de moins de 250 salariés. La proportionnalité est un principe central du RGPD : plus votre activité est simple, plus vos obligations sont légères.
Le piège à éviter
Le piège le plus fréquent, c’est de copier la politique de confidentialité d’un autre site. Le problème, c’est que chaque site a ses propres outils, ses propres durées de conservation, ses propres sous-traitants : une politique copiée décrit rarement ce que vous faites réellement. Et en cas de contrôle, une politique inexacte est pire que l’absence de politique — elle donne l’impression que vous n’avez pas pris le sujet au sérieux, et elle vous expose si vos pratiques réelles ne correspondent pas à ce qui est écrit.
Ce que DSR inclut
Dans chaque site DSR, la conformité RGPD est incluse dès le départ : une politique de confidentialité rédigée pour votre activité (outils réels, durées réelles), un bandeau de consentement cookies installé, un formulaire de contact avec case de consentement explicite, et des durées de conservation documentées noir sur blanc.
Parce qu’un site professionnel, c’est aussi un site en règle.
En résumé
Le RGPD, pour une TPE, n’a rien d’une montagne : ce sont cinq mesures concrètes à vérifier sur son site, pas plus. Si vous travaillez avec un prestataire sérieux — et chez DSR, nous en faisons partie — tout est déjà pris en charge. Si vous avez construit votre site vous-même ou via une plateforme, prenez une heure pour passer ces cinq points en revue : cela peut vous éviter bien des soucis plus tard. Et si l’idée d’un contrôle vous inquiète, rappelez-vous que dans la majorité des cas, la CNIL commence par une mise en demeure avant d’envisager une amende. La conformité n’est pas une punition : c’est une preuve de sérieux, la vôtre.