Le RGPD est entré en application le 25 mai 2018. Huit ans plus tard, la plupart des dirigeants que nous rencontrons en ont retenu deux choses : il faut un bandeau cookies, et on risque une amende à sept chiffres. Les deux sont trompeuses. Le bandeau n'est obligatoire que dans certains cas, et une petite entreprise reçoit d'abord un courrier, pas une facture de vingt millions d'euros. En revanche, il existe une courte liste de choses très concrètes à faire sur votre site, et la plupart tiennent en une journée de travail.

Cet article s'adresse à un patron de TPE ou de PME qui a un site vitrine, une boutique en ligne ou simplement un formulaire de contact, et qui veut savoir quoi faire, dans quel ordre, sans payer un cabinet pour une étude de soixante pages.

D'abord, le risque réel

Le règlement prévoit effectivement des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Ces plafonds sont écrits à l'article 83 et visent des acteurs qui traitent les données de millions de personnes. Pour une entreprise de dix salariés, le scénario réaliste est tout autre : un client mécontent, un ancien salarié ou un concurrent dépose une plainte auprès de la CNIL. La CNIL vous écrit, demande des explications, puis met en demeure de corriger dans un délai donné. Si vous corrigez, l'affaire s'arrête là. La CNIL dispose par ailleurs, depuis 2022, d'une procédure de sanction simplifiée pour les dossiers peu complexes, dont les montants se comptent en dizaines de milliers d'euros et non en millions.

Autrement dit : pour une TPE, le coût réel de la non-conformité, c'est du temps, du stress et une réputation abîmée si l'affaire sort. C'est déjà bien assez pour justifier une journée de mise en ordre.

Le bandeau cookies : seulement si vous en avez besoin

Le consentement aux cookies ne vient pas du RGPD lui-même mais de l'article 82 de la loi Informatique et Libertés. La règle tient en une phrase : tout traceur qui n'est pas strictement nécessaire au fonctionnement du site exige un consentement préalable. Sont concernés Google Analytics, le pixel publicitaire de Meta, les vidéos YouTube intégrées dans vos pages, les outils qui enregistrent la navigation des visiteurs, les boutons de partage connectés.

Ne sont pas concernés le cookie de session qui garde le panier, celui qui mémorise la langue choisie, et celui qui conserve justement la réponse du visiteur au bandeau.

Conséquence pratique, et c'est la partie que personne ne vous dit : si votre site vitrine ne contient aucun traceur, vous n'avez pas besoin de bandeau. Un site sans outil de mesure d'audience, sans pixel publicitaire et sans vidéo intégrée n'a rien à demander à personne. Beaucoup de sites affichent une fenêtre qui masque la page d'accueil pour trois cookies techniques : c'est du confort de visite perdu pour rien.

Si vous avez des traceurs, en revanche, le bandeau doit respecter quelques règles simples :

rien ne se dépose avant le choix du visiteur : un bandeau qui annonce « en poursuivant votre navigation, vous acceptez » ne vaut rien ;
refuser doit être aussi simple qu'accepter, c'est-à-dire deux boutons visibles au même niveau, pas un lien gris en petits caractères ;
le choix se conserve plusieurs mois, on ne repose pas la question à chaque page ;
le visiteur doit pouvoir changer d'avis, via un lien permanent en pied de page.

Une note sur la mesure d'audience, parce qu'elle change souvent la donne. Certaines solutions, configurées de façon stricte (pas de suivi d'un site à l'autre, pas de recoupement avec d'autres fichiers, conservation courte), sont exemptées de consentement, et la CNIL publie la liste de celles qu'elle a évaluées. Google Analytics n'en fait pas partie. Si votre besoin se résume à savoir combien de visites vous recevez, d'où elles viennent et quelles pages sont lues, une solution exemptée vous donne l'essentiel de l'information sans bandeau. Pour une TPE, c'est souvent le meilleur compromis.

Les deux pages qui doivent exister

Les mentions légales

Elles ne relèvent pas du RGPD mais de la loi pour la confiance dans l'économie numérique de 2004. On y trouve la dénomination et la forme juridique de l'entreprise, l'adresse du siège, le numéro d'immatriculation au registre du commerce ou au répertoire des métiers, le numéro de TVA intracommunautaire s'il y a lieu, un moyen de contact, le nom du responsable de la publication et l'identité de l'hébergeur du site. C'est une page factuelle, elle prend vingt minutes. Vous pouvez voir à quoi ressemble la nôtre sur la page mentions légales.

La politique de confidentialité

Celle-là relève bien du RGPD, articles 13 et 14. Elle doit dire, dans un français lisible par un client et pas par un juriste : qui est responsable des données, quelles données sont collectées, pour quoi faire, sur quelle base légale, combien de temps elles sont conservées, à qui elles sont transmises, quels sont les droits des personnes et comment les exercer, et la possibilité de saisir la CNIL.

Le piège classique : copier la politique d'un autre site. Vous vous engagez alors sur des traitements que vous ne faites pas, ou vous oubliez ceux que vous faites vraiment. Une politique qui parle d'une newsletter que vous n'avez pas et qui ignore votre formulaire de rappel est pire qu'utile : elle prouve que le sujet n'a pas été regardé. Notre propre page est là : politique de confidentialité.

Vos formulaires : demandez moins, et séparez les demandes

Le principe de minimisation dit que vous ne collectez que ce dont vous avez besoin pour l'objectif annoncé. Un formulaire de rappel a besoin d'un prénom et d'un numéro. Il n'a pas besoin du nom de la société, du secteur d'activité, de l'effectif et du budget envisagé. Chaque champ superflu fait baisser le nombre de formulaires remplis et augmente ce que vous devez protéger. C'est l'une des rares règles où la conformité et la performance commerciale vont dans le même sens.

Deuxième point, souvent mal compris : une demande de devis n'a pas besoin d'une case de consentement. Quand quelqu'un vous demande un prix, le traitement de sa demande repose sur les mesures précontractuelles, pas sur le consentement. Vous pouvez le rappeler. Ce qui exige une case à cocher séparée et non pré-cochée, c'est tout le reste : l'inscription à une newsletter, l'envoi d'offres commerciales sans rapport avec la demande initiale, la transmission à un partenaire. Et une case unique du type « j'accepte la politique de confidentialité » ne vaut pas consentement à recevoir de la prospection.

Gardez la preuve du consentement : la date, l'heure et le texte exact affiché au moment de la case cochée. Le jour où quelqu'un affirme ne s'être jamais inscrit, c'est la seule chose qui vous sauve.

Enfin, ne faites jamais remplir de données sensibles dans un formulaire ordinaire. Un cabinet paramédical qui demande le motif de la consultation en champ libre, un organisme de formation qui demande une situation de handicap : ces données appellent des précautions bien plus lourdes. Si vous n'en avez pas besoin, ne les demandez pas.

Combien de temps garder les données

C'est le point le plus souvent négligé, et le plus simple à corriger. « On garde tout, on ne sait jamais » n'est pas une politique de conservation. Voici les durées de référence les plus courantes pour une petite entreprise.

Donnée	Durée usuelle	Ensuite
Prospect qui n'a pas signé	3 ans après le dernier contact	Suppression ou anonymisation
Client actif	Toute la relation commerciale, puis 3 ans	Passage en archive ou suppression
Factures, devis signés, contrats	10 ans (obligation comptable)	Archivage à accès restreint
Candidature spontanée	2 ans après le dernier échange	Suppression
Preuve de consentement	Tant que le consentement est actif	Suppression après désinscription et délai de preuve
Journaux techniques du serveur	6 mois à 1 an	Purge automatique

Notez la nuance sur les factures : une facture ne s'efface pas à la demande, parce qu'une obligation légale de conservation l'emporte. Vous pouvez et devez le dire à un client qui demande la suppression de son compte.

Le registre : un tableur, pas un projet

L'article 30 impose un registre des traitements. Il prévoit bien une dispense pour les entreprises de moins de 250 salariés, mais elle tombe dès que les traitements ne sont pas occasionnels. Gérer des clients, envoyer des factures, payer des salaires : ce sont des traitements réguliers. En pratique, votre entreprise doit tenir un registre.

La bonne nouvelle, c'est que pour une TPE il tient sur une page. Une ligne par traitement, avec sept colonnes : l'intitulé, la finalité, les personnes concernées, les catégories de données, les destinataires, la durée de conservation, les mesures de sécurité. Une entreprise de services classique en a cinq ou six : prospects, clients, fournisseurs, paie et personnel, newsletter, éventuellement vidéosurveillance. La CNIL met à disposition un modèle simplifié gratuit ; commencez par lui plutôt que par une prestation à quatre chiffres.

Vos outils sont vos sous-traitants

Votre hébergeur, votre outil d'emailing, votre logiciel de caisse, votre CRM, votre agence : tous traitent des données pour votre compte. L'article 28 exige un contrat qui encadre ce traitement. Concrètement, les prestataires sérieux publient ces clauses et vous les acceptez à la souscription ; il suffit de les demander et de les conserver. Faites la liste de vos outils, c'est la moitié du travail.

Pour les transferts hors Union européenne, un cadre d'adéquation entre l'Union et les États-Unis a été adopté en juillet 2023 et couvre les entreprises américaines qui y adhèrent. Il est régulièrement contesté devant les juridictions européennes, et son sort n'est pas définitivement acquis. Traduction pour un dirigeant : à service équivalent, un hébergement et des outils européens vous éviteront de rejouer ce dossier tous les trois ans.

Les droits de vos clients, et le délai d'un mois

Toute personne peut vous demander l'accès à ses données, leur rectification, leur effacement, s'opposer à la prospection ou récupérer ce qu'elle vous a fourni. Vous avez un mois pour répondre, extensible à trois mois pour les demandes complexes, à condition de prévenir. L'absence de réponse est le chemin le plus rapide vers une plainte, bien plus que le contenu de la réponse elle-même.

Ce qu'il faut mettre en place est minime : une adresse dédiée, indiquée dans la politique de confidentialité, relevée par quelqu'un dont c'est le rôle. Et savoir répondre honnêtement, y compris pour dire non : le droit à l'effacement n'est pas absolu et ne s'applique pas à ce que la loi vous oblige à conserver.

La sécurité fait partie de la conformité

L'article 32 exige des mesures de sécurité adaptées. Pour un site de TPE, cela veut dire du concret : chiffrement des échanges, mises à jour appliquées, mots de passe qui ne circulent pas par SMS entre collègues, accès retirés quand un prestataire part, sauvegardes vérifiées. Nous détaillons tout cela dans notre article sur la sécurité d'un site web.

Un point à connaître avant d'en avoir besoin : en cas de fuite de données, vous disposez de 72 heures pour la notifier à la CNIL, et vous devez prévenir les personnes concernées si le risque pour elles est élevé. Même les incidents que vous ne notifiez pas doivent être consignés dans un registre interne. Une note de trois lignes dans un fichier suffit : date, ce qui s'est passé, ce que vous avez fait.

Ce qui ne vaut pas votre argent

Les badges « site conforme RGPD » affichés en pied de page. Aucune valeur juridique, aucune autorité ne les délivre.
Une politique de confidentialité générique achetée en ligne et jamais adaptée. Elle décrit l'entreprise de quelqu'un d'autre.
Un délégué à la protection des données externe quand vous êtes une TPE sans traitement sensible et sans suivi à grande échelle. La désignation n'est obligatoire que dans des cas précis. Désignez un référent en interne, c'est-à-dire quelqu'un qui sait où sont les fichiers.
Un audit de quarante pages pour un site vitrine avec un formulaire de contact. Le travail réel tient en une journée.
Un bandeau cookies alors que vous n'avez aucun traceur. Vous dégradez votre page d'accueil pour rien.

Par où commencer cette semaine

Ouvrez votre site en navigation privée et listez ce qui se charge : mesure d'audience, pixel publicitaire, vidéo intégrée, police externe. Vous saurez si un bandeau vous est nécessaire.
Vérifiez que les mentions légales et la politique de confidentialité existent, sont accessibles depuis le pied de page, et décrivent votre entreprise.
Relisez vos formulaires : supprimez les champs inutiles, séparez la demande commerciale du consentement à la prospection.
Ouvrez un tableur, faites une ligne par fichier que vous détenez. C'est votre registre.
Décidez d'une durée de conservation par ligne, et notez la date du prochain nettoyage.
Créez l'adresse qui recevra les demandes des personnes, et indiquez-la.

Ces six points couvrent l'immense majorité de ce qu'on reproche à une petite entreprise. Ils ne demandent ni logiciel ni prestation : du temps et un peu de méthode.

Si vous préférez que quelqu'un passe votre site en revue et vous rende une liste de corrections précises plutôt qu'un rapport, écrivez-nous en décrivant votre site en deux lignes. Nous vous dirons ce qui manque réellement, et aussi ce qui ne mérite pas que vous y consacriez un euro.