Marketing digital
RGPD : que faire pour être conforme ?
Un site vitrine qui porte un formulaire et une inscription à une lettre d’information traite des données personnelles, et le règlement lui applique les mêmes principes qu’à un grand site.
Un site vitrine qui porte un formulaire de contact ou une inscription à une lettre d’information traite des données personnelles, et le règlement général sur la protection des données lui applique les mêmes principes qu’à un grand site. Quatre obligations reviennent dans tous les cas : informer au moment de la collecte, s’appuyer sur une base légale, limiter ce qu’on garde, et permettre l’exercice des droits.
À qui ce règlement s’applique-t-il ?
Le règlement général sur la protection des données est en vigueur depuis le 25/05/2018. Il s’applique dès qu’une organisation traite des données se rapportant à une personne physique identifiée ou identifiable, quelle que soit sa taille et sans seuil de chiffre d’affaires. Un nom, une adresse électronique, un numéro de téléphone, une adresse postale, mais aussi un identifiant technique associé à une personne relèvent de cette définition.
Un site strictement statique, sans formulaire, sans commentaire et sans mesure d’audience, traite très peu de données. Dès qu’un champ à remplir apparaît, la situation change : l’adresse saisie est une donnée personnelle et le site devient responsable de ce qu’il en fait. C’est le point que les petites structures découvrent le plus tard, souvent au moment où quelqu’un demande la suppression de son adresse.
Quelles obligations concrètes pour un site avec un formulaire ?
| Obligation | Où elle se règle | Ce qu’elle demande |
|---|---|---|
| Information | à côté du formulaire | qui traite, pour quoi faire, pendant combien de temps |
| Base légale | au moment de la conception | consentement, contrat, intérêt légitime ou obligation légale |
| Minimisation | dans le choix des champs | ne demander que ce qui sert réellement |
| Durée de conservation | dans la procédure interne | une durée écrite, et une suppression réelle |
| Droits des personnes | sur une page dédiée | une adresse qui fonctionne, une réponse dans un délai |
| Sécurité | dans l’hébergement | chiffrement du transport, accès limités |
La minimisation est la plus simple à appliquer et la plus souvent oubliée. Chaque champ d’un formulaire doit pouvoir être justifié par un usage réel. Demander une date de naissance ou une adresse postale pour répondre à une question technique ne se justifie pas, et ce champ devient une donnée à protéger, à conserver et à supprimer, sans aucune contrepartie.
Faut-il un bandeau pour les traceurs ?
Cela dépend de ce que le site dépose. Les traceurs strictement nécessaires au fonctionnement du service ne demandent pas de consentement. Ceux qui servent à la mesure d’audience, à la publicité ou au partage vers des services tiers en demandent un, et l’autorité de contrôle française a publié des recommandations détaillées sur la manière de le recueillir : le refus doit être aussi simple que l’acceptation, et l’absence de choix ne vaut pas accord.
La conséquence pratique est souvent négligée : un site qui charge une police distante, une carte, une vidéo intégrée ou un bouton de partage fait entrer un service tiers dans la page, avec ses propres dépôts. Le nombre de traceurs d’un site vitrine dépend donc surtout de ses intégrations, rarement de son propre code. Le présent média a fait le choix inverse et le décrit dans sa politique de confidentialité.
Que doit contenir la page de politique de confidentialité ?
Une réponse claire à six questions : qui est responsable, quelles données sont collectées, pourquoi, sur quelle base, combien de temps elles sont conservées, et comment exercer ses droits. Le règlement reconnaît notamment, à ses articles 15 à 22, un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité.
Une page utile décrit ce qui se passe réellement sur le site, y compris quand la réponse est courte. Une page qui décrit des traitements inexistants est aussi trompeuse qu’une page qui en oublie : elle donne au lecteur une image fausse, et elle devient impossible à tenir à jour.
Et la prospection par courriel ?
Elle obéit à une règle supplémentaire. L’article L34-5 du code des postes et des communications électroniques pose le principe du consentement préalable pour la prospection directe adressée à une personne physique, et chaque message doit permettre d’identifier l’expéditeur et de s’opposer simplement aux envois suivants. Une adresse collectée pour répondre à une question ne peut donc pas alimenter une liste de diffusion sans que la personne l’ait accepté séparément.
Que garder comme trace, et pendant combien de temps ?
- La preuve du consentement quand il sert de base légale : date, canal, formulation exacte affichée.
- La liste des traitements avec leur finalité et leur durée, tenue à jour dans un document unique.
- Les demandes d’exercice de droits reçues et la réponse apportée.
- La liste des services tiers auxquels des données sont transmises, hébergeur et outil d’envoi compris.
Ces éléments tiennent dans un tableau et une page de texte pour une petite structure. Leur intérêt n’est pas administratif : le jour où une personne demande ce qui est fait de ses données, la réponse existe déjà et ne se reconstruit pas dans l’urgence.
Ce que cette page ne fait pas
Elle ne remplace ni la lecture des textes, ni l’avis d’un professionnel du droit, et elle ne traite aucun cas particulier. Elle liste les points qui reviennent sur presque tous les petits sites, avec le vocabulaire exact permettant de poser les bonnes questions. Les leviers qui déclenchent ces collectes sont situés dans le marketing digital, et cette page a été vérifiée le 02/09/2026.
À lire ensuite
- Ce que ce site collecte réellement est décrit dans notre politique de confidentialité.
- La prospection par courriel obéit à ses propres règles, voir emailing et newsletter.
- La forme d’un message commercial est traitée dans écrire un bon email.